跟踪HTTP通道流程分析网络安全隐患

从数据包中可以看到，本次通讯中hts(server)端向htc(client)端发送了一个GET的标识包，估计是去"取"刚才client端发来的数据包，而且是一次新的握手！为了验证，我们分别在client,server端，执行netstat -an，结果证明了我们的观察是正确的，如下：

client.yiming.com.51767 server.yiming.com.80 8760 0 8760 0 ESTABLISHED client.yiming.com.51768 server.yiming.com.80 8760 0 8760 0 ESTABLISHED

在server端，执行netstat -an，结果如下：

server.yiming.com.80 client.yiming.com.51767 8760 0 8760 0 ESTABLISHED server.yiming.com.80 client.yiming.com.51768 8760 0 8760 0 ESTABLISHED

果然，防火墙两边的系统都起了两个socket，和一般程序不同，这是个比较特殊的现象。

GET动作完成后，server端又向client端发送了一个数据包，内容是

HTTP/1.1 200 OK Content-Length: 102400 Connection: close Pragma: no-cache Cache-Control: no-cache, no-store, must-revalidate Expires: 0 Content-Type: text/html

这里应该是定义数据包传输最大值等参数的。

作者察觉，经由了这三次htc和hts之间的作用后，httptunnel才真正的建立起来，后面的工作才能正常开展，而且很有意思的是，自此以后所有后续的数据包一律没有80端口经常走的GET,PUT,POST之类的内容！！这里看来可以想点办法。

上面说过，正常走80端口的数据包应该是web行为，那么就数据包中就应该少不了get等正常的动作内容，如果在80端口经过的数据总是没有这些东东，那么就肯定有问题了，

那么这种问题就有了一种解决方案，就是手工检查通过80端口通过的数据包，如果数据包是明文传送，那么就很容易发现这种行为。但这种行为也只能在理论上可行。在实际上的操作是不可能的，有没有比较成熟的这种产品呢？按照这个思路检索网上的数据，果然发现有种入侵检测e-Gap系统可以确实察觉及屏蔽httptunnel等通道软件的存在，它工作在tcp/ip的应用层，在应用层一级检测数据包的确切性，比如，检测80端口的数据包，如果看起来数据包中总是没有有效的数据（URL,get,put等参数），那么e-Gap系统就会报警，并中断连接行为。（请参阅参考资料）

需要注意的是，这种侦测方法仅对明文传送的有效，如果数据被加密，那么也就无计可施了。那么再进一步，如果加密了呢？目前作者掌握的情况来看，StealthWatch硬件产品可能是一种比较好的选择，它完全摈弃了基于签名的工作模式，而是采用一种正在申请专利的基于flow-base构架策略，按照几家评测实验室的结果来看，可以有效的察觉已经公开和未公开的各种攻击，Dos，蠕虫，病毒等，甚至包括加密的通讯！但是，它的价钱也远远的超出了普通的商用IDS系统，一套齐备的设施需4万美元！具体效果作者目前没有条件测试。（请参阅参考资料）

总结
在我们的试验中，httptunnel同时逃过了防火墙的屏蔽以及入侵检测系统的追踪，这是值得思考的。我们可以看到，网络安全仅仅依靠某种或某几种手段是不可靠的，尤其是对安全性要求很高的应用系统，同时对安全系统的盲目依赖往往会造成巨大的安全隐患。

文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!