IP欺骗的技术

。
IP欺骗的技术比较复杂，不是简单地照猫画老虎就能掌握，但作为常规攻击手段，有必要理解其原理，至少有利于自己的安全防范，易守难攻嘛。

0 d9 Z$ o. C- |" _% ~9 j假设B上的客户运行rlogin与A上的rlogind通信：

1. B发送带有SYN标志的数据段通知A需要建立TCP连接。并将TCP报头中的sequence number设置成自己本次连接的初始值ISN。

$ V% k8 c8 i8 b$ w1 I7 I4 r2. A回传给B一个带有SYS+ACK标志的数据段，告之自己的ISN，并确认B发送来的第一个数据段，将acknowledge number设置成B的ISN+1。

3. B确认收到的A的数据段，将acknowledge number设置成A的ISN+1。

B ---- SYN ----> A
) o, y9 p! ]7 Y7 x4 NB <---- SYN+ACK A
B ---- ACK ----> A
" Q2 }0 N( u) e! H/ F0 ^" K- [3 I9 e
TCP使用的sequence number是一个32位的计数器，从0-4294967295。TCP为每一个连接选择一个初始序号ISN，为了防止因为延迟、重传等扰乱三次握手，ISN不能随便选取，不同系统有不同算法。理解TCP如何分配ISN以及ISN随时间变化的规律，对于成功地进行IP欺骗攻击很重要。

基于远程过程调用RPC的命令，比如rlogin、rcp、rsh等等，根据/etc/hosts.equiv以及$HOME/.rhosts文件进行安全校验，其实质是仅仅根据信源IP地址进行用户身份确认，以便允许或拒绝用户RPC。关于上述两个文件请man，不喜欢看英文就去Unix版看看我以前灌过的一瓢水。
- m% s$ z! K1 ?% s/ G+ A
) a8 @$ k$ y2 U6 a5 N, T  LIP欺骗攻击的描述：
+ f' t* N. L2 P
( W' h' B6 l7 @0 x) P1. 假设Z企图攻击A，而A信任B，所谓信任指/etc/hosts.equiv和$HOME/.rhosts中有相关设置。注意，如何才能知道A信任B呢？没有什么确切的办法。我的建议就是平时注意搜集蛛丝
马迹，厚积薄发。一次成功的攻击其实主要不是因为技术上的高明，而是因为信息搜集的广泛翔实。动用了自以为很有成就感的技术，却不比人家酒桌上的巧妙提问，攻击只以成功为终极目标，不在乎手段。
* {# K8 A! n$ q: [) W
2. 假设Z已经知道了被信任的B，应该想办法使B的网络功能暂时瘫痪，以免对攻击造成干扰。著名的SYN flood常常是一次IP欺骗攻击的前奏。请看一个并发服务器的框架：
% O1 Z$ ], M) ^1 ~- k/ I
2 k5 G6 @4 [2 g6 O, Nint initsockid, newsockid;
0 D4 C/ [3 ]2 ]1 P7 @: e7 Pif ((initsockid = socket(...)) <0) {
error("can't create socket");
* h8 d+ @7 m" G7 x% T5 e$ e}
2 h! f8 n1 }4 R: s/ i" e! x5 Q7 uif (bind(initsockid, ...) <0) {
; U6 g1 t/ x% S* Y6 _2 L1 n( [error("bind error");
% @* T4 x5 |8 k) N1 ~& A" j}
if (listen(initsockid, 5) <0) {
7 r- f5 m" e/ k: Z$ u4 b( Berror("listen error");
}
for (;;) {
newsockid = accept(initsockid, ...); /* 阻塞 */
# F. t" g& X4 i7 G# ?- v, Q! l& Yif (newsockid <0) {
) J( e+ G. h$ z5 eerror("accept error");
: {0 H9 K+ _1 Q$ f, |}
& K  |, N! U) ]" t- Iif (fork() == 0) { /* 子进程 */
% K* W+ a7 q) m4 Xclose(initsockid);
' g7 e5 H7 S) c. a( ^2 ~do(newsockid); /* 处理客户方请求 */
exit(0);
* t4 P/ A- ]3 z0 K0 p7 q}
+ R) z* ^4 T7 |, a5 Hclose(newsockid);
! ~# f  e: p5 N) P" ]}
( |1 r2 w# ~9 I1 ?* `
listen函数中第二个参数是5，意思是在initsockid上允许的最大连接请求数目。如果某个时刻initsockid上的连接请求数目已经达到5，后续到达initsockid的连接请求将被TCP丢弃。注意一旦连接通过三次握手建立完成，accept调用已经处理这个连接，则TCP连接请求队列空出一个位置。所以这个5不是指initsockid上只能接受5个连接请求。SYN flood正是一种Denial of Service，导致B的网络功能暂 碧被尽?nbsp;
* Q4 ^3 x, J; x; z& l. U
& \5 {" `* z# x* q4 p6 {" hZ向B发送多个带有SYN标志的数据段请求连接，注意将信源IP地址换成一个不存在的主机X；B向子虚乌有的X发送SYN+ACK数据段，但没有任何来自X的ACK出现。B的IP层会报告B的TCP层，X不可达，但B的TCP层对此不予理睬，认为只是暂时的。于是B在这个initsockid上再也不能接收正常的连接请求。

