電子科技大學(xué)課程名稱：網(wǎng)絡(luò)協(xié)議課程名稱：網(wǎng)絡(luò)協(xié)議實(shí)踐實(shí)驗(yàn)名稱：IP欺騙和TCP會(huì)話竊用學(xué)號：201422260姓名：指導(dǎo)老師：李毅超日期：2014年05月10日實(shí)驗(yàn)報(bào)告實(shí)驗(yàn)?zāi)康耐ㄟ^本實(shí)驗(yàn)，討論IP協(xié)議中的漏洞，特別是對IP欺騙和TCP會(huì)話竊用進(jìn)行分析。掌握IP欺騙方法的入侵和防范，了解TCP會(huì)話竊用過程。二、實(shí)驗(yàn)內(nèi)容本實(shí)驗(yàn)包括幾個(gè)從合法的客戶端到服務(wù)器的telnet會(huì)話，每個(gè)telnet會(huì)話都被第三臺(tái)機(jī)器通過IP欺騙和TCP會(huì)話竊用進(jìn)行攻擊。一些會(huì)話以FIN或RST位終止，另一些會(huì)話被劫持，攻擊者的數(shù)據(jù)流入侵到這些會(huì)話的數(shù)據(jù)流中。另外，攻擊者還捕獲了用戶的密碼，并使用它從服務(wù)器獲取文件。三、實(shí)驗(yàn)原理IP欺騙是指用一個(gè)偽造的源IP地址發(fā)送分組，這一般都是通過一種稱為原始IP接口的方法實(shí)現(xiàn)的。由操作系統(tǒng)構(gòu)造的IP分組都會(huì)以一個(gè)正確的源IP地址作為標(biāo)志，但是應(yīng)用程序可以使用原始IP接口的方法構(gòu)造和發(fā)送他們偽造的分組。通過構(gòu)造源IP和目的IP地址以及源端口和目的端口相匹配的IP分組，攻擊者可以利用IP欺騙向TCP數(shù)據(jù)流中發(fā)送數(shù)據(jù)段。如果攻擊者能夠正確地設(shè)置數(shù)據(jù)，接收者就會(huì)接收TCP數(shù)據(jù)流當(dāng)中的偽造分組。接收者會(huì)像響應(yīng)正常TCP數(shù)據(jù)流一樣響應(yīng)偽造的分組，但是，要真正地竊用會(huì)話還必須設(shè)置正確的序號。如果攻擊者發(fā)送分組的序號太小，接收者就會(huì)簡單地發(fā)送一個(gè)確認(rèn)信息，說明它已經(jīng)收到了這樣的分組；如果攻擊者發(fā)送的分組序號太大，接收者很可能會(huì)簡單地發(fā)送一個(gè)數(shù)據(jù)段，告知可能會(huì)高速緩存這些非正常序列的數(shù)據(jù)，并重申它現(xiàn)在所希望接受的分組序號。但是，如果攻擊者發(fā)送的是接收者所期望的序號的分組，就可以成功地實(shí)現(xiàn)“會(huì)話竊用”。四、實(shí)驗(yàn)配置操作及實(shí)驗(yàn)數(shù)據(jù)的產(chǎn)生1、實(shí)驗(yàn)配置在本實(shí)驗(yàn)中，我們在未連接到因特網(wǎng)的私有網(wǎng)絡(luò)中進(jìn)行跟蹤。本實(shí)驗(yàn)在得到了所有用戶許可和已知的情況下進(jìn)行。連接在網(wǎng)絡(luò)中的兩臺(tái)臺(tái)式機(jī)，一臺(tái)作為合法的telnet和FTP服務(wù)器，另一臺(tái)作為合法的客戶端。在實(shí)驗(yàn)中，第三臺(tái)電腦連接到網(wǎng)絡(luò)中，并對這些合法主機(jī)進(jìn)行攻擊，實(shí)驗(yàn)配置如圖1所示。圖1實(shí)驗(yàn)配置2、實(shí)驗(yàn)數(shù)據(jù)的產(chǎn)生客戶端到服務(wù)器的telnet會(huì)話被第三臺(tái)機(jī)器通過IP欺騙和TCP會(huì)話竊用進(jìn)行攻擊，將所有的攻擊分組按照跟蹤順序保存在session_hijack.cap文件中，再將每個(gè)單獨(dú)的連接分別保存在獨(dú)立文件中：telnet_hijacked.cap,telnet2_fin.cap,telnet3_rst.cap,telnet4_hijacked.cap及attacker_ftp.cap。五、實(shí)驗(yàn)數(shù)據(jù)分析及分析步驟1、telnet1_hijacked.cap分析打開telnet1_hijacked.cap文件（見圖2），共有98125個(gè)分組，現(xiàn)進(jìn)行簡要分析：圖2合法客戶端和服務(wù)器之間的連接在分組1和分組2中可以看到SYN和SYNACK標(biāo)志。分組1是從IP地址為03的客戶端發(fā)送到IP地址為01的服務(wù)器，分析Ethereal的幀首部可見客戶端MAC地址為00:06:5b:d5:1e:e7，服務(wù)器的MAC地址為00:00：c0:29:36:e8，分組2是服務(wù)器向客戶端的響應(yīng)。