对某款内容过滤系统Dos安全缺陷之解析[网络技术]

Author: jianxin [80sec]
EMail: jianxin#80sec.com
Site: http://www.80sec.com
Date: 2009-1-2
From: http://www.80sec.com/release/dos-with-XXX.txt

[ 目录 ]

0×00 前言
0×01 know it,理解这款内容过滤系统
0×02 Hack it,对防火墙类ids的一些安全研究
0×03 后话

0×00 前言

近来在学习网络底子知识,秉持Hack to learn的作风,想对学习做个总结就想到解析一些网络设备的安全问题来作为一次总结.相信关于某款国家级内容过滤系统大家都不陌生,也被称为国家边界防 火墙,其本质上只是一款强盛的入侵检测系统,并且在某些行为发生时对网络攻击举行及时的联动阻断.这里对它的作用并不做探究,对若何绕过它也不做解析,这 里仅仅是将它看做一款功效强盛的国家级IPS,从技术角度来谈论下这类IPS在关键网络布置时大概存在的一些安全问题以及对普通网站的影响.

0×01 know it,理解这款内容过滤系统

同普通的入侵检测系统大概其他号称网关级别过滤系统近似,它定义了一些战略以禁止某些危险的网络拜候,其战略包含静态封禁也包含动态封禁,比方关于 Google和Yahoo类搜索引擎来说,国内用户在利用这些站点时假如触发了敏感的关键词的话,其IP就会被动态封禁一段时间,几分钟之类将不能再利用 Google,这里的关键词就是被防火墙所定义的危险行为,比方拿关键词Freenet/freenet来说,在Google里举行一次搜索恳求之后就会 发现Google在几分钟之内将不再能被拜候,多余全部其他处于国外的服务器效果也是一样.我解析的整个历程以下:

首先对正常的一次Google拜候抓包,可以看到后果以下:

bt ~ # tcpdump -vv -nn -S host 64.233.189.103 and port 80
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
22:39:26.261092 IP (tos 0x0, ttl 64, id 33001, offset 0, flags [DF], proto TCP (6), length 60) 192.168.1.4.44297 > 64.233.189.103.80: S, cksum 0xcc0f (correct), 1790346900:1790346900(0) win 5840 <mss 1460,sackOK,timestamp 329341 0,nop,wscale 4>
22:39:26.349797 IP (tos 0x0, ttl 50, id 41053, offset 0, flags [none], proto TCP (6), length 60) 64.233.189.103.80 > 192.168.1.4.44297: S, cksum 0x3698 (correct), 3974796664:3974796664(0) ack 1790346901 win 5672 <mss 1412,sackOK,timestamp 1072157681 329341,nop,wscale 6>
22:39:26.350452 IP (tos 0x0, ttl 64, id 33002, offset 0, flags [DF], proto TCP (6), length 52) 192.168.1.4.44297 > 64.233.189.103.80: ., cksum 0x79d7 (correct), 1790346901:1790346901(0) ack 3974796665 win 365 <nop,nop,timestamp 329364 1072157681>
22:39:36.161454 IP (tos 0x0, ttl 64, id 33003, offset 0, flags [DF], proto TCP (6), length 67) 192.168.1.4.44297 > 64.233.189.103.80: P, cksum 0xa1a9 (correct), 1790346901:1790346916(15) ack 3974796665 win 365 <nop,nop,timestamp 331806 1072157681>
22:39:36.248632 IP (tos 0x0, ttl 50, id 41053, offset 0, flags [none], proto TCP (6), length 52) 64.233.189.103.80 > 192.168.1.4.44297: ., cksum 0x4a9a (correct), 3974796665:3974796665(0) ack 1790346916 win 89 <nop,nop,timestamp 1072167593 331806>
22:39:37.476626 IP (tos 0x0, ttl 64, id 33004, offset 0, flags [DF], proto TCP (6), length 53) 192.168.1.4.44297 > 64.233.189.103.80: P, cksum 0x3e36 (correct), 1790346916:1790346917(1) ack 3974796665 win 365 <nop,nop,timestamp 332133 1072167593>

[1] [2] [3] [4] [5] [6] [7] [8] [9]  下一页