不速之客

夜黑風(fēng)高，烏云蔽月。

兩位不速之客，身著黑衣，一高一矮，潛入Linux帝國(guó)。

這一潛就是一個(gè)多月，直到他們收到了一條消息······

高個(gè)：“上峰終于給我們派任務(wù)了”

矮個(gè)：“什么任務(wù)？我都閑的發(fā)慌了”

高個(gè)：“上峰讓我們配合他們完成TCP連接的劫持”

矮個(gè)：“TCP劫持？我們就是個(gè)普通程序，并沒(méi)有內(nèi)核權(quán)限，怎么去修改網(wǎng)絡(luò)連接啊，這不是強(qiáng)人所難嘛”

高個(gè)：“是啊，我也很奇怪。信上只約定了讓我們到時(shí)候告訴他們一個(gè)計(jì)數(shù)器的值就行，其他我們不用管”

矮個(gè)：“計(jì)數(shù)器，什么計(jì)數(shù)器？”

高個(gè)：“DelayedACKLost，信上說(shuō)執(zhí)行cat /proc/net/netstat就能看到”

矮個(gè)：“不需要特殊權(quán)限嗎？”

高個(gè)：“我也不知道，要不咱先試一下？”

兩人收起信件，環(huán)顧一圈，見(jiàn)四下無(wú)人，便偷偷執(zhí)行了這一條命令：

“這都是些什么?。吭趺催@么多？”，矮個(gè)子問(wèn)到。

“看樣子，像是記錄了Linux帝國(guó)網(wǎng)絡(luò)協(xié)議棧的很多統(tǒng)計(jì)信息”，高個(gè)子一邊說(shuō)一邊仔細(xì)的查看著。

“這些信息居然是公開(kāi)的，誰(shuí)都可以看？”

“也只能看，又改不了。怕啥？快找吧，找到DelayedACKLost再說(shuō)”

兩人瞪大了眼睛，總算在一片密密麻麻的輸出中，找到了他們要的計(jì)數(shù)器。

可這一個(gè)小小的計(jì)數(shù)器怎么就能助上峰完成TCP的劫持，二人卻是百思不得其解。

秘密任務(wù)

第二天晚上。

“快醒醒，上峰又來(lái)消息了”，在高個(gè)子的一陣搖晃中，矮個(gè)睜開(kāi)了困頓的雙眼。

“又是什么消息?。俊?/p>

“讓我們立即匯報(bào)DelayedACKLost的值”

兩人趕緊起身，再次執(zhí)行了那條命令，拿到了計(jì)數(shù)器的值，報(bào)了上去。

剛發(fā)完消息還沒(méi)緩過(guò)神，上峰的指示又來(lái)了：DelayedACKLost有無(wú)增加？

兩人互相看了一眼，不解其意，不過(guò)還是再次查看了計(jì)數(shù)器，確認(rèn)沒(méi)有增加，再次把結(jié)果報(bào)了上去。

就這樣，來(lái)來(lái)回回幾十次，上峰一直詢問(wèn)這個(gè)計(jì)數(shù)器有無(wú)增加，可把哥倆忙壞了。

終于，上峰不再來(lái)消息，兩人有了喘息的時(shí)間。

古怪的TCP連接

而此刻，Linux帝國(guó)網(wǎng)絡(luò)部協(xié)議棧大廈還是燈火通明。

“今晚是怎么回事，網(wǎng)絡(luò)怎么這么差，我都收到了好多錯(cuò)誤包了”，新來(lái)的Robert嘆了口氣。

“不至于吧，是不是因?yàn)閯倎?lái)還不太熟練？”，一旁的Cerf隨口問(wèn)到。

“不是啊，有一條連接，我收到的包序列號(hào)不是太小，就是太大，搞了好多次才正確的，我還沒(méi)見(jiàn)過(guò)這種情況呢！”，Robert繼續(xù)說(shuō)到。

一聽(tīng)這話，Cerf趕緊放下了手里的工作，來(lái)到Robert工位旁邊，“這么邪乎？你說(shuō)這情況我來(lái)這里這么久也沒(méi)見(jiàn)過(guò)，讓我看看”

Cerf仔細(xì)查看了過(guò)去一段時(shí)間的通信，這條連接上，不斷有數(shù)據(jù)包發(fā)送過(guò)來(lái)，但因?yàn)門CP序列號(hào)一直不對(duì)，所以一直給丟掉了。

“有點(diǎn)奇怪，這家伙怎么感覺(jué)像是在猜序列號(hào)啊？而且奇怪的是最終居然讓他給猜出來(lái)了！這條連接一定有古怪，多半是被人劫持了。劫持方因?yàn)椴恢佬蛄刑?hào)，所以一直在嘗試猜測(cè)序列號(hào)”，Cerf說(shuō)到。

Robert也看了一看，“你這么一說(shuō)，確實(shí)是，而且你看，他不是瞎猜，好像是用二分法在猜！序列號(hào)是個(gè)32位的整數(shù)，二分法猜測(cè)，只需要32次就能猜出來(lái)”

“二分法？要用二分法的前提他得知道他是猜大了還是猜小了，得不到這個(gè)反饋，他就只能瞎猜了。他是如何得知猜大還是猜小的呢？”

