Sockstress
सॉकस्ट्रेस सर्वर और अन्य उपकरणों पर हमला करने की एक विधि है जो इंटरनेट और अन्य टीसीपी-आधारित नेटवर्क पर टीसीपी कनेक्शन स्वीकार करते हैं। यह विधि किसी सेवा या पूरी मशीन को दुर्घटनाग्रस्त करने के लिए स्थानीय संसाधनों का उपयोग करती है, जो अनिवार्य रूप से सेवा हमले के इनकार के रूप में कार्य करती है। सॉकस्ट्रेस को आउटपोस्ट 24 में स्वर्गीय जैक सी. लुइस द्वारा आंतरिक प्रूफ-ऑफ-कॉन्सेप्ट के रूप में विकसित किया गया था। लुई ने कॉर्पोरेट सुरक्षा के लिए नेटवर्क का परीक्षण और जांच करने के लिए यूनिकॉर्नस्कैन का उपयोग करके विसंगतियों की खोज की, जिसके कारण सॉकस्ट्रेस का विकास हुआ। इस अवधारणा को पहली बार सितंबर 2008 में प्रदर्शित किया गया था। शोधकर्ताओं ने फिनलैंड में टी2 सम्मेलन में अधिक विवरण जारी करने की योजना बनाई थी जहां उन्होंने हमलों का प्रदर्शन किया था। इसके बजाय उन्होंने विक्रेता और मानक समुदायों के साथ निकटता से काम करना जारी रखने और उन्हें अधिक समय देने का फैसला किया। एक ब्लॉग प्रविष्टि में उन्होंने कहा, "हम उन्हें [विक्रेताओं को] अनुचित दबाव में नहीं डाल रहे हैं ताकि खराब तरीके से लागू किए गए सुधारों को जल्द से जल्द ठीक किया जा सके।" एक प्रूफ-ऑफ-कॉन्सेप्ट टूल, एनकिलर2, जिसने सॉकस्ट्रेस के समान हमले का प्रदर्शन किया, उसे फोटिस चांट्ज़िस उर्फ इथिलगोर द्वारा फ्रैक एज़िन पर जारी किया गया था। एनकिलर2 पैकेट-पार्सिंग तकनीकों और आभासी अवस्थाओं का उपयोग करके पूरी तरह से राज्यविहीन रूप से काम करता है, और टीसीपी, पर्सिस्ट टाइमर के एक अंतर्निहित तंत्र का फायदा उठाता है, इस प्रकार कम से कम नेटवर्क यातायात के साथ एक सामान्य डी. ओ. एस. हमले को करने और असीम रूप से बढ़ाने में सक्षम है। सॉकस्ट्रेस के बारे में सॉकस्ट्रेस एक उपयोगकर्ता-भूमि टीसीपी साकेट तनाव ढांचा है जो ट्रैकिंग स्थिति के विशिष्ट ओवरहेड को प्रभावित किए बिना खुले साकेट की मनमाने संख्या को पूरा कर सकता है। एक बार जब साकेट स्थापित हो जाता है, तो यह टीसीपी हमलों को भेजने में सक्षम होता है जो विशिष्ट प्रकार के कर्नेल और सिस्टम संसाधनों जैसे काउंटर, टाइमर और मेमोरी पूल को लक्षित करते हैं। जाहिर है, यहाँ वर्णित कुछ हमलों को "सर्वविदित" माना जाता है। हालाँकि, इन हमलों के पूर्ण प्रभाव कम ज्ञात हैं। इसके अलावा, अभी और भी हमलों का पता लगाया जाना/दस्तावेजीकरण किया जाना बाकी है। जैसे-जैसे शोधकर्ता विशिष्ट संसाधनों को कम करने के तरीकों का दस्तावेजीकरण करते हैं, आक्रमण मॉड्यूल को सॉक्स फ्रेमवर्क के पेड़ में जोड़ा जा सकता है। सॉकस्ट्रेस अटैक टूल में दो मुख्य भाग होते हैंः 1) फैंटिपः फैंटिप एक "फैंटम