利用TCP_IP特性阻止对操作系统的探测

２． ＴＣＰ 初始化窗口 在连接建立的时候 服务器通 告的窗口大小有固定的规律 一般 来讲 该窗口随着操作系统类型的 不同有较为稳定的数值 而且有些 操作系统总是使用比较特殊的窗口 值 例如 ＭＳ Ｗｉｎｄｏｗｓ 使用０ｘ４０２Ｅ 的窗口值 ＡＩＸ 使用 ０ｘ３Ｆ２５ 而 Ｌｉｎｕｘ 使用的是 ０ｘ１６Ａ０ 由于这个 特征比较固定而且易于辨别 因此 几乎所有的扫描程序都会使用 ３． 标志位探测 Ｔ Ｃ Ｐ 头部包含 ６ 个标志位 ＳＹＮ ＡＣＫ ＦＩＮ ＲＳＴ ＵＲＧ ＰＳＨ 另外还有 ６ 位保留的标志位 通过发送不同的标志位组合 可以 发现操作系统对这些组合的响应规 律 例如对于 Ｌｉｎｕｘ 操作系统 当 向一个开放的端口发送 ＳＹＮ ＦＩＮ ＵＲＧ ＰＳＨ 包的时候 会得到 回应 ＤＦ Ｙｅｓ ＡＣＫ ＳＥＱ １ 标志位 ＳＹＮ ＡＣＫ 同样是 Ｌｉｎｕｘ 系统 如果向关 闭的端口发送 ＦＩＮ ＵＲＧ ＰＵＳＨ 包 会得到如下回应 ＤＦ Ｙｅｓ Ｗｉｎｄｏｗ ０ ＡＣＫ ＳＥＱ １ 标志位 ＝ＡＣＫ ＲＳＴ 除此之外 还有另一种 标志 位 探测方式 它的原理是在一个 ＳＹＮ 数据包中 将 ＴＣＰ 头部的保留 ＴＣＰ 标志位置位 然后检查服务器 的回应 低于 ２．０．３５ 版本的 Ｌｉｎｕｘ 内核会在回应包中保持这个标记 而有些操作系统在接收到这样的数
有许许多多的 ＴＣＰ／ＩＰ 应答可 以在毫无察觉的情况下泄漏操作系 统的类型 本文将详述这些鲜为人
知的技巧 并给出实际的防范措施 虽然实现某一协议遵循的是同
一 ＲＦＣ 但由于其具体的编码实现 方式和优化策略的不同 加上代码 ＢＵＧ 等方面的原因 不仅对于一些 正常的报文 不同的操作系统会做 出不同的响应 而且每个系统在处 理一些非正常报文时也并不是完全 按照 ＲＦＣ 的定义来实现的 所有这 些都使操作系统对报文的响应具有 了某些可以分辨的特征 这就是操 作系统可被探测的现实基础
７． ＴＣＰ 选项 这是收集信息的最有效方法之 一 因为它们都是可选的 因此并不 是所有的操作系统都使用它们 当 向目标主机发送带有可选项标记的 数据包时 如果操作系统支持这些 选项 会在返回包中也设置这些标 记 因此可以被有效地利用进行操 作系统信息探测 而且可以一次在 数据包中设置多个可选项 从而增 加探测的准确度 ＴＣＰ 选项探测的方法是 首先 确定目标操作系统支持哪些选项 通过发送不同选项的组合 然后检 查服务器返回了哪些选项 它们就 是目标操作系统支持的选项 根据 服务器支持的选项 可以初步判断 出对方的操作系统 如果有几个操作系统支持相同 的选项 可以通过选项的值来进行 区分 例如 如果向 Ｌｉｎｕｘ 机器发 送一个很小的 ＭＳＳ 值 它一般会将 此 ＭＳＳ 值返回 而其它系统则会返 回不同数值 即使操作系统支持相同的选项 而且返回值也相同 也仍然是有办 法的 可以通过返回选项的顺序进 行区分 例如 对于某个包 Ｓｏｌａｒｉｓ 系统可能返回 ＮＮＴＮＷＭＥ 而
万方数据
２００４ ４ 信息安全与通信保密
前沿技术
Ｌｅａｄｉｎｇ－ｅｄｇｅ Ｔｅｃｈｎｏｌｏｇｉｅｓ 本栏目由中蓝韩锐技术有限公司协办
大公约数和其它一些有迹可循的规 律 就可以发现一些细微的差别 例 如已经确认 ｌｉｎｕｘ－２．４ 的 ＩＳＮ 是随机 增加的 并且最大公约数小于等于 ８ Ｉ Ｓ Ｎ 的范围介于 ０ ｘ １ ０ ０ ０ ０ 和 ０ｘ２Ｄ８７０ＡＡ 之间 通过这些信息就 可以轻易地辨别出远程操作系统
