WikiDer > Атака фрагментацией IP

IP fragmentation attack

Атаки фрагментации IP своего рода атака на компьютерную безопасность на основе того, как протокол Интернета (IP) требует передачи и обработки данных. В частности, он вызывает Фрагментация IP, процесс, используемый для разделения сообщений ( блок служебных данных (SDU); обычно пакет) с одного уровня сети на несколько меньших полезные нагрузки которые могут уместиться в нижнем слое блок данных протокола (PDU). Каждая сетевая ссылка имеет максимальный размер Сообщения которые могут быть переданы, называемые максимальная единица передачи (MTU). Если SDU плюс метаданные, добавленные на канальном уровне, превышают MTU, SDU должен быть фрагментирован. Атаки IP-фрагментации используют этот процесс как вектор атаки.

Часть Пакет TCP / IP Интернет-протокол (IP), который находится в Интернет-уровень этой модели. IP отвечает за передачу пакетов между конечными точками сети. IP включает в себя некоторые функции, которые обеспечивают основные показатели отказоустойчивости (время жизни, контрольная сумма), приоритизация трафика (тип службы) и поддержка фрагментации больших пакетов на несколько меньших пакетов (поле идентификатора, смещение фрагмента). Поддержка фрагментации более крупных пакетов обеспечивает протокол, позволяющий маршрутизаторам фрагментировать пакет на более мелкие пакеты, когда исходный пакет слишком велик для поддерживающих кадров канала передачи данных. Эксплойты (атаки) фрагментации IP используют протокол фрагментации внутри IP в качестве вектора атаки.

Согласно [Kurose 2013], при одном типе атаки фрагментации IP «злоумышленник отправляет поток небольших фрагментов на целевой хост, ни один из которых не имеет нулевого смещения. Цель может разрушиться, когда попытается восстановить дейтаграммы из вырожденные пакеты ".[1] Другая атака включает отправку перекрывающихся фрагментов с невыровненными смещениями, что может привести к тому, что уязвимые операционные системы не знают, что делать, что приведет к сбою некоторых из них.[1]

Обработать

Алгоритм фрагментации в IPv4.

IP-пакеты инкапсулируются в кадры канала передачи данных, поэтому MTU канала влияет на более крупный IP-адрес. пакеты и заставляет их разбиваться на части, равные или меньшие, чем размер MTU.

Этого можно добиться несколькими способами:

  • Чтобы установить IP пакет размер равен или меньше, чем непосредственно подключенный носитель, и делегирует всю дальнейшую фрагментацию пакетов маршрутизаторам, что означает, что маршрутизаторы решают, следует ли повторно фрагментировать текущий пакет или нет. Это переносит большую часть работы на маршрутизаторы, а также может привести к сегментации пакетов несколькими IP-маршрутизаторами один за другим, что приведет к весьма своеобразной фрагментации.
  • Для предварительного просмотра всех связей между источником и пунктом назначения и выбора наименьшего MTU в этом маршруте, предполагая, что существует уникальный маршрут. Таким образом, мы гарантируем, что фрагментация выполняется отправителем, используя размер пакета меньше, чем выбранный MTU, и что дальнейшая фрагментация отсутствует в пути. Это решение, названное Обнаружение MTU пути, позволяет отправителю фрагментировать / сегментировать длинный Интернет пакетвместо того, чтобы полагаться на маршрутизаторы для выполнения фрагментации на уровне IP. Это более эффективно и масштабируемо. Поэтому это рекомендуемый метод в современной сети Интернет. Проблема с этим подходом состоит в том, что каждый пакет маршрутизируется независимо; они, как правило, могут следовать по одному и тому же маршруту, но не могут, и поэтому пробный пакет для определения фрагментации может следовать по пути, отличному от путей, используемых более поздними пакетами.

Три поля в Заголовок IP используются для реализации фрагментации и повторной сборки. Поля «Идентификация», «Флаги» и «Смещение фрагмента».