理論上來說這樣的TCP連接總共應(yīng)該有98125個(gè)分組，但是在過濾器中添加條件后只有98123個(gè)分組，丟失了兩個(gè)分組，通過過濾器添加條件找出這兩個(gè)丟失的分組分別為223和243。第一個(gè)偽造的分組中，前8個(gè)ASCII碼為0x08字符代表退格字符，后面2個(gè)ASCII為0x0a字符代表換行符。當(dāng)這個(gè)分組加入TCP數(shù)據(jù)流后，服務(wù)器會(huì)認(rèn)為用戶鍵入退格符8次，然后回車符2次。第二個(gè)偽造的分組中，共37個(gè)字節(jié)的數(shù)據(jù)，主要命令如下截圖，攻擊者利用這種方法可以發(fā)出任何合法用戶可以發(fā)出的命令。在攻擊發(fā)生前，客戶端與服務(wù)器已成功交互460個(gè)分組，攻擊者準(zhǔn)備地知道要使用的確認(rèn)號，將其偽造的序號為233的分組461發(fā)給服務(wù)器，服務(wù)器就會(huì)發(fā)送一個(gè)確認(rèn)信息給客戶端，表示其準(zhǔn)備接受序號為243的分組，然而，客戶端知道它沒有發(fā)送序號233-242給服務(wù)器。因此，它將發(fā)送一個(gè)長度為0，序號為233的分組463，在之后，客戶端和服務(wù)器再也不能達(dá)成一致，他們都在等待對方的響應(yīng)信息，這樣兩邊一直僵持（見圖），持續(xù)等待了95000個(gè)分組。圖3客戶端和服務(wù)器的僵持當(dāng)攻擊者發(fā)送第二個(gè)偽造的分組656，這個(gè)分組的序號243號正式服務(wù)器所期待的，服務(wù)器接收這個(gè)分組，然后把后續(xù)分組的確認(rèn)號都設(shè)置為280.然后服務(wù)器和合法客戶端又返回到雙重確認(rèn)的僵局中。2、TCP會(huì)話終止分析在telnet1_hijacked.cap文件中，攻擊者成功地加入了實(shí)現(xiàn)其自身目的的“hijacked”會(huì)話，同時(shí)使合法客戶端和服務(wù)器無法通信在telnet2_fin.cap和telnet3_rst.cap文件中，攻擊者并沒有向TCP數(shù)據(jù)流中加入任何數(shù)據(jù)，而是成功地簡單終止連接。在telnet2_fin.cap文件中，攻擊者發(fā)送含有FIN位的分組535。這次攻擊是偽裝為服務(wù)器向客戶端發(fā)送偽造的分組。客戶端用它自己的分組538中的FIN位作為響應(yīng)。對于真正的服務(wù)器是第一次收到客戶端關(guān)閉連接的分組，并以分組540中的FIN位作為響應(yīng)，客戶端收到這個(gè)分組后，服務(wù)器和客戶端的連接已經(jīng)斷開，客戶端會(huì)發(fā)送一個(gè)窗口位為0和RST位置位的分組。這樣，就完全斷開了客戶端和服務(wù)器的連接。在telnet3_rst.cap文件中，攻擊者向客戶端發(fā)送了一個(gè)RST位置位的分組339.攻擊者再次偽裝為服務(wù)器，并向客戶端發(fā)送偽造的分組?？蛻舳藭?huì)立刻直接關(guān)閉與服務(wù)器的連接，而不是按通常的三次握手的步驟來關(guān)閉連接（即發(fā)送FIN、FINACK）。而此時(shí)真正的服務(wù)器并不知道發(fā)生了這些，它會(huì)繼續(xù)向客戶端發(fā)送分組340，當(dāng)這個(gè)分組到達(dá)客戶端后，客戶端會(huì)響應(yīng)連接已經(jīng)關(guān)閉的信息。圖4客戶端關(guān)閉與服務(wù)器的連接在telnet4_hijacked.cap文件中的連接與telnet1_hijacked.cap中的連接相似。如果使用Ethereal的“FollowTCPStream”來分析數(shù)據(jù)流的內(nèi)容，你會(huì)發(fā)現(xiàn).profile文件包含了在第一次攻擊時(shí)加入的字符串。圖5telnet4_hijacked.cap會(huì)話副本在attacker_ftp.cap文件中，攻擊者使用通過網(wǎng)絡(luò)嗅探到的用戶口令來與服務(wù)器建立一個(gè)FTP連接，并獲取服務(wù)器文件，在這個(gè)連接中，攻擊者不需要進(jìn)行IP欺騙，他可以簡單地使用自己的IP地址：00。圖6attacker_ftp.cap的會(huì)話副本六、實(shí)驗(yàn)結(jié)論通過本實(shí)驗(yàn)分析了攻擊者利用IP地址欺騙和TCP會(huì)話竊用。系統(tǒng)自身的漏洞及TCP/IP協(xié)議的缺陷給計(jì)算機(jī)網(wǎng)絡(luò)帶來了許多不安全的因素。IP欺騙就是利用了不同主機(jī)系統(tǒng)間的信任關(guān)