对一款国家级内容过滤系统Dos安全缺陷解析[菜鸟入门]

对一款国家级内容过滤系统dos安全缺陷解析
Author: jianxin [80sec]
EMail: jianxin#80sec.com
Site:http://www.80sec.com
Date: 2009-1-2
From:http://www.80sec.com/release/dos-with-XXX.txt

[ 目录 ]

0×00 前言
0×01 know it,理解这款内容过滤系统
0×02 Hack it,对防火墙类ids的一些安全研究
0×03 后话

0×00 前言

近来在学习网络底子知识,秉持Hack to learn的作风,想对学习做个总结就想到解析一些网络设备的安全问题来作为一次总结.相信关于某款国家级内容过滤系统大家都不陌生,也被称为国家边界防火墙,其本质上只是一款强盛的入侵检测系统,并且在某些行为发生时对网络攻击举行及时的联动阻断.这里对它的作用并不做探究,对若何绕过它也不做解析,这里仅仅是将它看做一款功效强盛的国家级IPS,从技术角度来谈论下这类IPS在关键网络布置时大概存在的一些安全问题以及对普通网站的影响.

0×01 know it,理解这款内容过滤系统

同普通的入侵检测系统大概其他号称网关级别过滤系统近似,它定义了一些战略以禁止某些危险的网络拜候,其战略包含静态封禁也包含动态封禁,比方关于Google和Yahoo类搜索引擎来说,国内用户在利用这些站点时假如触发了敏感的关键词的话,其IP就会被动态封禁一段时间,几分钟之类将不能再利用Google,这里的关键词就是被防火墙所定义的危险行为,比方拿关键词Freenet/freenet来说,在Google里举行一次搜索恳求之后就会发现Google在几分钟之内将不再能被拜候,多余全部其他处于国外的服务器效果也是一样.我解析的整个历程以下:

首先对正常的一次Google拜候抓包,可以看到后果以下:

bt ~ # tcpdump -vv -nn -S host 64.233.189.103 and port 80
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
22:39:26.261092 IP (tos 0×0, ttl 64, id 33001, offset 0, flags [DF], proto TCP (6), length 60) 192.168.1.4.44297 > 64.233.189.103.80: S, cksum 0xcc0f (correct), 1790346900:1790346900(0) win 5840
22:39:26.349797 IP (tos 0×0, ttl 50, id 41053, offset 0, flags [none], proto TCP (6), length 60) 64.233.189.103.80 > 192.168.1.4.44297: S, cksum 0×3698 (correct), 3974796664:3974796664(0) ack 1790346901 win 5672
22:39:26.350452 IP (tos 0×0, ttl 64, id 33002, offset 0, flags [DF], proto TCP (6), length 52) 192.168.1.4.44297 > 64.233.189.103.80: ., cksum 0×79d7 (correct), 1790346901:1790346901(0) ack 3974796665 win 365
22:39:36.161454 IP (tos 0×0, ttl 64, id 33003, offset 0, flags [DF], proto TCP (6), length 67) 192.168.1.4.44297 > 64.233.189.103.80: P, cksum 0xa1a9 (correct), 1790346901:1790346916(15) ack 3974796665 win 365
22:39:36.248632 IP (tos 0×0, ttl 50, id 41053, offset 0, flags [none], proto TCP (6), length 52) 64.233.189.103.80 > 192.168.1.4.44297: ., cksum 0×4a9a (correct), 3974796665:3974796665(0) ack 1790346916 win 89
22:39:37.476626 IP (tos 0×0, ttl 64, id 33004, offset 0, flags [DF], proto TCP (6), length 53) 192.168.1.4.44297 > 64.233.189.103.80: P, cksum 0×3e36 (correct), 1790346916:1790346917(1) ack 3974796665 win 365
22:39:37.563675 IP (tos 0×0, ttl 50, id 41054, offset 0, flags [none], proto TCP (6), length 52) 64.233.189.103.80 > 192.168.1.4.44297: ., cksum 0×442e (correct), 3974796665:3974796665(0) ack 1790346917 win 89
22:39:37.611453 IP (tos 0×0, ttl 50, id 41055, offset 0, flags [none], proto TCP (6), length 1452) 64.233.189.103.80 > 192.168.1.4.44297: . 3974796665:3974798065(1400) ack 1790346917 win 89

[1] [2] [3] [4] [5] [6] [7] [8]  下一页