आईपी" प्रोग्राम है जो आईपी पतों के लिए एआरपी करता है। फैंटाइप का उपयोग करने के लिए टाइप करें 'फैंटाइप-आई इंटरफेस सी. आई. डी. आर.', Ex., 'फैंटाइप-आई एथ0 192.168.0.128/25'। यह ए. आर. पी./परत 2 कार्य वैकल्पिक रूप से स्थानीय नेटवर्क टोपोलॉजी की आवश्यकताओं के आधार पर अन्य माध्यमों से प्रदान किया जा सकता है। चूँकि सॉकस्ट्रेस उपयोगकर्ता-भूमि में टीसीपी सॉकेट्स को पूरा करता है, इसलिए कर्नेल द्वारा उपयोग के लिए कॉन्फ़िगर किए गए आईपी पते के साथ सॉकस्ट्रेस का उपयोग करने की सलाह नहीं दी जाती है, क्योंकि कर्नेल तब सॉकेट्स को आरएसटी करेगा। यह सख्ती से आवश्यक नहीं है क्योंकि पहले झंडे के साथ आने वाले पैकेटों को छोड़ने के लिए फ़ायरवॉल का उपयोग उसी लक्ष्य को प्राप्त करने और कर्नेल को हमले के वेक्टर के साथ हस्तक्षेप करने से रोकने के लिए किया जा सकता है। 2) सॉकस्ट्रेसः अपने सबसे बुनियादी उपयोग में, सॉकस्ट्रेस केवल टीसीपी साकेट खोलता है और एक निर्दिष्ट टीसीपी तनाव परीक्षण भेजता है। यह वैकल्पिक रूप से एक अनुप्रयोग विशिष्ट टीसीपी पेलोड भेज सकता है (अर्थात। 'जी. ई. टी./एच. टी. टी. पी./1' अनुरोध)। डिफ़ॉल्ट रूप से, हमले के बाद यह स्थापित साकेट पर बाद के संचार की अनदेखी करता है। यह वैकल्पिक रूप से सक्रिय साकेट के लिए ए. सी. के. जांच कर सकता है। हमले उन उजागर संसाधनों का लाभ उठाते हैं जो लक्ष्य हाथ मिलाने के बाद उपलब्ध कराता है। क्लाइंट साइड कुकीज़, जिनकी ब्लॉग, समाचार और चर्चा सूचियों में भारी चर्चा की जाती है, सॉकस्ट्रेस का एक कार्यान्वयन विवरण है, और इन हमलों को अंजाम देने के लिए सख्ती से आवश्यक नहीं है। हमले के परिदृश्य सॉकस्ट्रेस ढांचे में प्रत्येक हमले का उस प्रणाली/सेवा पर कुछ प्रभाव पड़ता है जिस पर यह हमला कर रहा है। हालांकि, कुछ हमले एक विशिष्ट प्रणाली/सेवा संयोजन के खिलाफ दूसरों की तुलना में अधिक प्रभावी होते हैं। कनेक्शन फ्लड स्ट्रेस सॉकस्ट्रेस में एक साधारण कनेक्शन फ्लड अटैक करने के लिए एक विशेष अटैक मॉड्यूल नहीं है, लेकिन किसी भी अटैक मॉड्यूल का उपयोग इस तरह से किया जा सकता है यदि-c-1 (अधिकतम कनेक्शन असीमित) और-m-1 (अधिकतम सिंक असीमित) विकल्पों का उपयोग किया जाता है। सी. पी. एन. आई. दस्तावेज़ में वर्णित सभी उपलब्ध टी. सी. बी. को खंड 3.1.1 में समाप्त करते हुए यह कनेक्शन फ्लड करके नैप्था हमले का अनुमान लगाएगा। उदाहरण आदेशः फैंटाइप-आई एथ0 192.168.1.128/25-वी. वी. वी. सॉकस्ट्रेस-ए.-सी.-1-डी. 192.168.1.100-एम.-1-एम. जेड.-पी. 