兩人思來(lái)想去，也想不通對(duì)方是如何用二分法猜出了最終的序列號(hào)，隨后將此事報(bào)給了網(wǎng)絡(luò)部傳輸層主管，主管又將這事報(bào)給了帝國(guó)安全部長(zhǎng)。

揪出潛伏者

部長(zhǎng)得知這個(gè)消息后，高度重視，要求全面排查網(wǎng)絡(luò)部TCP小組相關(guān)的代碼。

大家尋著TCP數(shù)據(jù)包處理的流程，在序列號(hào)檢查處的位置發(fā)現(xiàn)了問(wèn)題。

如果序列號(hào)檢查不通過(guò)，就會(huì)進(jìn)入tcp_send_dupack，大家都把注意力放到了這里：

“這里這個(gè)before判斷是什么意思？”，主管問(wèn)到。

Cerf上前回答說(shuō)：“這是在判斷收到的數(shù)據(jù)包的序列號(hào)是不是比期望的序列號(hào)小，如果小的話，說(shuō)明網(wǎng)絡(luò)有重傳，就要關(guān)閉延遲回復(fù)ACK的機(jī)制，需要立即回復(fù)ACK”

“延遲回復(fù)ACK？”

“哦，主管，這是我們TCP小組的一個(gè)優(yōu)化，TCP傳輸需要確認(rèn)，但是如果每一次交互數(shù)據(jù)都發(fā)送ACK就太浪費(fèi)了，所以我們做了一個(gè)優(yōu)化，等到多次或者有數(shù)據(jù)發(fā)送的時(shí)候，一并把回復(fù)的ACK帶上，就不用了每次發(fā)送ACK報(bào)文，我們把這個(gè)叫Delayed ACK，也就是延遲確認(rèn)?！保珻erf繼續(xù)解釋到。

“那下面這個(gè)tcp_enter_quickack_mode是不是就是關(guān)閉這個(gè)機(jī)制，進(jìn)入快速ACK回復(fù)模式？”，主管問(wèn)到。

“沒(méi)錯(cuò)沒(méi)錯(cuò)！”

這時(shí)，安全部長(zhǎng)指著一行問(wèn)到，“這里看著有些古怪，是在干嘛？”

“這個(gè)我知道，Cerf昨天教過(guò)我，這個(gè)是在進(jìn)行統(tǒng)計(jì)。把這一次延遲ACK的丟失計(jì)入對(duì)應(yīng)的全局計(jì)數(shù)器中”，Robert說(shuō)到。

經(jīng)驗(yàn)老道的安全部長(zhǎng)此刻意識(shí)到了問(wèn)題，“如此看來(lái)，收到的序列號(hào)比期望小的時(shí)候，這個(gè)計(jì)數(shù)器才會(huì)增加，如果大了就不會(huì)增加。各位試想一下，如果那個(gè)猜測(cè)的家伙能看到這個(gè)計(jì)數(shù)器有無(wú)增長(zhǎng)，不就能知道是猜大了還是猜小了？”

Robert搖了搖頭說(shuō)到：“不會(huì)吧，這計(jì)數(shù)器在我們這里，網(wǎng)絡(luò)上其他人怎么可能知道。再說(shuō)了，這個(gè)計(jì)數(shù)器大家都在用，用這個(gè)判斷，誤差太大啦！”

主管也搖了搖頭，“不對(duì)，雖說(shuō)是大家都在用，不過(guò)這里這個(gè)計(jì)數(shù)器很特別，發(fā)生的概率很小，一般不會(huì)走到這里來(lái)，網(wǎng)絡(luò)哪那么容易出問(wèn)題嘛”

安全部長(zhǎng)說(shuō)到：“根據(jù)目前掌握的信息，之前就有其他部門反映帝國(guó)有奸細(xì)混了進(jìn)來(lái)，不過(guò)他們一直藏在暗處，至今還沒(méi)有揪出來(lái)。如若他們和外界勾結(jié)，作為眼線，觀察這個(gè)計(jì)數(shù)器的變化，外面就能知道他的猜測(cè)是大是小。對(duì)，一定是這樣！”

隨后，安全部長(zhǎng)來(lái)到了文件系統(tǒng)部門，調(diào)用了/proc/net/netstat的訪問(wèn)記錄，根據(jù)記錄很快定位到了隱藏在Linux帝國(guó)的兩個(gè)細(xì)作，下令將他們逮捕。

高矮兩位奸細(xì)如實(shí)交代了一切······

未完待續(xù)······

彩蛋

“老大，我們派出的潛伏者失去聯(lián)系了”

“無(wú)妨，沒(méi)有那兩個(gè)笨蛋，我也能劫持TCP”

預(yù)知后事如何，請(qǐng)關(guān)注后續(xù)精彩······

本文的攻擊手法改編自看雪2018峰會(huì)，網(wǎng)絡(luò)安全大牛錢志云分享的主題《TCP的厄運(yùn)，網(wǎng)絡(luò)協(xié)議側(cè)信道分析及利用》

看雪論壇原文鏈接：https://bbs.pediy.com/thread-245982.htm