👖 💀 🍿 टीसीपी रीसेट अटैक कैसे काम करता है 🕵🏻 🔩 🚍

एक टीसीपी रीसेट हमले को आकार में कुछ बाइट्स से अधिक के एकल डेटा पैकेट का उपयोग करके किया जाता है। टीसीपी खंड को हमलावर द्वारा स्पूफिंग, निर्मित और प्रेषित करके प्रतिस्थापित किया जाता है, दो पीड़ितों को टीसीपी कनेक्शन समाप्त करने के लिए प्रेरित करता है, उनके बीच के कनेक्शन को बाधित करता है, जो महत्वपूर्ण हो सकता है।

इस हमले के वास्तविक दुनिया में परिणाम थे। इसके उपयोग की आशंकाएं टीसीपी प्रोटोकॉल में परिवर्तन की शुरूआत के कारण ही थीं। माना जाता है कि यह हमला ग्रेट चाइनीज फायरवॉल (गोल्डन शील्ड) का एक अनिवार्य घटक है, जिसका इस्तेमाल चीन सरकार चीन के बाहर इंटरनेट को सेंसर करने के लिए करती है। उसकी प्रभावशाली पृष्ठभूमि के बावजूद, इस हमले के पीछे के तंत्र को समझने के लिए टीसीपी के गहन ज्ञान की आवश्यकता नहीं है। बेशक, इसकी सूक्ष्मताओं की एक समझ आपको टीसीपी प्रोटोकॉल को लागू करने की सुविधाओं के बारे में बहुत कुछ सिखा सकती है, और, जैसा कि हम जल्द ही देखेंगे, आप केवल एक लैपटॉप का उपयोग करके भी अपने खिलाफ इस हमले को अंजाम दे सकते हैं।

इस पोस्ट में हम:

टीसीपी की मूल बातें जानें
जानें कि हमला कैसे काम करता है।
चलो एक साधारण अजगर स्क्रिप्ट के साथ खुद के खिलाफ एक हमला करते हैं।

इससे पहले कि हम हमले के यांत्रिकी का विश्लेषण करना शुरू करें, आइए पहले देखें कि वास्तविक दुनिया में इसका उपयोग कैसे किया जाता है।

महान फ़ायरवॉल में टीसीपी रीसेट हमले का उपयोग कैसे किया जाता है?

ग्रेट फ़ायरवॉल (GFW) आंतरिक चीनी उपयोगकर्ताओं के लिए इंटरनेट को सेंसर करने के लिए चीनी सरकार द्वारा उपयोग की जाने वाली प्रणालियों और तकनीकों का एक समूह है। जीएफडब्ल्यू सक्रिय रूप से देश के अंदर और बाहर सर्वर के साथ कनेक्शन को ब्लॉक और तोड़ता है, और निषिद्ध सामग्री के इंटरनेट ट्रैफ़िक पर भी निगरानी रखता है।

उपयोगकर्ताओं को प्रतिबंधित सर्वर से कनेक्ट करने से रोकने के लिए, GFW DNS प्रदूषण और IP अवरोधन जैसी तकनीकों का उपयोग करता है(दोनों के लेख अलग-अलग हैं)। हालांकि, कभी-कभी GFW फ़ायरवॉल को एक कनेक्शन बनाने की अनुमति देने की आवश्यकता होती है, लेकिन फिर इसे बीच में तोड़ दें। उदाहरण के लिए, यह आवश्यक है यदि आप कनेक्शन का धीमा, लंबित विश्लेषण करना चाहते हैं, उदाहरण के लिए, अन्य कार्यों के साथ इसका संबंध। या इसका उपयोग तब किया जाता है जब फ़ायरवॉल को कनेक्शन प्रक्रिया के दौरान एक्सचेंज किए गए डेटा का विश्लेषण करने की आवश्यकता होती है, और फिर इस जानकारी का उपयोग करके यह तय करने के लिए कि क्या इसे जारी रखना या ब्लॉक करना है। उदाहरण के लिए, किसी समाचार वेबसाइट पर ट्रैफ़िक की अनुमति दी जा सकती है, लेकिन प्रतिबंधित कीवर्ड वाले वीडियो सेंसर किए जाएंगे।

इसके लिए, GFW को पहले से स्थापित कनेक्शनों को बाधित करने में सक्षम उपकरणों की आवश्यकता होती है। ऐसा एक उपकरण टीसीपी रीसेट हमला है।

टीसीपी रीसेट हमला कैसे काम करता है?