ＩＣＭＰ 错误信息格式 如对于一个端 口不可到达信息 几乎所有操作系 统都只回送 ＩＰ 请求头＋８ 字节长度的 包 但 Ｓｏｌａｒｉｓ 返回的包会稍微长一 点 Ｌｉｎｕｘ 则返回更长的包 这样 即使操作系统没有监听任何端口 探测程序仍然有可能确定 Ｌｉｎｕｘ 和 Ｓｏｌａｒｉｓ 操作系统的主机
总之 有许多 Ｉ Ｃ Ｍ Ｐ 信息可以 暴露主机的操作系统信息 有些扫 描程序甚至使用了多达九种不同的 ＩＣＭＰ 错误信息探测技术来区分不 同的操作系统
信息安全与通信保密 ２００４ ４
万方数据
前沿技术
本栏目由中蓝韩锐技术有限公司协办 Ｌｅａｄｉｎｇ－ｅｄｇｅ Ｔｅｃｈｎｏｌｏｇｉｅｓ
如果是 Ｌｉｎｕｘ２．１．１２２ 系统 相同的 选项 相同的返回值 但顺序却有所 不同 ＭＥＮＮＴＮＷ
目前还很少有探测工具利用 ＴＣＰ 选项 但它确实是非常危险的
８． 报文重传机制 在三次握手的过程中 当服务 器收到客户端的 Ｓ Ｙ Ｎ 报文并返回 ＳＹＮ ＡＣＫ 后 如果迟迟没有收 到客户端 Ａ Ｃ Ｋ 服务器就会重发 ＳＹＮ ＡＣＫ 报文 虽然 ＲＦＣ 对超 时重传机制做了规定 但是许多系 统的重传机制都有很明显的特征 例如 通过下表就可以明显看出 Ｌｉｎｕｘ２．２ 和 Ｌｉｎｕｘ２．４ 重传机制的 不同
前沿技术
本栏目由中蓝韩锐技术有限公司协办 Ｌｅａｄｉｎｇ－ｅｄｇｅ Ｔｅｃｈｎｏｌｏｇｉｅｓ
利用 ＴＣＰ／ＩＰ 特性 阻止对操作系统的探测
华中科技大学计算机学院 屈红军 李之棠
摘 要 对于一个运行在网络上的服务器 它所发出的数据 包会在不知不觉间泄漏操作系统的信息 攻击者会利用这些信息判 断操作系统的类型 然后实施针对性的攻击 本文首先分析 ＴＣＰ／ ＩＰ 协议泄漏主机操作系统信息的过程 然后给出具体的措施以阻 止操作系统泄漏信息
１． ＴＣＰ 初始化序列号 当客户端发起连接的时候 服 务器收到客户端的 ＳＹＮ 包之后 将 回应一个包含初始序列号（ Ｉ Ｓ Ｎ ）的 ＳＹＮ ＡＣＫ 响应包 不同的系统 其初始序列号的产生方式具有不同 的规律 根据这些规律可以判断操 作系统的类型 有些比较老的操作系统 其 ＩＳＮ 是固定的 很容易受到攻击 因 此在当前已经几乎不存在固定 Ｉ Ｓ Ｎ 的系统 不过 即使对于变化的情 形 也是有规律可循的 例如 Ｗｉｎｄｏｗｓ 操作系统使用的是基于时 间的方式产生 ＩＳＮ 其 ＩＳＮ 值会随 着时间的变化而有着相对固定的增 长 而 ＵＮＩＸ 系统（包括最新版本的 Ｌｉｎｕｘ ＡＩＸ Ｓｏ 难度 但是计算机要做到真正的随 机是不可能的 所以还会存在规律 人们已经发现 通过分析 Ｉ Ｓ Ｎ 的最
据包时会复位连接 所以这种方法 也可以比较有效地识别出操作系统
４． ＦＩＮ 探测 通过发送一个 ＦＩＮ 数据包（或任 何未设置 ＡＣＫ 或 ＳＹＮ 标记位的数 据包） 到一个打开的端口 并等待回 应 ＲＦＣ７９３ 定义的标准行为是 不 响应 但诸如 Ｍ Ｓ Ｗ ｉ ｎ ｄ ｏ ｗ ｓ ＢＳＤｉ ＣＩＳＣＯ ＨＰ／ＵＸ ＭＶＳ 和 Ｉ Ｒ Ｉ Ｘ 等操作系统会回应一个 ＲＥＳＥＴ 包 大多数的探测器都使用 了这项技术 ５． ＤＦ 标记位 出于传输性能的考虑 许多操 作系统逐渐开始在它们发送的数据 