我写的高性能,简化的SYNCOOKIE实现

Au_Hank

原帖由 swingcoder 于 2007-9-14 10:40 发表
window下有什么好的协议捕捉软件，我装的是WIN2000专业版。除了WIN自带的那个网络捕捉器外。

ethereal很好用

platinum

原帖由 Au_Hank 于 2007-9-14 10:48 发表


那不是破坏firewall规则了吗? 还没有检查规则就给别人syn ack?
另外,我建议firewall (在前面)和 synproxy (在后面)分开 (服务器在最后面),获得更好的性能

也是啊……
不过我想，若继续交给后面处理，若 DROP 的话形成 blackhole，自己就不理会了
若后面没有防火墙，server 会返回 RST，自己转发给 client
这样可以吗

[ 本帖最后由 platinum 于 2007-9-14 10:55 编辑 ]

Au_Hank

原帖由 platinum 于 2007-9-14 10:53 发表

也是啊……
不过我想，若继续交给后面处理，若 DROP 的话形成 blackhole，自己就不理会了
若后面没有防火墙，server 会返回 RST，自己转发给 client
这样可以吗

应该也可以,不过黑客要被你弄晕了, 扫描你的port全部都是开放的

platinum

原帖由 Au_Hank 于 2007-9-14 11:11 发表


应该也可以,不过黑客要被你弄晕了, 扫描你的port全部都是开放的

swingcoder

要解决DDOS可能还是要从基于用户行为上下功夫，类似spamassist,配合netfiler,一发现有滥用行为的connection就block

[ 本帖最后由 swingcoder 于 2007-9-14 15:21 编辑 ]

Au_Hank

原帖由 swingcoder 于 2007-9-14 15:18 发表
要解决DDOS可能还是要从基于用户行为上下功夫，类似spamassist,配合netfiler,一发现有滥用行为的connection就block

有道理. 尤其是网络管理员应该设置规则,禁止伪造源地址包的传播

csfrank

我虽然不是看的很懂，但我在比较了secure_tcp_syn_cookie(老函数)和new_secure_tcp_syn_cookie(新函数)之后，有一个直觉，你的新函数是不安全的。
关键就在于原来的老函数当中使用的是不可逆的hash计算，而你的新函数却是可逆的。

因此客户端有可能通过发送ack包来成功攻击。

方法：
首先客户端在不伪造ip的情况下发送syn包，然后正常接收到你的回应(包含cookie)，由于你计算isn的的函数是可逆的（当然也是开源的），因此他就可以反推出你的new_syncookie_secret值，而这个值好像不是频繁变化的吧？
这个都知道了，攻击当然就轻而易举了

PS：只是花了两分钟粗略的看了看，很可能思考的很不严密，见笑了

[ 本帖最后由 csfrank 于 2007-9-14 23:12 编辑 ]

platinum

要知道算法，那么就可以破解攻破
若不知道算法，如黑盒一般，那就不好猜测了

Au_Hank

原帖由 csfrank 于 2007-9-14 22:36 发表
我虽然不是看的很懂，但我在比较了secure_tcp_syn_cookie(老函数)和new_secure_tcp_syn_cookie(新函数)之后，有一个直觉，你的新函数是不安全的。
关键就在于原来的老函数当中使用的是不可逆的hash计算，而你的 ...

你说的对,我最担心的就是这个问题.希望有数学高手来分析一下这个算法是否很容易破解

这个算法很简单,所以非常高效. 主要是去猜测1024字节的密码应该非常困难吧?

csfrank

原帖由 platinum 于 2007-9-15 01:45 发表
要知道算法，那么就可以破解攻破
若不知道算法，如黑盒一般，那就不好猜测了

你说的不尽然，要成为一个成功的加密算法，必须是白盒才行。对称加密和非对称加密与本帖无关，这里就不说了。
我只说一下合格的散列算法必须满足的条件：
假定 一个hash算法的函数是
y=f(x)，并且f(x)是公开的

在这种情况下，告诉你y的值，以当前的计算机速度，不可能在短时间内(100年也算是短时间)找到对应的x
但同时，知道x的值，却可以飞快(比如：<1秒)的计算出y的值。

也近似的相当于f(x)不存在反函数。

这就是hash函数的要害所在。