एक टीसीपी रीसेट हमले में, हमलावर दो पीड़ितों के बीच संबंध तोड़ता है, एक या दोनों नकली संदेश भेजकर उन्हें तुरंत डिस्कनेक्ट करने के लिए कहता है। इन संदेशों को TCP रीसेट सेगमेंट कहा जाता है । किसी हमलावर की भागीदारी के बिना सामान्य ऑपरेशन में, कंप्यूटर टीसीपी ड्रॉप सेगमेंट भेजते हैं जब वे अप्रत्याशित टीसीपी ट्रैफ़िक प्राप्त करते हैं और प्रेषक को भेजना बंद करना चाहते हैं।

टीसीपी रीसेट हमला दुर्भावनापूर्ण तरीके से इस तंत्र का शोषण करता है, पीड़ितों को समय से पहले टीसीपी कनेक्शन समाप्त करने के लिए छल करता है, उन्हें नकली रीसेट सेगमेंट भेजता है। यदि झूठा रीसेट खंड सही ढंग से बनाया गया है, तो प्राप्तकर्ता इसे वास्तविक खंड के लिए ले जाएगा और इस कनेक्शन पर जानकारी के आगे प्रसारण को बाधित करते हुए, अपने हिस्से के लिए कनेक्शन को बंद कर देगा। डेटा एक्सचेंज जारी रखने के लिए, पीड़ित एक नया टीसीपी कनेक्शन बनाने की कोशिश कर सकते हैं, लेकिन हमलावर के पास इस नए कनेक्शन को रीसेट करने का अवसर हो सकता है। सौभाग्य से, चूंकि एक हमलावर को नकली पैकेट बनाने और भेजने के लिए समय की आवश्यकता होती है, इसलिए ड्रॉपिंग हमले वास्तव में केवल दीर्घकालिक कनेक्शन के खिलाफ प्रभावी होते हैं। अल्पावधि कनेक्शन। उदाहरण के लिए, छोटे वेब पृष्ठों को स्थानांतरित करने के लिए उपयोग किया जाता है, आमतौर पर उनके मिशन को समय से पूरा करने के लिए समय होता हैजब हमलावर उन्हें रीसेट करने में सक्षम होगा।

नकली टीसीपी सेगमेंट भेजना कुछ मायने में एक आसान प्रक्रिया है, क्योंकि न तो टीसीपी और न ही आईपी के पास भेजने वाले की पहचान को सत्यापित करने का अपना कोई तरीका है। IPSec नामक एक आईपी एक्सटेंशन है जो प्रमाणीकरण प्रदान करता है, लेकिन इसका व्यापक रूप से उपयोग नहीं किया जाता है। इंटरनेट सेवा प्रदाताओं को स्पष्ट रूप से झूठे आईपी पते से आने वाले आईपी पैकेटों को प्रसारित करने से मना करना चाहिए, लेकिन यह आरोप लगाया जाता है कि यह चेक बहुत ही औसत दर्जे का है। प्राप्तकर्ता जो कुछ भी कर सकता है वह स्रोत आईपी पते और पोर्ट को पैकेट या खंड के अंदर अंकित मूल्य पर ले सकता है और यदि संभव हो तो प्रेषक की पहचान करने के लिए उच्च स्तरीय प्रोटोकॉल, जैसे टीएलएस का उपयोग करें । हालाँकि, चूंकि TCP डंप पैकेट टीसीपी प्रोटोकॉल का हिस्सा है, इसलिए इन उच्च-स्तरीय प्रोटोकॉल का उपयोग करके उन्हें सत्यापित नहीं किया जा सकता है।

नकली सेगमेंट भेजने की सादगी के बावजूद, एक नकली सेगमेंट बनाना और एक सफल टीसीपी रीसेट हमले को अंजाम देना अभी भी एक चुनौतीपूर्ण काम हो सकता है। ऐसा क्यों होता है यह समझने के लिए, हमें टीसीपी प्रोटोकॉल के संचालन को समझने की आवश्यकता है।

टीसीपी कैसे काम करती है

टीसीपी प्रोटोकॉल का उद्देश्य प्राप्तकर्ता को डेटा ब्लॉक की एक सटीक प्रतिलिपि भेजना है। उदाहरण के लिए, यदि मेरा सर्वर आपके कंप्यूटर पर टीसीपी के माध्यम से HTML भेजता है, तो आपके कंप्यूटर का टीसीपी स्टैक (टीसीपी को संसाधित करने वाले इसके ऑपरेटिंग सिस्टम का हिस्सा) मेरे HTML को ठीक उसी रूप और क्रम में आउटपुट करना चाहिए, जिसमें मेरे सर्वर ने भेजा था।

हालाँकि, मेरे HTML को इंटरनेट पर पूरी तरह से आदेशित तरीके से प्रेषित नहीं किया गया है। इसे कई छोटे टुकड़ों ( टीसीपी सेगमेंट कहा जाता है ) में विभाजित किया गया है , जिनमें से प्रत्येक को व्यक्तिगत रूप से इंटरनेट पर प्रसारित किया जाता है और आपके कंप्यूटर के टीसीपी स्टैक द्वारा स्थानांतरित क्रम में पुनः बनाया जाता है। इस बहाल आउटपुट को टीसीपी स्ट्रीम कहा जाता है । प्रत्येक टीसीपी सेगमेंट अपने स्वयं के आईपी पैकेट में प्रेषित होता है , हालांकि, हमले को समझने के लिए, हमें आईपी के बारे में कोई विवरण जानने की आवश्यकता नहीं है।