4 U. g9 ^$ v5 Y2 C& W, MZ(X) ---- SYN ----> B
Z(X) ---- SYN ----> B
Z(X) ---- SYN ----> B
/ y' C* W- C" m7 IZ(X) ---- SYN ----> B
Z(X) ---- SYN ----> B
......
X <---- SYN+ACK B
' t( m) `  h* r2 C0 Z6 XX <---- SYN+ACK B
$ R- p3 ]) l) ~, X. N3 o2 J  LX <---- SYN+ACK B
$ D8 u( `( d7 W8 n8 ]X <---- SYN+ACK B
X <---- SYN+ACK B
/ B" ~) `: c" A+ M' _, r......

1 n5 l$ _0 M7 V* R作者认为这样就使得B网络功能暂时瘫痪，可我觉得好象不对头。因为B虽然在initsockid上无法接收TCP连接请求，但可以在another initsockid上接收，这种SYN flood应该只对特定的
3 S$ Q' C/ n1 a; M) ]/ t7 J3 Y服务(端口)，不应该影响到全局。当然如果不断地发送连接请求，就和用ping发洪水包一个道理，使得B的TCP/IP忙于处理负载增大。至于SYN flood，回头有机会我单独灌一瓢有关DoS的。如何使B的网络功能暂 碧被居 很多办法，根据具体情况而定，不再赘述。

3. Z必须确定A当前的ISN。首先连向25端口(SMTP是没有安全校验机制的)，与1中类似，不过这次需要记录A的ISN，以及Z到A的大致的RTT(round trip time)。这个步骤要重复多次以便求出
% K; K9 H/ J0 k" wRTT的平均值。现在Z知道了A的ISN基值和增加规律(比如每秒增加128000，每次连接增加64000)，也知道了从Z到A需要RTT/2的时间。必须立即进入攻击，否则在这之间有其他主机与A连接，
ISN将比预料的多出64000。

4. Z向A发送带有SYN标志的数据段请求连接，只是信源IP改成了B，注意是针对TCP513端口(rlogin)。A向B回送SYN+ACK数据段，B已经无法响应(凭什么？按照作者在2中所说，估计还达不到这个效果，因为Z必然要模仿B发起connect调用，connect调用会完成全相关，自动指定本地socket地址和端口，可事实上B很可能并没有这样一个端口等待接收数据。除非Z模仿B发起
: ?5 R6 M" R: B/ [& c8 h连接请求时打破常规，主动在客户端调用bind函数，明确完成全相关，这样必然知道A会向B的某个端口回送，在2中也针对这个端口攻击B。可是如果这样，完全不用攻击B，bind的时候
指定一个B上根本不存在的端口即可。我也是想了又想，还没来得及看看老外的源代码，不妥之处有待商榷。总之，觉得作者好象在蒙我们，他自己也没有实践成功过吧。)，B的TCP层只是
简单地丢弃A的回送数据段。
1 \) q0 A1 u' e0 D& F; K% ~
5. Z暂停一小会儿，让A有足够时间发送SYN+ACK，因为Z看不到这个包。然后Z再次伪装成B向A发送ACK，此时发送的数据段带有Z预测的A的ISN+1。如果预测准确，连接建立，数据传送开始。问题在于即使连接建立，A仍然会向B发送数据，而不是Z，Z仍然无法看到A发往B的数据段，Z必须蒙着头按照rlogin协议标准假冒B向A发送类似 "cat + + >> ~/.rhosts" 这样的命令，于是攻击完成。如果预测不准确，A将发送一个带有RST标志的数据段异常终止连接，Z只有从头再来。

