Netfilter的expect连接的原理和利用


ip_conntrack有一个特性，那就是可以跟踪expect连接，所谓的expect连接，理解起来很简单，那就是“在一个连接中生成的另一个连接”，那么如何来识别一个连接要生成另一个连接呢？以FTP为例，FTP服务器会将文件传输所用的地址和端口信息作为数据载荷传输到对端的，Linux网关捕获这个数据包，将其解开然后根据FTP的协议规范获取地址和端口信息，随后就生成了一个expect连接。也就说，expect连接的参数是从数据载荷中得到的。

既然可以从数据载荷中得到一个“期望的连接”，那么随后的该期望的连接真正到来的时候一般是被允许通过的，这在防火墙上就是所谓的动态规则，在这里，一个约定就是防火墙本身对应用层协议是完全信任的，比方说FTP载荷中附带了生成expect连接的地址和端口信息，防火墙认为此信息是可信的，真的就是服务器或者客户端自己设置上去的。然而现实并不完美，这些信息可能是被攻击者硬添加进去的，如此一来，就有了绕过防火墙的可能，实现方式多种多样，最常见的就是包重放，攻击者截获一个包，然后在其载荷中按照一定的协议规范添加地址和端口信息，然后将此包重放在网络，当其经过防火墙的时候，防火墙就会生成一条动态的针对expect连接的允许规则，这样攻击者便可以绕过防火墙去访问本不该被访问的地址和端口了。

原理很简单，作为一个例子，我编写了一个内核模块，注册了一个捕获expect连接的helper(具体ip_conntrack的helper机制本文不再赘述，本质上就是一堆和既有显式ip_conntrack相关联的链表)，模块代码如下：

  1. #include <linux/module.h>  
  2. #include <linux/netfilter.h>  
  3. #include <linux/ip.h>  
  4. #include <net/tcp.h>  
  5.   
  6. #include <net/netfilter/nf_conntrack.h>  
  7. #include <net/netfilter/nf_conntrack_expect.h>  
  8. #include <net/netfilter/nf_conntrack_helper.h>  
  9.   
  10. MODULE_LICENSE("GPL");  
  11. MODULE_AUTHOR("Marywangran <marywangran@126.com>");  
  12. MODULE_DESCRIPTION("expect helper test");  
  13.   
  14. struct aa_proto {  
  15.     int type;  
  16.     int port;  
  17.     union nf_inet_addr addr;  
  18. };  
  19.   
  20. static int aa_help(struct sk_buff *skb,  
  21.         unsigned int protoff,  
  22.         struct nf_conn *ct,  
  23.         enum ip_conntrack_info ctinfo)  
  24. {  
  25.     unsigned int dataoff, datalen;  
  26.     const struct tcphdr *th;  
  27.     struct tcphdr _tcph;  
  28.     int ret;  
  29.     char *dt_ptr;  
  30.     struct nf_conntrack_expect *exp;  
  31.     int dir = CTINFO2DIR(ctinfo);  
  32.     struct aa_proto prot = {0};  
  33.     uint16_t port = ntohs((uint16_t)prot.port);  
  34.     char aa_buffer[512];  
  35.   
  36.     if (ctinfo != IP_CT_ESTABLISHED  
  37.         && ctinfo != IP_CT_ESTABLISHED+IP_CT_IS_REPLY) {  
  38.         return NF_ACCEPT;  
  39.     }  
  40.     //开始解析数据包的内容  
  41.     th = skb_header_pointer(skb, protoff, sizeof(_tcph), &_tcph);  
  42.     dataoff = protoff + th->doff * 4;  
  43.     datalen = skb->len - dataoff;  
  44.     dt_ptr = skb_header_pointer(skb, dataoff, datalen, aa_buffer);  
  45.     //将协议头复制下来  
  46.     memcpy(&prot, dt_ptr, sizeof(struct aa_proto));  
  47.     if (prot.type != 12) {  //如果不是预定义的12类型，www.bkjia.com说明不需要expect连接  
  48.         ret = NF_ACCEPT;  
  49.         goto out;  
  50.     }  
  51.   
  52.     exp = nf_ct_expect_alloc(ct);  
  53.     port = ntohs((uint16_t)prot.port);  
  54.     nf_ct_expect_init(exp, NF_CT_EXPECT_CLASS_DEFAULT, AF_INET,  
  55.               &ct->tuplehash[dir].tuple.src.u3, &prot.addr,  
  56.               IPPROTO_TCP, NULL, &port);  
  57.     if (nf_ct_expect_related(exp) != 0)  
  58.         ret = NF_DROP;  
  59.     else  
  60.         ret = NF_ACCEPT;  
  61. out:  
  62.     return ret;  
  63. }  
  64. static const struct nf_conntrack_expect_policy aa_policy = {  
  65.     .max_expected    = 10,  
  66.     .timeout    = 50 * 60,  
  67. };  
  68.   
  69. static struct nf_conntrack_helper aa = {  
  70.     .name = "aa",  
  71.     .me = THIS_MODULE,  
  72.     .tuple.src.l3num = AF_INET,  
  73.     //作用于TCP的12345端口  
  74.     .tuple.src.u.tcp.port = cpu_to_be16(12345),  
  75.     .tuple.dst.protonum = IPPROTO_TCP,  
  76.     .help = aa_help,  
  77.     .expect_policy = &aa_policy,  
  78. };  
  79.   
  80. static void nf_conntrack_aa_fini(void)  
  81. {  
  82.     nf_conntrack_helper_unregister(&aa);  
  83. }  
  84.   
  85. static int __init nf_conntrack_aa_init(void)  
  86. {  
  87.     int ret = nf_conntrack_helper_register(&aa);  
  88.     if (ret) {  
  89.         nf_conntrack_aa_fini();  
  90.     }  
  91.     return ret;  
  92. }  
  93.   
  94. module_init(nf_conntrack_aa_init);  
  95. module_exit(nf_conntrack_aa_fini);  
在上述实现中，我们自定义了一个简单的协议aa：
  1. struct aa_proto {  
  2.     int type;            //类型，如果是12则说明紧接着的端口，地址信息有效，需要初始化一个expect连接  
  3.     int port;            //若有效，表示expect连接的目的端口  
  4.     union nf_inet_addr addr;    //若有效，表示expect连接的目标地址  
  5. };  
  • 1
  • 2
  • 下一页

相关内容