खंडों को एक धारा में परिवर्तित करने के लिए देखभाल की आवश्यकता होती है क्योंकि इंटरनेट अविश्वसनीय है। टीसीपी सेगमेंट खो सकता है। वे आदेश से बाहर आ सकते हैं, दो बार भेजे गए, क्षतिग्रस्त हो सकते हैं और कई अन्य दुस्साहस का अनुभव कर सकते हैं। इसलिए, टीसीपी प्रोटोकॉल का उद्देश्य एक अविश्वसनीय नेटवर्क पर विश्वसनीय डेटा ट्रांसमिशन सुनिश्चित करना है। टीसीपी इस कार्य को करता है, कनेक्शन के दोनों पक्षों को एक दूसरे के बीच निकट संपर्क बनाए रखने और डेटा ब्लॉक प्राप्त करने के बारे में लगातार जानकारी प्रसारित करने की आवश्यकता होती है। यह प्रेषकों को यह समझने की अनुमति देता है कि प्राप्तकर्ता ने अभी तक क्या डेटा प्राप्त नहीं किया है, और खोए हुए डेटा को फिर से संचारित करता है।

यह समझने के लिए कि प्रक्रिया कैसे काम करती है, हमें यह समझने की आवश्यकता है कि प्रेषक और रिसीवर टीसीपी अनुक्रम संख्या का उपयोग कैसे करते हैं टीसीपी पर प्रेषित डेटा को चिह्नित करने और ट्रैक करने के लिए।

टीसीपी अनुक्रम संख्या

टीसीपी कनेक्शन पर प्रेषित प्रत्येक बाइट में एक अनुक्रम संख्या होती है जिसे प्रेषक द्वारा उसे सौंपा जाता है। प्राप्त मशीनें मूल क्रम में प्राप्त डेटा को स्थानांतरित करने के लिए सीरियल नंबर का उपयोग करती हैं।

जब दो मशीनें एक टीसीपी कनेक्शन पर बातचीत करती हैं, तो प्रत्येक मशीन एक और यादृच्छिक प्रारंभिक क्रम संख्या भेजती है । यह अनुक्रम संख्या है जो मशीन द्वारा भेजे जाने वाले पहले बाइट को असाइन करेगी। प्रत्येक बाद के बाइट को पिछली बाइट के अनुक्रम संख्या के साथ सौंपा जाता है। 1. टीसीपी सेगमेंट में टीसीपी हेडर होते हैं , जो मेटाडेटा सेगमेंट की शुरुआत से जुड़े होते हैं। खंड निकाय में पहली बाइट की अनुक्रम संख्या इस सेगमेंट के टीसीपी हैडर में शामिल है।

यह ध्यान दिया जाना चाहिए कि टीसीपी कनेक्शन द्विदिश हैं, अर्थात्, डेटा को दोनों दिशाओं में प्रेषित किया जा सकता है, और टीसीपी कनेक्शन में प्रत्येक मशीन प्रेषक और रिसीवर दोनों के रूप में कार्य करता है। इस वजह से, प्रत्येक मशीन को अनुक्रम संख्याओं के अपने स्वतंत्र सेट को असाइन और संसाधित करना होगा।

डेटा की प्राप्ति की पुष्टि

जब एक मशीन एक टीसीपी सेगमेंट प्राप्त करती है, तो यह उस सेगमेंट के प्रेषक को बताती है कि यह प्राप्त हुआ था। प्राप्तकर्ता एक सेगमेंट ACK("स्वीकार" के लिए छोटा) भेजकर ऐसा करता है , जिसमें अगले बाइट की अनुक्रम संख्या होती है जिसे वह प्रेषक से प्राप्त करने की उम्मीद करता है। प्रेषक इस जानकारी का उपयोग यह समझने के लिए करता है कि रिसीवर ने इस संख्या तक सभी अन्य बाइट्स को सफलतापूर्वक प्राप्त किया है।

सेगमेंट को ACKफ्लैग की उपस्थिति ACKऔर सेगमेंट के टीसीपी हेडर में संबंधित पुष्टिकरण संख्या द्वारा दर्शाया गया है । टीसीपी प्रोटोकॉल में केवल 6 ध्वज हैं, जिसमें (जैसा कि हम शीघ्र ही देखेंगे) एक ध्वज RST("रीसेट" के लिए छोटा - "रीसेट"), रीसेट खंड को दर्शाता है।

नोट: टीसीपी चयनात्मक एसीके के उपयोग की भी अनुमति देता है , जो रिसीवर के कुछ प्राप्त करने पर प्रेषित होते हैं, लेकिन सभी नहीं, संख्याओं की सीमा में सेगमेंट। उदाहरण के लिए, "मुझे बाइट्स 1000-3000 और 4000-5000 मिले, लेकिन 3001-3999 नहीं।" सादगी के लिए, मैं टीसीपी रीसेट हमलों की हमारी चर्चा में चयनात्मक एसीके पर विचार नहीं करेगा।

