跟踪HTTP通道流程分析网络安全隐患

来源：互联网 作者：west263.com 时间：2008-04-02

西部数码-全国虚拟主机10强！40余项虚拟主机管理功能,全国领先!双线多线虚拟主机南北访问畅通无阻!免费赠送企业邮局,.CN域名,自助建站480元起,免费试用7天,满意再付款! P4主机租用799元/月.月付免压金!

Client.yiming.com#telnet localhost 1234


Trying 0.0.0.0...


Connected to 0.


Escape character is '^]'.


SunOS 5.7


This is yiming's private box! Any question,
contact me with yiming@security.zz.ha.cn


login:

看到B机的登录提示符了,输入账号密码看看是否工作正常？

OK! 工作正常，和正常的telnet没有什么差别。

仔细观察整个过程，会发现在最开始的地方显示的是Trying 0.0.0.0...，Connected to 0.而不是Trying server.yiming.com…,Connect to　server.yiming.com，这就很直观的可以看出来client端是转发1234数据包到本机80端口的。（然后再转发到远端）而不是直接连接远端的B机。

上面是比较直观的测试，为了进一步验证server和client之间不是通过23端口通讯，我们抓取数据包来看看。我们在server起个抓包工具tcpdump（请参阅参考资料）瞧瞧。

server.yiming.com#tcpdump host client.yiming.com


tcpdump: listening on hme0


14:42:54.213699 client.yiming.com.51767 >
 server.yiming.com.80: S 1237977857:1237977857(0) win 8760  (DF)


14:42:54.213767server.yiming.com.80 > 
client.yiming.com.51767: S 1607785698:1607785698(0) ack 1237977858 win 8760  (DF)


14:42:54.216186 client.yiming.com.51768 > server.yiming.com.80: . ack 1 win 8760 (DF)


14:42:54.218661 client.yiming.com.51768 > server.yiming.com.80: P 1:44(43) ack 1 win 8760 (DF)


14:42:54.218728 client.yiming.com.51768 > server.yiming.com.80: P 44:48(4) ack 1 win 8760 (DF)

篇幅所限，上面只是截取了结果中的一点点数据包，但已经可以说明问题了，我们看到server和client之间顺利的完成了三次握手，然后开始push数据，而且通讯确实走的是80端口。有点意思噢。

看是看出来了，但太不直白，到底在搞什么呀，我们再稍微改动一下tcpdump的运行方式，进一步在来看看telnet的数据是否被封装在80端口的数据包内传输？

server.yiming.com#tcpdump -X host client.yiming.com


14:43:05.246911 server.yiming.com.80 > 
client.yiming.com.51768: . 2997:4457(1460) ack 89 win 8760 (DF)


0x0000   4500 05dc 3b23 4000 ff06 e2c2 yyyy yyyy        E...;#@......f.D


0x0010   xxxx xxxx 0050 de42 5fd5 ac4f 39ac 016f        .f.#.P.B_..O9..o


0x0020   5010 2238 98e4 0000 746f 7461 6c20 3636        P."8....total.66


0x0030   370d 0a64 7277 7872 2d78 722d 7820 2032        7..drwxr-xr-x..2


0x0040   3920 726f 6f74 2020 2020 2072 6f6f 7420        9.root.....root.

呵呵，这次清楚多了，上面应该是一次ls命令的输出结果，可以清楚的看到telnet的结果！果然telnet的数据是在80端口的数据包内！
[page]
Httptunnel带来的安全问题

写到这里，我们可以想象一下，如果管理员完全信赖防火墙，那么在一个有这样隐患的的局域网中，会发生什么样的后果？

我们可以看到，多年以来，对防火墙的依赖也一直列在SANS的Top10安全问题中。

既然如此，就很自然的会产生一个问题是：这种httptunnel行为能被发现吗？

首先我们想到的是使用入侵检测系统，在目前的网络安全设计中，防火墙加入侵检测系统是一种比较流行的安全联动配置，既然httptunnel绕过了防火墙，那么IDS系统呢？我们来测测看看。

在下面的测试中，我们将使用IDS系统是Snort，版本1.8.2。（请参阅参考资料）这可是大名鼎鼎的开放源代码的IDS系统，在它的说明中，被描述为一个轻量级的，可跨平台工作的入侵检测系统，在2001年12月英国的独立测试实验室NSS的评测中（请参阅参考资料），击败了包括商用IDS系统的所有对手，这些商用软件可是包括ISS，CISCO SECURE IDS，CA ETRUST，CYBERSAFE CENTRAX，NFR。有兴趣的读者还可以看这篇名为Open source mounts IDS challenge 的报道（请参阅参考资料）。

好，对Snort的大致介绍完毕，我们来看看结果吧，Snort对整个试验过程抓获的数据包产成了告警，如下：

[**] WEB-MISC whisker splice attack [**]


12/02-14:42:54.389175 client.yiming.com:51767-> server.yiming.com:80


TCP TTL:251 TOS:0x0 ID:3327 IpLen:20 DgmLen:42 DF


***AP*** Seq: 0x49CA0BA7  Ack: 0x5FD4DCE3  Win: 0x2238  TcpLen: 20


= = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = 


[**] WEB-MISC whisker splice attack [**]


12/02-14:43:03.195006 client.yiming.com:51767 -> server.yiming.com:80


TCP TTL:251 TOS:0x0 ID:3439 IpLen:20 DgmLen:41 DF


***AP*** Seq: 0x49CA0C20  Ack: 0x5FD4DCE3  Win: 0x2238  TcpLen: 20


= = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = 


[**] WEB-MISC whisker splice attack [**]


12/02-14:43:04.630268 client.yiming.com:51768-> server.yiming.com:80


TCP TTL:251 TOS:0x0 ID:3496 IpLen:20 DgmLen:41 DF


***AP*** Seq: 0x49CA0C4E  Ack: 0x5FD4DCE3  Win: 0x2238  TcpLen: 20


= = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = =

文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!

[打印] [关闭]

相关文章

使用路由器仍然还需要防“病毒”

大型IP城域网系统安全案例的经典

灰鸽子的运行原理以及解决办法

PIX520从4.4升级到6.3(5)的过程

上一篇：智能防火墙技术的关键技术和功能应用
下一篇：防御DDoS分布式拒绝服务保证业务的永继性

热点关注

IDC资讯虚拟主机域名注册托管租用 vps主机智能建站
网站运营建站经验策划盈利搜索优化网站推广免费资源
网站联盟联盟新闻联盟介绍联盟点评网赚技巧
行业资讯业界动态搜索引擎网络游戏门户动态电子商务广告传媒
网络编程 Asp.Net编程 Asp编程 Php编程 Xml编程 Access Mssql Mysql 其它
服务器技术 Web服务器 Ftp服务器 Mail服务器 Dns服务器安全防护
软件技巧其它软件 Word Excel Powerpoint Ghost Vista QQ空间 QQ FlashGet 迅雷 Internet Explorer
网页制作 FrontPages Dreamweaver Javascript css photoshop fireworks Flash
程序设计 Java技术 C/C++ VB delphi
网络知识网络协议网络安全网络管理组网方案 Cisco技术
操作系统 Win2000 WinXP Win2003 Mac OS Linux FreeBSD

版权所有西部数码(www.west263.com)
CopyRight (c) 2002~2007 west263.com all right reserved.
公司地址：四川成都市万和路90号天象大厦4楼　邮编：610031
电话总机：028-86263408 86263960 86264018 86267838 86262244 86263408
售前咨询：总机转201 202 203 204 205 206 207 208
售后服务：总机转211 212 213 214 217 218 晚上0点以后拔分机225