【文章內(nèi)容簡介】 ST標志位的功能已經(jīng)可以看出這種攻擊如何達到效果了。 那么偽造什么樣的TCP包可以達成目的呢？我們至頂向下的看。假定C偽裝成A發(fā)過去的包，這個包如果是RST包的話，毫無疑問，B將會丟棄與A的緩沖區(qū)上所有數(shù)據(jù)，強制關掉連接。如果發(fā)過去的包是SYN包，那么，B會表示A已經(jīng)發(fā)瘋了（與OS的實現(xiàn)有關），正常連接時又來建新連接，B主動向A發(fā)個RST包，并在自己這端強制關掉連接。 這兩種方式都能夠達到復位攻擊的效果。似乎挺恐怖，然而關鍵是，如何能偽造成A發(fā)給B的包呢？這里有兩個關鍵因素，源端口和序列號。 一個TCP連接都是四元組，由源IP、源端口、目標IP、目標端口唯一確定一個連接。所以，如果C要偽造A發(fā)給B的包，要在上面提到的IP頭和TCP頭，把源IP、源端口、目標IP、目標端口都填對。這里B作為服務器，IP和端口是公開的，A是我們要下手的目標，IP當然知道，但A的源端口就不清楚了，因為這可能是A隨機生成的。當然，如果能夠?qū)ΤＲ姷腛S如windows和linux找出生成source port規(guī)律的話，還是可以搞定的。 序列號問題是與滑動窗口對應的，偽造的TCP包里需要填序列號，如果序列號的值不在A之前向B發(fā)送時B的滑動窗口內(nèi)，B是會主動丟棄的。所以我們要找到能落到當時的AB間滑動窗口的序列號。這個可以暴力解決，因為一個sequence長度是32位，取值范圍04294967296，如果窗口大小像上圖中我抓到的windows下的65535的話，只需要相除，就知道最多只需要發(fā)65537（4294967296/65535=65537）個包就能有一個序列號落到滑動窗口內(nèi)。RST包是很小的，IP頭＋TCP頭也才40字節(jié)，算算我們的帶寬就知道這實在只需要幾秒鐘就能搞定。 那么，序列號不是問題，源端口會麻煩點，如果各個操作系統(tǒng)不能完全隨機的生成源端口，或者黑客們能通過其他方式獲取到source port，RST攻擊易如反掌，后果很嚴重 圖 防御：對付這種攻擊也可以通過防火墻簡單設置就可以了。建議使用防火墻將進來的包帶RST位的包丟棄就可以了。RST攻擊只能針對tcp。對udp無效。RST用于復位因某種原因引起出現(xiàn)的錯誤連接，也用來拒絕非法數(shù)據(jù)和請求。如果接收到RST位時候，通常發(fā)生了某些錯誤。假設有一個合法用戶()已經(jīng)同服務器建立了正常的連接，攻擊者構造攻擊的TCP數(shù)據(jù)，并向服務器發(fā)送一個帶有RST位的TCP數(shù)據(jù)段。服務器接收到這樣的數(shù)據(jù)后，就會清空緩沖區(qū)中建立好的連接。這時，服務器就已經(jīng)沒有這樣的連接了，該用戶就必須重新開始建立連接。對付這種攻擊也可以通過防火墻簡單設置就可以了。 TCP會話劫持 會話劫持原理： 例如你Telnet到某臺主機，這就是一次Telnet會話。你瀏覽某個網(wǎng)站，這就是一次HTTP會話。而會話劫持(Session Hijack)，就是結合了嗅探以及欺騙技術在內(nèi)的攻擊手段。例如，在一次正常的會話過程當中，攻擊者作為第三方參與到其中，他可以在正常數(shù)據(jù)包中插入惡意數(shù)據(jù)，也可以在雙方的會話當中進行監(jiān)聽，甚至可以是代替某一方主機接管會話。我們可以把會話劫持攻擊分為兩種類型:1)中間人攻擊(Man In The Middle，簡稱MITM)，2)注射式攻擊(Injection)。