यदि प्रेषक डेटा प्रसारित करता है लेकिन प्राप्त नहीं करता हैACKएक निश्चित समय अंतराल के दौरान, वह मानता है कि डेटा खो गया है और इसे फिर से जारी करता है, जिससे उन्हें समान सीरियल नंबर मिलते हैं। इसका मतलब यह है कि यदि रिसीवर एक ही बाइट्स को दो बार स्वीकार करता है, तो यह धारा को तोड़ने के बिना डुप्लिकेट से छुटकारा पाने के लिए अनुक्रम संख्या का उपयोग करता है। प्राप्तकर्ता डुप्लिकेट डेटा को स्वीकार कर सकता है क्योंकि मूल खंड बाद में प्राप्त किया गया था, इसे फिर से भेजे जाने के बाद, या क्योंकि मूल खंड सफलतापूर्वक प्राप्त हुआ था, लेकिन संबंधित व्यक्ति ACKप्रेषक के रास्ते में खो गया था ।

जबकि इस तरह के डुप्लिकेट डेटा काफी दुर्लभ हैं, इसके कारण संसाधनों की अत्यधिक बर्बादी समस्याओं का कारण नहीं बनती है। यदि सभी डेटा जल्दी या बाद में प्राप्तकर्ता तक पहुंचते हैं, और संबंधित डेटा ACKप्रेषक तक पहुंचता है, तो टीसीपी कनेक्शन अपना काम करता है।

एक नकली खंड के लिए एक सीरियल नंबर चुनना

एक गलत खंड बनाते समय, RSTहमलावर को उसे एक सीरियल नंबर देने की आवश्यकता होती है। प्राप्तकर्ता काफी खुश हैं कि आपको असंगत सीरियल नंबर वाले सेगमेंट को स्वीकार करने और स्वतंत्र रूप से उन्हें सही क्रम में जोड़ने की आवश्यकता है। हालांकि, उनकी क्षमताएं सीमित हैं। यदि प्राप्तकर्ता एक अनुक्रम संख्या के साथ एक खंड प्राप्त करता है जो "आउट" क्रम से बाहर है, तो यह इस तरह के खंड को छोड़ देता है।

इसलिए, एक सफल टीसीपी रीसेट हमले के लिए, एक प्रशंसनीय अनुक्रम संख्या की आवश्यकता होती है। लेकिन ऐसी संख्या को क्या माना जाता है? अधिकांश खंडों के लिए (हालांकि, जैसा कि हम बाद में देखेंगे, इसके लिए नहीं RST), इसका जवाब टीसीपी विंडो के आकार से निर्धारित होता है ।

टीसीपी खिड़की का आकार

1990 के दशक के प्राचीन कंप्यूटर की कल्पना करें, जो एक आधुनिक गीगाबिट फाइबर-ऑप्टिक नेटवर्क से जुड़ा है। एक अल्ट्राफास्ट नेटवर्क इस बुजुर्ग कंप्यूटर पर आश्चर्यजनक रूप से डेटा स्थानांतरित कर सकता है, मशीन की तुलना में तेजी से यह प्रक्रिया कर सकता है। यह हमें परेशान करेगा, क्योंकि टीसीपी खंड को तब तक प्राप्त नहीं किया जा सकता है जब तक कि रिसीवर इसे संसाधित नहीं कर सकता।

कंप्यूटर में एक टीसीपी बफर होता है जिसमें नया आगमन डेटा प्रसंस्करण का इंतजार करता है जबकि कंप्यूटर इससे पहले आने वाले डेटा पर काम कर रहा होता है। हालाँकि, इस बफ़र का एक सीमित आकार है। यदि प्राप्तकर्ता नेटवर्क द्वारा उसे प्रेषित डेटा की मात्रा का सामना करने में असमर्थ है, तो बफर अतिप्रवाह होगा। जब बफर भरा होता है, तो प्राप्तकर्ता के पास अनावश्यक डेटा से छुटकारा पाने के अलावा कोई विकल्प नहीं होता है। प्राप्तकर्ता ACKखारिज किए गए डेटा के लिए नहीं भेजता है , इसलिए प्राप्तकर्ता के बफर में खाली स्थान होने पर प्रेषक को उन्हें फिर से भेजना होगा। इससे कोई फर्क नहीं पड़ता कि नेटवर्क कितनी तेजी से डेटा संचारित कर सकता है यदि प्राप्तकर्ता के पास उनके साथ सामना करने का समय नहीं है।