Формат заголовка IPv4
СмещенияОктет0123
ОктетНемного012345678910111213141516171819202122232425262728293031
00ВерсияМГПDSCPECNОбщая длина
432ИдентификацияФлагиСмещение фрагмента
864Время житьПротоколКонтрольная сумма заголовка
1296Исходный IP-адрес
16128IP-адрес получателя
20160Опции (если МГП> 5)
24192
28224
32256

Флаги:

3-битное поле, которое сообщает, является ли пакет частью фрагментированного кадр данных или нет.
Бит 0: зарезервирован, должен быть нулевым (если пакет не придерживается RFC 3514)
Бит 1: (AF) 0 = может фрагментировать, 1 = не фрагментировать.
Бит 2: (AF) 0 = последний фрагмент, 1 = дополнительные фрагменты.
Немного0123456789101112131415
Поле0DFMFСмещение фрагмента

Смещение фрагмента определяет позицию фрагмента в исходном пакете, измеряемую в 8-байтовых единицах.

Соответственно, каждый фрагмент, кроме последнего, должен содержать данные, кратные 8 байтам. Очевидно, что Fragment Offset может содержать 8192 (2 ^ 13) единиц, но пакет не может иметь 8192 * 8 = 65 536 байт данных, поскольку поле "Общая длина" IP Заголовок записывает общий размер, включая заголовок и данные. Заголовок IP имеет длину не менее 20 байтов, поэтому максимальное значение для «Смещения фрагмента» ограничено 8189, что оставляет место для 3 байтов в последнем фрагменте.

Поскольку IP-интернет может быть без установления соединения, фрагменты из одного пакет могут чередоваться с таковыми из другого пункта назначения. «Поле идентификации» однозначно идентифицирует фрагменты конкретного пакет.

Исходная система устанавливает поле «Идентификация» в каждом пакет к уникальной ценности для всех пакеты которые используют один и тот же исходный IP-адрес, IP-адрес назначения и значения «Протокол» в течение всего срока действия пакет в интернете. Таким образом, место назначения может различать, какие входящие фрагменты принадлежат уникальному пакет и буферизовать их все, пока не будет получен последний фрагмент. Последний фрагмент устанавливает бит «Больше фрагмента» в 0, и это говорит принимающей станции начать повторную сборку данных, если все фрагменты были получены.

Ниже приведен реальный пример фрагментации:

Следующее было получено с использованием Эфирный анализатор протокола для захвата ICMP эхо-запрос пакеты. Чтобы смоделировать это, откройте терминал и введите ping ip_dest -n 1 -l 65000.

Результаты приведены ниже:

     № Время Источник Назначение Протокол Информация 1 0.000000 87.247.163.96 66.94.234.13 ICMP Echo (ping) запрос 2 0.000000 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 1480) 3 0.002929 87.247.163.96 66.94. 234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 2960) 4 6.111328 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 4440) 5 6.123046 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP ( proto = ICMP 0x01, выкл. = 5920) 6 6.130859 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 7400) 7 6.170898 87.247.163.96 66.94.234.13 IP-фрагментированный протокол IP (proto = ICMP 0x01, выкл. = 8880) 8 6.214843 87.247.163.96 66.94.234.13 IP Фрагментированный протокол IP (proto = ICMP 0x01, выкл. = 10360) 9 6.239257 87.247.163.96 66.94.234.13 Протокол IP Fragmented IP (proto = ICMP 0x01, off = 11840) 10 6.287109 87.247.163.96 66.94.234.13 Протокол IP Fragmented IP (proto = ICMP 0x01, off = 13320) 11 6.302734 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 14800) 12 6.327148 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 16280) 13 6.371093 87.247.163.96 66.94 .234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 17760) 14 6.395507 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 19240) 15 6.434570 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 20720) 16 6.455078 87.247.163.96 66.94.234.13 IP Фрагментированный протокол IP (proto = ICMP 0x01, выкл = 22200 ) 17 6.531250 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 23680) 18 6.550781 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 25160) 19 6.575195 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, off = 26640) 20 6.615234 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 28120) 21 6.634765 87.247.163.96 66.94.234.13 IP-фрагментированный IP протокол (proto = ICMP 0x01, off = 29600) 22 6.659179 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, off = 31080) 23 6.682617 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01 , выкл. = 32560) 24 6.699218 87.247.163.96 66.94.234.13 IP Протокол фрагментированного IP (протокол = ICMP 0x01, выкл. = 34040) 25 6.743164 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, off = 35520) 26 6.766601 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 37000) 27 6.783203 87.247.163.96 66.94.234.13 Протокол IP-фрагментированного IP (proto = ICMP 0x01, выкл. = 38480) 28 6.806640 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 39960) 29 6.831054 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (прот. = ICMP 0x01, выкл. = 41440) 30 6.850586 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 42920) 31 6.899414 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 44400) 32 6.915039 87.247.163.96 66.94.234.13 IP Протокол фрагментированного IP (протокол = ICMP 0x01, выкл. = 45880) 33 6.939453 87.247.163.9 6 66.94.234.13 IP-фрагментированный протокол IP (proto = ICMP 0x01, выкл. = 47360) 34 6.958984 87.247.163.96 66.94.234.13 IP-протокол фрагментированный IP (proto = ICMP 0x01, выкл. = 48840) 35 6.983398 87.247.163.96 66.94.234.13 IP-фрагментированный IP-протокол (proto = ICMP 0x01, off = 50320) 36 7.023437 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 51800) 37 7.046875 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 53280) 38 7.067382 87.247.163.96 66.94.234.13 Протокол IP Fragmented IP (proto = ICMP 0x01, off = 54760) 39 7.090820 87.247.163.96 66.94.234.13 Протокол IP Fragmented IP (proto = ICMP 0x01, off = 56240) 40 7.130859 87.247.163.96 66.94.234.13 IP Протокол фрагментированного IP (протокол = ICMP 0x01, выкл. = 57720) 41 7.151367 87.247.163.96 66.94. 234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 59200) 42 7.174804 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 60680) 43 7.199218 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP ( proto = ICMP 0x01, выкл. = 62160) 44 7.214843 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 63640) 45 7.258789 87.247.163.96 66.94.234.13 IP-протокол фрагментированного IP (proto = ICMP 0x01, выкл. = 65120)

Детали первого пакета:

     No Время Источник Место назначения Информация о протоколе 1 0,000000 87.247.163.96 66.94.234.13 Запрос ICMP Echo (ping)

Кадр 1 (1514 байтов на проводе, 1514 байтов захвачено) Ethernet II, Src: OmronTat_00: 00: 00 (00: 00: 0a: 00: 00: 00), Dst: 40: 0f: 20: 00: 0c: 00 ( 40: 0f: 20: 00: 0c: 00) Интернет-протокол, Src: 87.247.163.96 (87.247.163.96), Dst: 66.94.234.13 (66.94.234.13) Протокол управляющих сообщений Интернета

   Тип: 8 (запрос эхо (ping)) Код: 0 Контрольная сумма: 0x6b7d Идентификатор: 0x0600 Порядковый номер: 0x0200 Данные (1472 байта)

Детали второго пакета:

    № Время Источник Назначение Протокол Информация 2 0.000000 87.247.163.96 66.94.234.13 IP Протокол фрагментированного IP (протокол = ICMP 0x01, выкл. = 1480)

Кадр 2 (1514 байтов на проводе, 1514 байтов захвачено) Ethernet II, Src: OmronTat_00: 00: 00 (00: 00: 0a: 00: 00: 00), Dst: 40: 0f: 20: 00: 0c: 00 ( 40: 0f: 20: 00: 0c: 00) Интернет-протокол, Src: 87.247.163.96 (87.247.163.96), Dst: 66.94.234.13 (66.94.234.13) Данные (1480 байт)

Обратите внимание, что только первый фрагмент содержит заголовок ICMP, а все остальные фрагменты генерируются без заголовка ICMP.