22,80-आर. 300-एस. 192.168.1.128/25-वी. वी. ज़ीरो विंडो कनेक्शन तनाव एक श्रवण साकेट के लिए एक कनेक्शन बनाएँ और 3 तरह से हाथ मिलाने पर (अंतिम ए. सी. के. के अंदर) 0 विंडो भेजें। sin-> (4k विंडो) <-sin + ack (32k विंडो) ack-> (0 विंडो) अब सर्वर को क्लाइंट की "जांच" करनी होगी जब तक कि शून्य विंडो नहीं खुलती। यह समझने के लिए हमले के प्रकारों में से सबसे सरल है। परिणाम एक कनेक्शन बाढ़ के समान है, सिवाय इसके कि साकेट संभावित रूप से अनिश्चित काल तक खुले रहते हैं (जब-ए/एसीके सक्षम होता है)। इसका वर्णन सी. पी. एन. आई. दस्तावेज़ में धारा 2.2 में किया गया है। यहाँ एक भिन्नता पीएसएच के लिए एक ग्राहक पेलोड (यानी। 'जी. ई. टी./एच. टी. टी. पी./1') विंडो को 0 पर सेट करने से पहले। यह भिन्नता सी. पी. एन. आई. दस्तावेज़ खंड 5.1.1 में वर्णित के समान होगी। एक और भिन्नता यह होगी कि कभी-कभी 0 से बड़ी टीसीपी विंडो का विज्ञापन किया जाए, फिर 0-विंडो पर वापस जाएं। जिन सेवाओं में लंबे समय तक समय समाप्त होता है उनके खिलाफ अच्छा है उदाहरण आदेशः फैंटाइप-आई एथ0 192.168.1.128/25-वीवीवी सॉकस्ट्रेस-ए-सी-1-डी 192.168.1.100-एम-1-एमजेड-पी22,80-आर300-एस 192.168.1.128/25-वीवी छोटा विंडो स्ट्रेस एक श्रवण साकेट के लिए एक कनेक्शन बनाएँ और 3 तरह से हाथ मिलाने पर (अंतिम एसीके के अंदर) 4 बाइट्स का विंडो आकार निर्धारित करें, फिर टीसीपी पेलोड के साथ एक एसीके/पीएसएच पैकेट बनाएँ (एक खिड़की में जो उम्मीद है कि इसे स्वीकार करने के लिए पर्याप्त बड़ा है) एक खिड़की के साथ अभी भी 4 बाइट्स पर सेट करें। यह संभावित रूप से कर्नेल मेमोरी का उपभोग करने का कारण बनेगा क्योंकि यह प्रतिक्रिया लेता है और इसे छोटे 4 बाइट्स भागों में विभाजित करता है। यह उस स्मृति में एक कनेक्शन बाढ़ के विपरीत है जो अब किए गए प्रत्येक अनुरोध के लिए उपयोग किया जाता है। इसने विश्वसनीय रूप से लिनक्स/अपाचे और लिनक्स/सेंडमेल प्रणालियों को निष्क्रिय अवस्था में डाल दिया है। यह अन्य प्रणालियों के खिलाफ भी प्रभावी है। यह उम्मीद की जाती है कि इसका वही प्रभाव होगा जो पृष्ठ 17 के दूसरे से अंतिम पैराग्राफ में सीपीएनआई दस्तावेज़ में वर्णित है। सॉकस्ट्रेस स्रोत में payload.c फ़ाइल को देखें। एचपोर्ट स्विच स्टेटमेंट देखें। उस खंड में आप विशिष्ट बंदरगाहों पर भेजे जाने वाले पेलोड को निर्दिष्ट कर सकते हैं। एक पेलोड भेजना सबसे प्रभावी है जो यथासंभव बड़ी प्रतिक्रिया उत्पन्न करेगा (यानी। 