एक अति उत्साही दोस्त की कल्पना करें, जो आपको आपके मेल से अधिक तेज़ी से आपके मेल पर पत्रों की एक पूरी स्ट्रीम भेजता है। आपके मेलबॉक्स के अंदर एक निश्चित बफर स्थान है, लेकिन यह पूर्ण होने के बाद सभी गैर-अक्षर पत्र जमीन पर गिर जाएंगे, जहां लोमड़ियों और अन्य जीव उन्हें खाएंगे। एक मित्र को अपने द्वारा खाए गए पत्रों को फिर से भेजना होगा, लेकिन अब आपके पास अपने पिछले संदेशों को प्राप्त करने का समय होगा। बहुत से पत्र या डेटा वॉल्यूम भेजना जो प्राप्तकर्ता प्रक्रिया करने में असमर्थ है, ऊर्जा और ट्रांसमिशन चैनल की बर्बादी है।

"बहुत ज्यादा" - यह कितना डेटा है? अधिक डेटा भेजने के लिए प्रेषक कैसे समझ सकता है, और यह प्रतीक्षा के लायक कब है? यह वह जगह है जहां टीसीपी विंडो का आकार काम में आता है।। प्राप्तकर्ता की खिड़की का आकार अनजाने बाइट्स की अधिकतम संख्या है जो प्रेषक किसी भी समय उसे स्थानांतरित कर सकता है। मान लीजिए कि प्राप्तकर्ता रिपोर्ट करता है कि इसकी खिड़की का आकार 100,000 है (हम जल्द ही पता लगाएंगे कि यह इस मान को कैसे पारित करता है), इसलिए प्रेषक 100,000 बाइट भेजता है। मान लीजिए कि जब प्रेषक ने एक सौ हज़ारवां बाइट प्रेषित किया, तब तक रिसीवर ने ACKइन बाइट्स के पहले 10,000 के लिए सेगमेंट भेजे । इसका मतलब है कि 90,000 बाइट्स की पुष्टि अभी तक नहीं हुई है। चूंकि खिड़की का आकार 100,000 है, प्रेषक को किसी अन्य 10,000 बाइट्स को स्थानांतरित करने से पहले उसे नए लोगों के लिए इंतजार करना होगा ACK। अगर इन 10,000 अतिरिक्त बाइट्स को आगे भेजने के बादACKयदि यह प्राप्त नहीं किया गया था, तो प्रेषक 100,000 अपुष्ट बाइट्स की अपनी सीमा में चलेगा। नतीजतन, प्रेषक को नए डेटा प्राप्त करने तक प्रतीक्षा करना और डेटा भेजना बंद करना होगा (उस डेटा के पुन: प्रसारण के लिए जिसे वह हारा हुआ मानता है) को छोड़कर ACK।

टीसीपी कनेक्शन का प्रत्येक पक्ष हैंडशेक प्रक्रिया के दौरान अपने विंडो के आकार के अन्य को सूचित करता है जो कनेक्शन को खोलने पर किया जाता है। इसके अलावा, कनेक्शन प्रक्रिया के दौरान खिड़की के आकार को गतिशील रूप से बदला जा सकता है। एक बड़े टीसीपी बफर वाला कंप्यूटर थ्रूपुट को अधिकतम करने के लिए एक बड़े विंडो आकार की घोषणा कर सकता है। यह उस मशीन को अनुमति देता है जो बिना किसी ठहराव या पुष्टि के प्रतीक्षा किए टीसीपी कनेक्शन पर लगातार डेटा संचारित करती है। एक छोटे टीसीपी बफर वाले कंप्यूटर को छोटे विंडो आकार की रिपोर्ट करने के लिए मजबूर किया जा सकता है। कभी-कभी प्रेषक पूरी तरह से खिड़की को भर देते हैं और कुछ खंडों की पुष्टि होने तक प्रतीक्षा करने के लिए मजबूर होते हैं। बैंडविड्थ इसके कारण ग्रस्त है, लेकिन यह आवश्यक है कि टीसीपी बफ़र्स अतिप्रवाह न करें।

टीसीपी विंडो का आकार संचरित अपुष्ट डेटा की मात्रा पर एक सख्त सीमा है। हम इसका उपयोग अधिकतम संभव अनुक्रम संख्या की गणना करने के लिए कर सकते हैं (जो मैं नीचे दिए गए समीकरण में max_seq_no), जिसे प्रेषक वर्तमान में भेज सकता है:

max_seq_no = max_acked_seq_no + window_size

max_acked_seq_no- यह अधिकतम अनुक्रम संख्या है जिसके लिए प्राप्तकर्ता ने भेजा है ACK। यह अधिकतम अनुक्रम संख्या है जिसे प्रेषक जानता है कि प्राप्तकर्ता ने वास्तव में प्राप्त किया है। चूंकि प्रेषक केवल window_sizeअपुष्ट बाइट्स को प्रेषित कर सकता है , अधिकतम संख्या जो वह भेज सकता है max_acked_seq_no + window_size।