包中设置 Ｄ Ｆ （ 不可分片） 位 但 并不是所有操作系统都有这个设置 或者并不总是使用这个设置 因此 通过留意这个标记位的设置可以收 集到关于目标主机操作系统的更多 有用信息 ６． ＩＣＭＰ 信息 有些操作系统根据 ＲＦＣ １８１２ 的建议对某些类型的错误信息发送 频率作了限制 例如 Ｌｉｎｕｘ 内核限 制发送 目标不可到达 信息次数为 每 ４ 秒 ８０ 次 如果超过这个限制则 会再减少 １／４ 秒 探测方法是向服 务器随机的 ＵＤＰ 端口发送成批的数 据包 并计算接收到的 目标不可到 达 数据包的数量 这种探测操作系 统方法需要稍微长的时间 因为需 要发送大量的数据包并等待它们的 返回 这种探测方式也会对网络性 能造成某种程度的影响 除此之外 对于 ＩＣＭＰ 的 端 口不可到达 信息 经过对返回包的 服务类型（ＴＯＳ）值的检查 几乎所 有的操作系统使用的是 Ｉ Ｃ Ｍ Ｐ 错误 类型 ０ 而 Ｌｉｎｕｘ 使用的值是０ｘＣ０ 还有一种通过 ＩＣＭＰ 信息辨别 操作系统的方法 ＲＦＣ 定义了一些
对抗操作系统扫描的方法
知道了操作系统探测扫描的方 法 就很容易找到应对的办法 只要 在网络协议中修改这些能够暴露操 作系统特征的缺省设置 使扫描工 具无法判断目的主机的操作系统类 型 就可以达到隐藏主机信息的目 的
１． 初始化序列号 ＩＳＮ 机制是最难修改的 因为 简单的加减修改并不会改变 ＩＳＮ 的 特征 若真的要修改 就需要设法实
现真正的随机数生成 机制 但实现起来非 常困难
２． ＴＣＰ 初始化窗 口
因为 Ｌｉｎｕｘ 的初 始化窗口值 ０ｘ１６Ａ０ 太过明显 攻击者几 乎单凭这个值就可以 断定目的主机是 Ｌｉｎｕｘ 因此可以 通过简单的修改这个值来达到隐蔽 操作系统的目的 当然如果要彻底 解决问题 就要考虑改变初始化窗 口的机制 但是这需要对操作系统 内核进行较大的改动 实现起来比 较复杂 ３． ＴＣＰ 标志位探测 防止标志位探测的方法有很多 最简单的是把这些包都忽略掉 对 所有非法的数据报文和具有不合理 标志位组合的包 操作系统不对这 些包进行响应 ４． ＩＣＭＰ 信息 能够暴露操作系统的 ＩＣＭＰ 信
探测者已经积累了相当的经验 可以有效探测出当前的许多种操作 系统 包括 Ｌｉｎｕｘ Ｗｉｎｄｏｗｓ２０００ ＦｒｅｅＢＳＤ４．５ Ｃｉｓｃｏ ＩＯＳ １１．３－ １２．０ Ｓｏｌａｒｉｓ２．６－２．７ 等等 不过由 于这种探测技术要求比较精确的时 延测试 而且容易受到网络环境的 影响 因此实现起来并不容易
息较多 而且也是可以修改的 比如 对于 目标不可到达 消息的响应频 率特征 完全可以通过简单的参数 修改进行屏蔽 对于 端口不可到 达 信息返回的 ＴＯＳ 值 只要置为 ０ 就可以了 对其它的 ＩＣＭＰ 信息 也都可以通过简单的参数修改进行 屏蔽
５． ＴＣＰ 选项 容易暴露操作系统信息的有两 种 一种是 ＴＣＰ 选项的类型 另一 个是 ＴＣＰ 选项的顺序 前者是不能 修改的 因为可能导致不可预知的 后果 而选项的顺序是可以改变的 完全可以通过修改返回的 ＴＣＰ 选项 的顺序 来达到迷惑攻击者的目的 ６． 报文重传机制 对 Ｌｉｎｕｘ 来说 可以修改报文 重传的时机和时延 以及最大重传 次数 然而 由于这些涉及到Ｌｉｎｕｘ 网络协议栈的整体运行 因此必须 慎重考虑 实际上 由于这个特征的 危险性较小 可以不进行修改