'जीईटी/लार्जफाइल. ज़िप')। खिलाफ अच्छाः प्रारंभिक कनेक्शन बैनर वाली सेवाएँ जो प्रारंभिक अनुरोध को स्वीकार करती हैं और एक बड़ी प्रतिक्रिया भेजती हैं (उदाहरण के लिए एक बड़े वेब पेज के खिलाफ एक जी. ई. टी. अनुरोध, या फ़ाइल डाउनलोड) उदाहरण आदेशः fantaip-i eth0 192.168.1.128/25-vvv sockstress-A-c-1-d 192.168.1.100-m-1-Mw-p22,80-r300-s 192.168.1.128/25-vv खंड छेद तनाव एक श्रवण साकेट के लिए एक कनेक्शन बनाएँ और 3 तरह से हाथ मिलाएँ (अंतिम ACK के अंदर) एक खिड़की की शुरुआत में 4 बाइट्स भेजें, जैसा कि दूरस्थ प्रणाली द्वारा विज्ञापित किया गया है। फिर विंडो के अंत में 4 बाइट्स भेजें। फिर कनेक्शन को 0-विंडो करें। स्टैक के आधार पर, यह दूरस्थ प्रणाली को प्रति कनेक्शन कर्नेल मेमोरी के कई पृष्ठों को आवंटित करने का कारण बन सकता है। यह उस स्मृति में एक कनेक्शन बाढ़ के विपरीत है जो अब बनाए गए प्रत्येक कनेक्शन के लिए खपत होती है। यह हमला मूल रूप से लिनक्स को लक्षित करने के लिए बनाया गया था। यह विंडोज के खिलाफ भी काफी प्रभावी है। यह वह हमला है जिसका उपयोग सेक-टी और टी2 प्रदर्शनों में किया गया था। यह उम्मीद की जाती है कि इसका वही प्रभाव होगा जो सी. पी. एन. आई. दस्तावेज़ में धारा 5.2.2 5वें पैराग्राफ और धारा 5.3 में वर्णित है। इसके खिलाफ अच्छाः स्टैक जो इस उत्तेजना के जवाब में कर्नेल मेमोरी के कई पृष्ठों को आवंटित करते हैं उदाहरण आदेशः फैंटाइप-आई एथ0 192.168.1.128/25-वीवीवी सॉकस्ट्रेस-ए-सी-1-डी 192.168.1.100-एम-1-एम-पी22,80-आर300-एस 192.168.1.128/25-वीवी आरईक्यू एफआईएन विराम तनाव श्रवण साकेट के लिए एक कनेक्शन बनाएँ। पी. एस. एच. एक अनुप्रयोग पेलोड (अर्थात। 'जीईटी/एचटीटीपी/1')। कनेक्शन का पता लगाएँ और इसे 0-विंडो करें। आप जिस ढेर/अनुप्रयोग को लक्षित कर रहे हैं, उसके आधार पर इस हमले के बहुत अलग परिणाम होंगे। सिस्को 1700 (आई. ओ. एस.) वेब सर्वर के खिलाफ इसका उपयोग करते हुए, यह देखा गया कि साकेट को अनिश्चित काल के लिए एफ. आई. एन. _ डब्ल्यू. ए. आई. टी. _ 1 में छोड़ दिया गया था। इस तरह के साकेट के पर्याप्त होने के बाद, राउटर अब टीसीपी को सही ढंग से संचारित नहीं कर सका। सॉकस्ट्रेस स्रोत में payload.c फ़ाइल को देखें। एचपोर्ट स्विच स्टेटमेंट देखें। उस खंड में आप विशिष्ट बंदरगाहों पर भेजे जाने वाले पेलोड को निर्दिष्ट कर सकते हैं। यह महत्वपूर्ण है कि आप जिस एप्लिकेशन के साथ बातचीत कर रहे हैं, उस पर एक ऐसा पेलोड भेजें जो एक सामान्य ग्राहक की तरह दिखे। सिस्को 1700 के खिलाफ, इस हमले का उपयोग करते समय बहुत धीमी गति से हमला करना महत्वपूर्ण था। उदाहरण आदेशः फैंटाइप-आई एथ0 192.168.1.128/25-वीवीवी सॉकस्ट्रेस-ए-सी-1-डी 192.168.1.100-एम-1-एमएस-पी80-आर10-एस 192.168.1.128/25-वीवी सक्रिय करें रेनो दबाव तनाव एक श्रवण साकेट के लिए एक कनेक्शन बनाएँ। पी. एस. एच. एक अनुप्रयोग पेलोड (अर्थात। 