इस वजह से, टीसीपी विनिर्देश कहता है कि प्राप्तकर्ता को किसी भी डेटा को अनदेखा करना चाहिए जो उसके पास मान्य विंडो के बाहर सीरियल नंबर है। उदाहरण के लिए, यदि प्राप्तकर्ता ने 15,000 तक के सभी बाइट्स की पुष्टि की है, और इसकी खिड़की का आकार 30,000 है, तो यह 15,000 से 15,000 (15,000 + 30,000 = 45,000) तक की सीमा में कोई सीरियल नंबर वाला कोई भी डेटा प्राप्त करेगा। इसके अलावा, प्राप्तकर्ता इस अंतराल के बाहर सीरियल नंबर के साथ डेटा को पूरी तरह से अनदेखा करता है। यदि खंड में डेटा है, जिनमें से कुछ इस विंडो के भीतर हैं, और कुछ इसके बाहर हैं, तो विंडो के अंदर के डेटा को स्वीकार किया जाएगा और पुष्टि की जाएगी, लेकिन इसके बाहर के डेटा को छोड़ दिया जाएगा। ध्यान दें कि हम अभी भी उन चयनात्मक लोगोंACK की संभावना को नजरअंदाज करते हैं जिन्हें पोस्ट की शुरुआत में संक्षेप में छुआ गया था।

अधिकांश टीसीपी खंडों के मामले में, यह नियम हमें स्वीकार्य अनुक्रम संख्याओं का अंतराल प्रदान करता है। हालाँकि, जैसा कि पहले उल्लेख किया गया है, खंडों पर लगाए गए RSTप्रतिबंध साधारण डेटा ट्रांसमिशन खंडों पर प्रतिबंधों की तुलना में भी कड़े हैं। जैसा कि हम जल्द ही देखेंगे, यह टीसीपी रीसेट हमले के एक संस्करण के संचालन को जटिल बनाने के लिए किया गया था जिसे "अंधा टीसीपी रीसेट हमला" कहा जाता है ।

RST सेगमेंट के लिए स्वीकार्य अनुक्रमांक

यदि उनके अनुक्रम संख्या अगले अपेक्षित अनुक्रम संख्या और इस संख्या के साथ-साथ खिड़की के आकार के बीच नियमित खंड स्वीकार किए जाते हैं। हालांकि, पैकेट RSTकेवल तभी प्राप्त किए जाते हैं जब उनका अनुक्रम संख्या अगले अपेक्षित अनुक्रम संख्या के बराबर हो । आइए हम पिछले उदाहरण पर लौटते हैं, जिसमें प्राप्तकर्ता ने पुष्टिकरण संख्या 15,000 भेज दी है। पैकेट RSTप्राप्त करने के लिए, इसकी अनुक्रम संख्या ठीक 15,000 होनी चाहिए। यदि प्राप्तकर्ता RSTएक अनुक्रम संख्या के साथ एक खंड प्राप्त करता है जो 15,000 के बराबर नहीं है, तो वह इसे स्वीकार नहीं करेगा।

यदि अनुक्रम संख्या अंतराल के बाहर है, तो रिसीवर इसे पूरी तरह से अनदेखा करता है। हालाँकि, यदि यह अपेक्षित अनुक्रम संख्या की विंडो के भीतर है, तो रिसीवर एक "चुनौती ACK" ("ACK कॉल") भेजता है । यह एक खंड है जो प्रेषक को बताता है कि खंड RSTमें एक अमान्य अनुक्रम संख्या है। वह प्रेषक को अनुक्रम संख्या भी बताता है जिसे प्राप्तकर्ता उम्मीद करता है। प्रेषक इस जानकारी का उपयोग ACKकॉल से पुनः बनाने और उसके पुनः भेजने के लिए कर सकता है RST।

2010 तक, टीसीपी ने इन अतिरिक्त खंड प्रतिबंधों को लागू नहीं किया था RST। RSTकिसी भी अन्य नियमों के अनुसार सेगमेंट स्वीकार या अस्वीकार कर दिए गए थे । हालांकि, इसने अंधे अंधे टीसीपी रीसेट हमलों को भी सरल किया ।

ब्लाइंड टीसीपी पर हमला

यदि हमलावर के पास अपने पीड़ितों के बीच बदले हुए यातायात को बाधित करने की क्षमता है, तो वह पीड़ितों के टीसीपी पैकेट के सीरियल और पुष्टिकरण नंबर पढ़ सकता है। वह इस जानकारी का उपयोग अपने नकली सेगमेंट को देने के लिए कौन से सीरियल नंबर चुनने के लिए कर सकता है RST। हालाँकि, यदि हमलावर पीड़ितों के आवागमन को बाधित नहीं कर सकता है, तो उसे पता नहीं होगा कि कौन सी अनुक्रम संख्या सम्मिलित करनी है। लेकिन वह अभी भी किसी RSTभी संख्या में विभिन्न धारावाहिक संख्याओं के साथ कई खंडों को स्थानांतरित कर सकता है , उम्मीद है कि उनमें से एक सही हो जाएगा। इस तरह के हमले को अंधा टीसीपी रीसेट हमला कहा जाता है।

