[讨论]修改第三次ACK,实现源IP欺骗.

ssffzz1

前两个步骤都是正常的包,而到第三步时,服务器突然收到一个包,除了源地址外,其余的东西都符合第三个包的要求.但即时是这样,因为服务器以前没有和此IP会话的连接记录因此会丢掉改包.也就是说服务器突然收到了一个莫名其妙而SEQ有很特殊的包,怎么办呢,丢掉吧!

agaonet

原帖由 liuzhuan23 于 2006-12-4 02:23 发表
net/3或net/4的栈里，在L4协议的实现机制中，需要使用路由的高速缓存，所以，这种IP欺骗的做法是不可能实现的

等的就是这句话...

由于卷一上讨论的东西没有设计到实际的操作,卷二看起又很痛苦..所以....

不过不知道你的说法可有证明?

agaonet

原帖由 ssffzz1 于 2006-12-4 20:21 发表
前两个步骤都是正常的包,而到第三步时,服务器突然收到一个包,除了源地址外,其余的东西都符合第三个包的要求.但即时是这样,因为服务器以前没有和此IP会话的连接记录因此会丢掉改包.也就是说服务器突然收到了一个莫 ...

能做验证吗?或者能给出来源吗?

colddawn

这样说吧，tcp连接从逻辑上看是存在的，而从实际来看其实连接是由双向的IP数据报组合而成的，然而如何把零散的IP数据报组合成连接呢？这里就牵扯到seq问题了，其实连接就是把seq为从小到大连续整数的IP数据报串起来就是了，当然两个方向都要保持。
根据此原理，如果我能抢先在双方发出正常的下一个数据报之前，往其中一方发送我们精心构造的数据报，而构造的数据报的seq数恰好就是双方预期的下一个seq的话，那我们的数据报理应被双方机器认为是正常的数据报，这就是会话劫持了。其实这种思路是完全正确的。

但是问题在于，我们作为劫持者，肯定是希望自己能完全伪装成双方通讯的一方，从而窃取重要信息或者是实现我们想要的动作，然而我们与真正的双方机器有一个无法伪装的不同点，这就是机器的物理位置。我们可以伪装源/目的IP，源/目的端口，源/目的连接seq，甚至可以伪装mac地址，但是作为劫持者的物理连接这是无法伪装的。因此从TCP层来看我们伪装的目的达到了，然而从IP层以及以下的层，他们是根据IP地址，mac地址，链路端口等输送数据报，只要有一样你没有伪装成功，则数据还是被发送到原始的通讯双方了，也就是说你可能通过劫持seq来插入一个包，然而在绝大多数情况下，你插入包是要求反馈回数据的，服务器在被你成功插入而又按你所说的动作执行后，返回的包不会发给劫持者而是发给源客户端，这样在绝大多数情况你还是无法完成整个劫持。

假设a和b为通讯双方，c为劫持者：

a  <-------------------------------------------------- >  b
                                                  |
                                                  |
                                                  |
                             c----------------->------
                                                发送伪装包，保证在a的正常包之前到达b

                   b回应伪装包，但结果仍然不经由c，c做无用功
a  <------------------<<--------------------------------   b
                                                  
                                                  
                                                  
                             c-----------------X---------------



因此设想用此方法来劫持会话并窃听内容或者误导双方动作是很难完成的，但也存在几种特殊情况：
1，c与a处于同一局域网，通过arp欺骗此种中间人攻击完全伪装a
2，注入的是不需要或者不关心回应的包，因此只要我们c构造的包到达b即告完成，b返回结果我们不关心。此种情况有用于切断某个连接的RST包，实际GFW设备就是利用此种方式禁止我们的访问的，它一边旁路监听连接双方，如果发现有需要切断的连接，就构造一个seq与此连接双方相关的包，包无内容，仅仅置RST位，这样双方就认为连接异常中断，停止发送数据。

agaonet

原帖由 agaonet 于 2006-12-8 22:41 发表于 13楼  



能做验证吗?或者能给出来源吗?

让我也想不通的就在这个地方:不知道在这时候,服务器是丢掉这个包.还是接收这个包.....困惑...
如果服务器接收了.那么我们的目的就达到了...伪装也就成功了.

網中人

我沒有能力去實作這個構思。
但我會認為 server 會 reset 這個連線。

ssffzz1

我验证这个问题了，服务器就是丢弃了．