TCP会话劫持 MSE安全攻防培训资料

8


DNS欺骗就是攻击者冒充域名服务器的一种欺骗行为 DNS服务器不可能将所有现存的域名或IP地址存储在本 身的存储空间里。这就是为什么DNS服务器有一个高速 缓冲存储器（cache），它使得服务器可以存储DNS记 录一段时间。 事实上，一台DNS服务器只会记录本身所属域中的授权 的主机，如果它想要知道其它的，在自身域以外主机的 信息，就必须向信息持有者（另一台DNS服务器）发送 请求，同时，为了不每次都发送请求，这台DNS服务器 会将另一台DNS服务器返回的信息又记录下来。

TCP会话劫持的攻击方式可以对基于TCP的任何应用发 起攻击，如HTTP、FTP、Telnet等。 对于攻击者来说，所必须要做的就是窥探到正在进行 TCP通信的两台主机之间传送的报文，这样攻击者就可 以得知该报文的源IP、源TCP端口号、目的IP、目的 TCP端号，从而可以得知其中一台主机对将要收到的下 一个TCP报文段中seq和ackseq值的要求。 这样，在该合法主机收到另一台合法主机发送的TCP报 文前，攻击者根据所截获的信息向该主机发出一个带有 净荷的TCP报文，如果该主机先收到攻击报文，就可以 把合法的TCP会话建立在攻击主机与被攻击主机之间。
14

在每一个数据包中，都有两段序列号，它们分别为： SEQ：当前数据包中的第一个字节的序号 ACK：期望收到对方数据包中第一个字节的序号
15


S_SEQ：将要发送的下一个字节的序号 S_ACK：将要接收的下一个字节的序号 S_WIND：接收窗口 //以上为服务器（Server） C_SEQ：将要发送的下一个字节的序号 C_ACK：将要接收的下一个字节的序号 C_WIND：接收窗口 //以上为客户端（Client）
12


对于IP欺骗，有两种情况需要用到： 1）隐藏自己的IP地址 2）利用两台机器之间的信任关系实施入侵 在Unix/Linux平台上，可以直接使用 Socket构造 IP包，在IP头中填上虚假的IP地址，但需要root权 限 在Windows平台上，不能使用Winsock，需要使用 Winpacp（也可以使用Libnet）
3


带有净荷的攻击报文能够使被攻击主机对下一个要 收到的TCP报文中的确认序号（ackseq）的值的要 求发生变化，从而使另一台合法的主机向被攻击主 机发出的报文被被攻击主机拒绝。 TCP会话劫持攻击方式的好处在于使攻击者避开了 被攻击主机对访问者的身份验证和安全认证，从而 使攻击者直接进入对被攻击主机的的访问状态，因 此对系统安全构成的威胁比较严重。
1


会话劫持(Session Hijack)是一种结合了嗅探以及 欺骗技术在内的攻击手段。 广义上说，会话劫持就是在一次正常的通信过程中， 黑客作为第三方参与到其中，或者是在数据流（例 如基于TCP的会话）里注射额外的信息，或者是将 双方的通信模式暗中改变，即从直接联系变成有黑 客联系。
2


5

我们可以把会话劫持攻击分为两种类型： 1）中间人攻击(Man In The Middle，简称MITM) 2）注射式攻击（Injection） 并且还可以把会话劫持攻击分为两种形式： 1）被动劫持 2）主动劫持 被动劫持实 际上就是在后台监视双方会话的数据流， 丛中获得敏感数据 而主动劫持则是将会话当中的某一台主机“踢”下线， 然后由攻击者取代并接管会话，这种攻击方法危害非常 大，攻击者可以做很多事情，比如“cat etc/master.passwd”（FreeBSD下的Shadow文件）。
13



根据TCP/IP中的规定，使用TCP协议进行通讯需要提供 两段序列号，TCP协议使用这两段序列号确保连接同步 以及安全通讯，系统的TCP/IP协议栈 依据时间或线性 的产生这些值 在通讯过程中，双方的序列号是相互依赖的，这也就是 为什么称TCP协议是可靠的传输协议（具体可参见RFC 793） 如果攻击者在这个时候进行简单会话插入，结果肯定是 失败，因为会话双方“不认识”攻击者，攻击者不能提 供合法的序列号。所以，会话劫持的关键是预测正确的 序列号，攻击者可以采取嗅探技术获得这些信息
9

攻击者有一台Internet上的授权的DNS服务器 攻击者能修改这台服务器的DNS记录 促使ＤＮＳ服务器进行递归查询
10

ARP欺骗冒充网关（局域网中） 嗅探UDP53协议中的ＩＤ信息
11




这种方式的会话劫持比中间人攻击实现起来简单一 些，它不会改变会话双方的通讯流，而是在双方正 常的通讯流插入恶意数据。 在注射式攻击中，需要实现两种技术： 1）IP欺骗 2）预测TCP序列号 如果是UDP协议，只需伪造IP地址，然后发送过去 就可以了，因为UDP没有所谓的TCP三次握手，但 基于UDP的应用协议有流控机制，所以也要做一些 额外的工作。
16




它们之间必须符合下面的逻辑关系，否则该数据包 会被丢弃，并且返回一个ACK包（包含期望的序列 号）。 C_ACK <= C_SEQ <= C_ACK + C_WIND S_ACK <= S_SEQ <= S_ACK + S_WIND
4


所谓会话，就是两台主机之间的一次通讯。例如你 Telnet到某台主机，这就是一次Telnet会话；你浏 览某个网站，这就是一次HTTP会话。 而会话劫 持（Session Hijack），就是结合了嗅探 以及欺骗技术在内的攻击手段。例如，在一次正常 的会话过程当中，攻击者作为第三方参与到其中， 他可以在正常数据包中插入恶 意数据，也可以在双 方的会话当中进行简听，甚至可以是代替某一方主 机接管会话。
6


攻击者首先需要使用ARP欺骗或DNS欺骗，将会话 双方的通讯流暗中改变，而这种改变对于会话双方 来说是完全透明的。 不管是ARP欺骗，还是DNS欺骗，中间人攻击都改 变正常的通讯流，它就相当于会话双方之间的一个 透明代理，可以得到一切想知道的信息。
7

嗅探器只能在共享网段内进行 ARP欺骗可在交换式网络中进行 ARP欺骗主要以发送欺骗性ARP报文方式进行