并且還可以把會話劫持攻擊分為兩種形式:1)被動劫持，2)主動劫持。被動劫持實際上就是在后臺監(jiān)視雙方會話的數(shù)據(jù)流，從中獲得敏感數(shù)據(jù)。而主動劫持則是將會話當中的某一臺主機踢下線，然后由攻擊者取代并接管會話，這種攻擊方法危害非常大，攻擊者可以做很多事情，比如cat etc/(FreeBSD下的Shadow文件)。會話劫持利用了TCP/IP工作原理來設計攻擊。TCP使用端到端的連接，即TCP用(源IP，源TCP端口號，目的IP，目的TCP端號)來唯一標識每一條已經(jīng)建立連接的TCP鏈路。另外，TCP在進行數(shù)據(jù)傳輸時，TCP報文首部的兩個字段序號(seq)和確認序號(ackseq)非常重要。序號(seq)和確認序號(ackseq)是與所攜帶TCP數(shù)據(jù)凈荷(payload)的多少有數(shù)值上的關系:序號字段(seq)指出了本報文中傳送的數(shù)據(jù)在發(fā)送主機所要傳送的整個數(shù)據(jù)流中的順序號，而確認序號字段(ackseq)指出了發(fā)送本報文的主機希望接收的對方主機中下一個八位組的順序號。因此，對于一臺主機來說，其收發(fā)的兩個相臨TCP報文之間的序號和確認序號的關系為:它所要發(fā)出的報文中的seq值應等于它所剛收到的報文中的ackseq的值，而它所要發(fā)送報文中ackseq的值應為它所收到報文中seq的值加上該報文中所發(fā)送的TCP凈荷的長度。TCP會話劫持的攻擊方式可以對基于TCP的任何應用發(fā)起攻擊，如HTTP、FTP、Telnet等。對于攻擊者來說，所必須要做的就是窺探到正在進行TCP通信的兩臺主機之間傳送的報文，這樣攻擊者就可以得知該報文的源IP、源TCP端口號、目的IP、目的TCP端號，從而可以得知其中一臺主機對將要收到的下一個TCP報文段中seq和ackseq值的要求。這樣，在該合法主機收到另一臺合法主機發(fā)送的TCP報文前，攻擊者根據(jù)所截獲的信息向該主機發(fā)出一個帶有凈荷的TCP報文，如果該主機先收到攻擊報文，就可以把合法的TCP會話建立在攻擊主機與被攻擊主機之間。帶有凈荷的攻擊報文能夠使被攻擊主機對下一個要收到的TCP報文中的確認序號(ackseq)的值的要求發(fā)生變化，從而使另一臺合法的主機向被攻擊主機發(fā)出的報文被被攻擊主機拒絕。TCP會話劫持攻擊方式的好處在于使攻擊者避開了被攻擊主機對訪問者的身份驗證和安全認證，從而使攻擊者直接進入對被攻擊主機的的訪問狀態(tài)，因此對系統(tǒng)安全構成的威脅比較嚴重。 攻擊過程：1找到一個活動的會話會話劫持的第一步要求攻擊者找到一個活動的會話。這要求攻擊者嗅探在子網(wǎng)上的通訊。攻擊者將尋找諸如FTP之類的一個已經(jīng)建立起來的TCP會話。如果這個子網(wǎng)使用一個集線器，查找這種會話是很容易的。一個交換的網(wǎng)絡需要攻擊者破壞地址解析協(xié)議。2猜測正確的序列號碼下一步，攻擊者必須能夠猜測正確的序列號碼。請記住，一個基本的TCP協(xié)議設計是傳輸?shù)臄?shù)據(jù)的每一個字節(jié)必須要有一個序列號碼。這個序列號用來保持跟蹤數(shù)據(jù)和提供可靠性。最初的序列號碼是在TCP協(xié)議握手的第一步生成的。目的地系統(tǒng)使用這個值確認發(fā)出的字節(jié)。這個序列號字段長度有32個字節(jié)。這就意味著可能有大約4,29