Z(B) ---- SYN ----> A
B <---- SYN+ACK A
Z(B) ---- ACK ----> A
Z(B) ---- PSH ----> A
: G) ?- x6 R: R, \9 Z$ C......
  ]- R9 W' w8 z; w
6. IP欺骗攻击利用了RPC服务器仅仅依赖于信源IP地址进行安全校验的特性，建议阅读rlogind的源代码。攻击最困难的地方在于预测A的ISN。作者认为攻击难度虽然大，但成功的可能性
5 J. s# M& n3 S  a' T% l也很大，不是很理解，似乎有点矛盾。考虑这种情况，入侵者控制了一台由A到B之间的路由器，假设Z就是这台路由器，那么A回送到B的数据段，现在Z是可以看到的，显然攻击难度
" G) m+ L2 J- ~+ y3 S) f- x3 y" h骤然下降了许多。否则Z必须精确地预见可能从A发往B的信息，以及A期待来自B的什么应答信息，这要求攻击者对协议本身相当熟悉。同时需要明白，这种攻击根本不可能在交互状态下完
成，必须写程序完成。当然在准备阶段可以用netxray之类的工具进行协议分析。
* d$ T1 r+ N8 x& E
9 ^8 G/ M8 z$ _7 r- G7. 如果Z不是路由器，能否考虑组合使用ICMP重定向以及ARP欺骗等技术？没有仔细分析过，只是随便猜测而已。并且与A、B、Z之间具体的网络拓扑有密切关系，在某些情况下显然大幅度
$ v, L. F) q) |- Y5 c" P6 ?- x* m降低了攻击难度。注意IP欺骗攻击理论上是从广域网上发起的，不局限于局域网，这也正是这种攻击的魅力所在。利用IP欺骗攻击得到一个A上的shell，对于许多高级入侵者，得到目标主
' N9 a2 Z0 s- h机的shell，离root权限就不远了，最容易想到的当然是接下来进行buffer overflow攻击。

8. 也许有人要问，为什么Z不能直接把自己的IP设置成B的？这个问题很不好回答，要具体分析网络拓扑，当然也存在ARP冲突、出不了网关等问题。那么在IP欺骗攻击过程中是否存在ARP冲突问题。回想我前面贴过的ARP欺骗攻击，如果B的ARP Cache没有受到影响，就不会出现ARP冲突。如果Z向A发送数据段时，企图解析A的MAC地址或者路由器的MAC地址，必然会发送ARP请求包，但这个ARP请求包中源IP以及源MAC都是Z的，自然不会引起ARP冲突。而ARP Cache只会被ARP包改变，不受IP包的影响，所以可以肯定地说，IP欺骗攻击过程中不存在ARP冲突。相反，如果Z修改了自己的IP，这种ARP冲突就有可能出现，示具体情况而言。攻击中连带B一起攻击了，其目的无非是防止B干扰了攻击过程，如果B本身已经down掉，那是再好不过(是吗？)。

4 B: f: B. \* D( Q, z1 G! q9. fakeip曾经沸沸扬扬了一下，我对之进行端口扫描，发现其tcp端口113是接收入连接的。和IP欺骗等没有直接联系，和安全校验是有关系的。当然，这个东西并不如其名所暗示，对IP层没有任何动作。
" q: I% Z4 f6 ?# `
10. 关于预测ISN，我想到另一个问题。就是如何以第三方身份切断A与B之间的TCP连接，实际上也是预测sequence number的问题。尝试过，也很困难。如果Z是A与B之间的路由器，就不用说了；或者Z动用了别的技术可以监听到A与B之间的通信，也容易些；否则预测太难。作者在3中提到连接A的25端口，可我想不明白的是513端口的ISN和25端口有什么关系？看来需要看看TCP/IP内部实现的源代码。
) F2 y! O7 G# w2 j
未雨绸缪
# r9 q; o/ b7 ~' t  q. Z9 X
8 K) ]: Q$ t" _& m" O5 b虽然IP欺骗攻击有着相当难度，但我们应该清醒地意识到，这种攻击非常广泛，入侵往往由这里开始。预防这种攻击还是比较容易的，比如删除所有的/etc/hosts.equiv、$HOME/.rhosts文件，修改/etc/inetd.conf文件，使得RPC机制无法运做，还可以杀掉portmapper等等。设置路由器，过滤来自外部而信源地址却是内部IP的报文。cisio公司的产品就有这种功能。不过路由器只防得了外部入侵，内部入侵呢？

4 P4 |; P- ?9 }# LTCP的ISN选择不是随机的，增加也不是随机的，这使攻击者有规可循，可以修改与ISN相关的代码，选择好的算法，使得攻击者难以找到规律。估计Linux下容易做到，那solaris、irix、hp-unix还有aix呢？sigh
9 t% ]! n+ L6 W- J/ [# T8 H
虽然作者纸上谈兵，但总算让我们了解了一下IP欺骗攻击，我实验过预测sequence number，不是ISN，企图切断一个TCP连接，感觉难度很大。作者建议要找到规律，不要盲目预测，这需要时间和耐心。现在越发明白什么是那种锲而不舍永远追求的精神，我们所向往的传奇故事背后有着如此沉默的艰辛和毅力，但愿我们学会的是这个，而不是浮华与喧嚣。一个现成的bug足以让你取得root权限，可你在做什么，你是否明白？我们太肤浅了......
3 D) i! r' u! x: M  h/ o- c 浅了......