जैसा कि हमने पहले ही कहा है, टीसीपी प्रोटोकॉल के शुरुआती संस्करण में, हमलावर को केवल सीरियल नंबर चुनना थाRSTरिसीवर की टीसीपी विंडो के भीतर। "विंडो में फिसलने" नामक एक लेख से पता चला कि इसने अंधे हमलों को बहुत आसान बना दिया, क्योंकि लगभग गारंटी वाली सफलता के लिए, एक हमलावर को बस दसियों हजार सेगमेंट भेजने थे। इसका मुकाबला करने के लिए, खंड को स्वीकार करने के लिए प्राप्तकर्ता को मजबूर करने वाले नियम को RSTऊपर वर्णित अधिक कठोर मानदंड से बदल दिया गया था। टीसीपी रीसेट हमलों को करने के लिए नए नियमों के लिए धन्यवाद, लाखों सेगमेंट को नेत्रहीन रूप से भेजने की आवश्यकता है, जो उन्हें व्यावहारिक रूप से अवास्तविक बनाता है। विवरण के लिए RFC-5963 देखें ।

खुद के खिलाफ एक टीसीपी रीसेट हमला करें

नोट: मैंने OSX पर इस प्रक्रिया का परीक्षण किया, लेकिन कुछ टिप्पणियां मिलीं कि यह लिनक्स पर ठीक से काम नहीं करता है।

अब हम टीसीपी रीसेट हमले को निष्पादित करने के बारे में सब कुछ जानते हैं। हमलावर को चाहिए:

दो पीड़ितों के बीच नेटवर्क ट्रैफ़िक ( "सूँघें" ) देखें
सक्षम किए गए ध्वज के साथ टीसीपी सेगमेंट को सूँघ लें ACKऔर इसकी पुष्ट संख्या पढ़ें
झंडे के साथ एक गलत टीसीपी सेगमेंट बनाएं RSTऔर इंटरसेप्टेड सेगमेंट की पुष्टि की गई संख्या के बराबर एक अनुक्रम संख्या (ध्यान दें कि यह एक धीमी गति से संचरण का अर्थ है, अन्यथा चयनित अनुक्रम संख्या जल्दी से पुरानी हो जाएगी। (सफलता की संभावना बढ़ाने के लिए, आप RSTअनुक्रम संख्याओं के एक बड़े अंतराल के साथ इन खंडों को स्थानांतरित कर सकते हैं)। ।)
एक या दोनों पीड़ितों को नकली सेगमेंट भेजें, उम्मीद है कि यह उनके टीसीपी कनेक्शन को तोड़ देगा

अभ्यास करने के लिए, आइए एक ही कंप्यूटर पर खुद के माध्यम से संचार करते हुए, एक टीसीपी हमले का संचालन करें localhost। इसके लिए हमें चाहिए:

दो टर्मिनल विंडो के बीच टीसीपी कनेक्शन कॉन्फ़िगर करें
एक आक्रमण कार्यक्रम लिखें जो ट्रैफ़िक सूँघने से निपटेगा
प्रोग्राम को संशोधित करें ताकि यह नकली सेगमेंट का उत्पादन और भेजता है RST।

आएँ शुरू करें।

1. दो टर्मिनल विंडो के बीच एक टीसीपी कनेक्शन स्थापित करना

हम टूल का उपयोग करके टीसीपी कनेक्शन को कॉन्फ़िगर करेंगे netcat, जो डिफ़ॉल्ट रूप से कई ऑपरेटिंग सिस्टम पर उपलब्ध है। कोई अन्य TCP क्लाइंट करेगा । पहले टर्मिनल विंडो में, हम निम्नलिखित कमांड निष्पादित करेंगे:

nc -nvl 8000

यह कमांड हमारे स्थानीय मशीन पर एक पोर्ट पर सुनने वाले टीसीपी सर्वर को शुरू करता है 8000। दूसरे टर्मिनल विंडो में, निम्न कमांड निष्पादित करें:

nc 127.0.0.1 8000

यह कमांड 127.0.0.1पोर्ट के आईपी पते द्वारा मशीन से एक टीसीपी कनेक्शन बनाने का प्रयास करता है 8000। अब, टर्मिनल की दो खिड़कियों के बीच, एक टीसीपी कनेक्शन स्थापित किया जाना चाहिए। एक विंडो में कुछ दर्ज करने का प्रयास करें - डेटा को टीसीपी कनेक्शन पर प्रसारित करना होगा और दूसरी विंडो में दिखाई देगा।

2. ट्रैफ़िक सूँघना

हम एक आक्रमण कार्यक्रम लिखेंगे जो scapyलोकप्रिय पायथन नेटवर्क लाइब्रेरी का उपयोग करके ट्रैफ़िक सूँघने का कार्य करता है । यह कार्यक्रम टर्मिनल की दो खिड़कियों के बीच स्थानांतरित डेटा को पढ़ने के लिए स्केप का उपयोग करता है, हालांकि यह कनेक्शन का हिस्सा नहीं है।

