П О Р Т А Л                            
С Е Т Е В Ы Х                          
П Р О Е К Т О В                        
  
Поиск по сайту:
                                                 
Главная

О проекте

Web-мастеру
     HTML & JavaScript
     SSI
     Perl
     PHP
     XML & XSLT
     Unix Shell

MySQL

Безопасность

Хостинг

Другое








Самое читаемое:

Учебник PHP - "Для Чайника".
Просмотров 174961 раз(а).

Иллюстрированный самоучитель по созданию сайтов.
Просмотров 71890 раз(а).

Учебник HTML.
Просмотров 72031 раз(а).

Руководство по PHP5.
Просмотров 42641 раз(а).

Хостинг через призму DNS.
Просмотров 49108 раз(а).

Подборка текстов стандартных документов.
Просмотров 43056 раз(а).

Учебник PHP - Самоучитель
Просмотров 49400 раз(а).

Документация на MySQL (учебник & справочное руководство)
Просмотров 49636 раз(а).

Внешние атаки...
Просмотров 40194 раз(а).

Учебник PHP.
Просмотров 35215 раз(а).

SSI в примерах.
Просмотров 26515 раз(а).






 
 
| Добавить в избранное | Сделать стартовой Project.Net.Ru | Помощь




Сетевые атаки

Перехват TCP-сеанса (TCP Session Hijacking)

Перехват TCP-сеанса позволяет злоумышленнику перенаправлять поток TCP. Далее, кракер может преодолеть парольную защиту (как в telnet или ftp). Необходимость прослушивания (sniffing) ограничивает применяемость данного типа атаки до физического сегмента сети целевого хоста. Перед рассмотрением деталей этой атаки, давайте разберем некоторые базовые принципы протокола TCP.

Мы не будем детально рассматривать протокол, а сконцентрируемся на моментах, необходимых для понимания атаки. Заголовок TCP содержит различные поля:

  • порт источника и порт назначения, идентифицирующие соединение;

  • номер последовательности, идентифицирующий каждый посланный байт;

  • номер подтверждения, соответствующий последнему полученному байту;

  • различные флаги, в том числе:

    • SYN, используется для синхронизации при установлении сеанса;

    • ACK, флаг подтверждения TCP-сегмента;

    • PSH, указывает на необходимость передачи данных приложению.



На рисунке 8 представлен процесс установления TCP-соединения (механизм тройного квитирования):

Рис.8: Механизм тройного квитирования
3way

В данном примере машина A инициировала TCP-соединение с машиной B.

Рисунок 9 демонстрирует процесс передачи данных в протоколе TCP:
psh

Номер последовательности будет меняться в соответствии с количеством посланных байт. На рисунке он представлен как Seq, номер подтверждения находиться после флагов PSH и ACK, а количество посланных байт указано в скобках.

Рассматриваемая атака нарушает синхронизацию соединения на обоих концах, что позволяет выполнить перехват сеанса. Синхронизация нарушается, когда порядковый номер посылаемого машиной А байта, отличается от порядкового номера байта, который должна получить машина В. И наоборот.

В примере на рисунке 9 после первого шага, когда B получает пакет, машина A ждет ответного пакета с номером подтверждения x+60. Если пакет, посланный В будет содержать другой номер подтверждения, синхронизация соединения будет нарушена.

Итак, злоумышленник хочет выполнить с машины C перехват установленного между машинами A и B сеанса telnet. В начале он прослушивает telnet-трафик (TCP порт 23) между A и B. Когда злоумышленник решает, что А аутентифицировалось сервисом telnet машины В, он десинхронизирует соединение. Для этого, генерируется пакет с исходящим адресом машины А и номером подтверждения, который ожидает машина В. Естественно, что этот пакет принимается машиной В. Кроме рассинхронизации TCP-сеанса, этот пакет позволяет злоумышленнику выполнить команду в telnet-сеансе, установленном машиной А. Фактически, этот пакет может нести данные (флаг PSH = 1).

На рисунке 10 продемонстрирована атака:

Рис.10: Перехват TCP-сеанса
hijacking

Машина B принимает команду, посланную машиной C, и подтверждает это посылкой пакета машине А с выставленным флагом ACK. Теперь, если А пошлет пакет машине В, он будет отвергнут, поскольку у него будет номер последовательности отличный от ожидаемого машиной B.

Возникает проблема, называемая "штормом подтверждений" (Ack Storm). Генерируется множество ACK-пакетов. Это происходит, когда А шлет TCP-пакет с неверным номером последовательности (ведь A десинхронизирована), B отвергает его и шлет машине A ACK-пакет с ожидаемым номером последовательности. Машина А тоже отвергает этот пакет, ведь она тоже ожидает другой номер последовательности. И в свою очередь отправляет ACK-пакет машине B ...

Проблема шторма подтверждений может быть решена, если злоумышленник использует технологию подмены ARP-информации (ARP Spoofing). В этом случае, машина С изменит ARP-кэш машины B таким образом, чтобы IP-адресу машины А соответствовал MAC-адрес машины С. Эти технологии реализованы в программе hunt.

[ Назад ] [ Содержание ] [ Вперед ]



Если Вы не нашли что искали, то рекомендую воспользоваться поиском по сайту:
 





Copyright © 2005-2016 Project.Net.Ru