Здесь два важных момента:

  • В некоторых протоколах передачи данных, таких как Ethernet, только первый фрагмент содержит полный заголовок верхнего уровня, что означает, что другие фрагменты выглядят как обезглавленные. пакеты.
  • Дополнительные накладные расходы, накладываемые на сеть, поскольку все фрагменты содержат собственный IP-заголовок. Дополнительные накладные расходы = (количество_фрагментов - 1) * (ip_header_len);

Эксплойты

IP-фрагмент перекрывается
Фрагмент IP перекрывается эксплуатировать происходит, когда два фрагмента содержатся в одном IP пакет имеют смещения, указывающие на то, что они перекрывают друг друга при позиционировании в пределах пакет. Это может означать, что либо фрагмент A полностью перезаписывается фрагментом B, либо фрагмент A частично перезаписывается фрагментом B. Некоторые операционные системы неправильно обрабатывают фрагменты, которые перекрываются таким образом, и могут вызывать исключения или вести себя другим нежелательным образом. при получении перекрывающихся фрагментов. Это основа для слеза атака. Перекрывающиеся фрагменты также могут использоваться в попытке обойти системы обнаружения вторжений. В этом эксплойте часть атаки отправляется фрагментами вместе с дополнительными случайными данными; будущие фрагменты могут перезаписать случайные данные оставшейся частью атаки. Если завершено пакет неправильно собран на IDS, атака останется незамеченной.
Буфер фрагментации IP заполнен
Эксплойт «Полный буфер IP-фрагментации» возникает, когда в защищенной сети обнаружен чрезмерный объем неполного фрагментированного трафика. Это могло быть связано с чрезмерным количеством неполных фрагментированных пакеты, большое количество фрагментов для индивидуальных пакеты или сочетание количества неполных пакеты и размер / количество фрагментов в каждом пакет. Этот тип трафика, скорее всего, является попыткой обойти меры безопасности или Системы обнаружения вторжений путем преднамеренной фрагментации атакующей активности.
IP-фрагмент переполнен
Эксплойт IP Fragment Overrun - это когда повторно собранный фрагментированный пакет превышает заявленную длину IP-данных или максимум пакет длина. По определению, размер IP-пакета не должен превышать 65 535 байт. Системы, которые пытаются обрабатывать эти большие пакеты может привести к сбою и может указывать на попытку отказа в обслуживании.
IP-фрагмент слишком много пакетов
Эксплойт "Too Many Packets" идентифицируется по чрезмерному количеству неполных фрагментированных пакет обнаружен в сети. Обычно это либо отказ в обслуживании, либо попытка обойти меры безопасности. Примером «Слишком много пакетов», «Неполный пакет» и «Слишком маленький фрагмент» является атака Роза.[2]
Неполный пакет IP-фрагмента
Этот эксплойт возникает, когда пакет невозможно полностью собрать из-за отсутствия данных. Это может указывать на атаку типа «отказ в обслуживании» или попытку обойти политики безопасности фильтрации пакетов.
IP-фрагмент слишком мал
Если IP-фрагмент слишком мал, это указывает на то, что фрагмент, вероятно, создан намеренно. Любой фрагмент размером менее 400 байт, кроме последнего, может считаться слишком маленьким. Небольшие фрагменты могут использоваться в атаках типа «отказ в обслуживании» или в попытке обойти меры безопасности или обнаружения.

Фрагментация для уклонения

Оборудование сетевой инфраструктуры, такое как маршрутизаторы, балансировщики нагрузки, брандмауэры и IDS иметь непоследовательную видимость фрагментированных пакетов. Например, устройство может подвергнуть начальный фрагмент строгой проверке и аудиту, но может позволить всем дополнительным фрагментам пройти без проверки. Некоторые атаки могут использовать этот факт, чтобы избежать обнаружения, помещая инкриминирующие данные полезной нагрузки во фрагменты. Устройства, работающие в "полный" режим прокси обычно не поддаются этой уловке.

использованная литература

  1. ^ а б Куроз, Джеймс Ф. (2013). Компьютерные сети: подход сверху вниз. Росс, Кейт В., 1956- (6-е изд.). Бостон: Пирсон. п. 338. ISBN 9780132856201. OCLC 769141382.
  2. ^ Холлис, Кен. "Объяснение атаки фрагментации розы". Архивировано из оригинал на 2012-02-24. Получено 2013-11-25.

внешние ссылки