प्रोग्राम कोड GitHub पर मेरी रिपॉजिटरी में पोस्ट किया गया है । कार्यक्रम कनेक्शन ट्रैफ़िक को सूँघता है और इसे टर्मिनल पर प्रदर्शित करता है। कोड का मुख्य कोर फ़ाइल के अंत में स्थित sniffपुस्तकालय से विधि कॉल है scapy:

t = sniff(
        iface='lo0',
        lfilter=is_packet_tcp_client_to_server(localhost_ip, localhost_server_port, localhost_ip),
        prn=log_packet,
        count=50)

कोड का यह टुकड़ा हमें scapyइंटरफ़ेस पर पैकेट को सूँघने lo0और हमारे टीसीपी कनेक्शन के हिस्से के रूप में सभी पैकेटों पर कब्जा करने के लिए कहता है । कॉल में निम्नलिखित पैरामीटर हैं:

iface- scapyनेटवर्क इंटरफ़ेस lo0, या लोकलहोस्ट सुनने का आदेश
lfilter — , scapy , IP- localhost . , , lo0. , .
prn — , scapy , lfilter. . , RST.
count — , scapy .

इस प्रोग्राम का परीक्षण करने के लिए, चरण 1 से टीसीपी कनेक्शन को कॉन्फ़िगर करें। मेरे गिटहब रिपॉजिटरी को क्लोन करें, कॉन्फ़िगरेशन निर्देशों का पालन करें, और टर्मिनल की तीसरी विंडो में प्रोग्राम चलाएं। टीसीपी कनेक्शन के टर्मिनलों में से एक में कुछ पाठ दर्ज करें। आपको यह देखना चाहिए कि कार्यक्रम कनेक्शन खंडों के बारे में जानकारी रिकॉर्ड करना शुरू कर देगा।

3. नकली पैकेज भेजना `RST`

हमने एक कनेक्शन स्थापित किया है, और कार्यक्रम इसके माध्यम से गुजरने वाले सभी टीसीपी खंडों को सूँघ सकता है। हमारे लिए एकमात्र चीज कार्यक्रम को संशोधित करना है ताकि यह नकली सेगमेंट को प्रसारित करके एक टीसीपी रीसेट हमले को अंजाम दे RST। ऐसा करने के लिए, हम फ़ंक्शन को बदल देंगे prn(ऊपर दिए गए मापदंडों की सूची देखें), scapyफ़ंक्शन की आवश्यकताओं को पूरा करने वाले पैकेजों के लिए कहा जाता है lfilter। फ़ंक्शन के संशोधित संस्करण में, केवल संबंधित पैकेज को ठीक करने के बजाय, हम इसका अध्ययन करते हैं, आवश्यक पैरामीटर निकालते हैं, और खंड को बनाने और भेजने के लिए इन मापदंडों का उपयोग करते हैं RST।

मान लीजिए हमने (src_ip, src_port)कश्मीर से जाने वाले एक खंड को रोक दिया (dst_ip, dst_port)। उसके पास एक ध्वज सेट है ACKऔर पुष्टिकरण संख्या 100,000 है। एक खंड बनाने और भेजने के लिए, हम:

IP- , . , . , .
RST , , RST
, ,
send scapy — .

आवश्यकतानुसार हमारे पिछले कार्यक्रम को संशोधित करने के लिए, इस लाइन को अनलिम करें और इसके ऊपर की लाइन पर टिप्पणी करें।

अब हम पूर्ण पैमाने पर हमले के लिए तैयार हैं। चरण 1 के अनुसार टीसीपी कनेक्शन को कॉन्फ़िगर करें। टर्मिनल की तीसरी विंडो में चरण 2 से हमले के कार्यक्रम को चलाएं। फिर टीसीपी कनेक्शन के टर्मिनलों में से एक में कुछ पाठ दर्ज करें। टर्मिनल में जहां आपने पाठ दर्ज किया है, टीसीपी कनेक्शन अचानक और रहस्यमय तरीके से टूट जाएगा। हो गया हमला!

आगे का कार्य

हमले के उपकरण के साथ प्रयोग करना जारी रखें। ट्रैक करें यदि आप पैकेज की अनुक्रम संख्या से 1 जोड़ते या घटाते हैं तो क्या होगा RST। सुनिश्चित करें कि यह होना चाहिए बिल्कुल के मूल्य के बराबर ackरोक पैकेट।
Wireshark lo0 . TCP-, RST. ip.src == 127.0.0.1 && ip.dst == 127.0.0.1 && tcp.port == 8000 .
, . RST, RST , . , RST, .

टीसीपी रीसेट हमला एक ही समय में गहरा और सरल दोनों है। अपने प्रयोगों के साथ शुभकामनाएँ और मुझे पता है अगर आप सवाल या टिप्पणी है।

टीसीपी रीसेट अटैक कैसे काम करता है