'जीईटी/एचटीटीपी/1')। ट्रिपल डुप्लिकेट ए. सी. के. सॉकस्ट्रेस स्रोत में payload.c फ़ाइल को देखें। एचपोर्ट स्विच स्टेटमेंट देखें। उस खंड में आप विशिष्ट बंदरगाहों पर भेजे जाने वाले पेलोड को निर्दिष्ट कर सकते हैं। यह महत्वपूर्ण है कि आप जिस एप्लिकेशन के साथ बातचीत कर रहे हैं, उस पर एक ऐसा पेलोड भेजें जो एक सामान्य ग्राहक की तरह दिखे। खिलाफ अच्छाः स्टैक जो रेनो या इसी तरह की शेड्यूलर कार्यक्षमता को सक्रिय करने की इस विधि का समर्थन करते हैं उदाहरण आदेशः फैंटाइप-आई एथ0 192.168.1.128/25-वीवीवी सॉकस्ट्रेस-ए-सी-1-डी 192.168.1.100-एम-1-एमआर-पी22,80-आर300-एस 192.168.1.128/25-वीवी अन्य विचार एफआईएन _ डब्ल्यूएआईटी _ 2 तनाव एक श्रवण साकेट के लिए एक कनेक्शन बनाएँ। पीएसएच एक अनुप्रयोग पेलोड है जो संभवतः दूसरी तरफ के अनुप्रयोग को साकेट को बंद करने का कारण बनेगा (लक्ष्य एक एफआईएन भेजता है)। ए. सी. के. द फिन। खिलाफ अच्छाः ऐसे स्टैक जिनके पास FIN _ WAT _ 2 टाइमआउट नहीं है। यदि हमले लगातार रुके हुए कनेक्शन शुरू करने में सफल होते हैं, तो सर्वर की कनेक्शन टेबल को जल्दी से भरा जा सकता है, जिससे प्रभावी रूप से एक विशिष्ट सेवा के लिए सेवा की स्थिति से इनकार किया जा सकता है। कई मामलों में हमने यह भी देखा है कि हमले बड़ी मात्रा में घटना कतारों और सिस्टम मेमोरी का उपभोग करते हैं, जो हमलों के प्रभावों को तेज करते हैं। जिसके परिणामस्वरूप ऐसी प्रणालियाँ बनी हैं जिनमें अब टीसीपी संचार, जमे हुए प्रणालियों और सिस्टम रीबूट के लिए इवेंट टाइमर नहीं हैं। हमलों में महत्वपूर्ण बैंडविड्थ की आवश्यकता नहीं होती है। हालांकि एक सेवा को कुछ ही सेकंड में अनुपलब्ध होना मामूली बात है, लेकिन एक पूरी प्रणाली को निष्क्रिय होने में कई मिनट लग सकते हैं, और कुछ मामलों में घंटों लग सकते हैं। एक सामान्य नियम के रूप में, एक प्रणाली में जितनी अधिक सेवाएं होंगी, उतनी ही तेजी से यह विनाशकारी (टूटी हुई टीसीपी, सिस्टम लॉक, रिबूट, आदि) के आगे झुक जाएगी। हमलों के प्रभाव। वैकल्पिक रूप से, बड़ी संख्या में आई. पी. पतों से हमला करके आक्रमण प्रवर्धन प्राप्त किया जा सकता है। हम आम तौर पर अपनी प्रयोगशालाओं में ए/29 से ए/25 तक हमला करते हैं। ए/32 से हमला करना आम तौर पर प्रणाली में व्यापक दोष पैदा करने में कम प्रभावी होता है। शोषण चेतावनी हमले के लिए पीड़ित कनेक्शन टेबल को प्रभावी ढंग से भरने के लिए एक सफल टीसीपी 3 तरीके से हाथ मिलाने की आवश्यकता होती है। यह हमले की प्रभावशीलता को सीमित करता है क्योंकि एक हमलावर पता लगाने से बचने के लिए ग्राहक के आईपी पते को धोखा नहीं दे सकता है। एक सॉकस्ट्रेस शैली के उपयोग के लिए हमलावर मशीन पर कच्चे साकेट तक पहुंच की भी आवश्यकता होती है क्योंकि पैकेटों को ओएस के कनेक्ट () एपीआई के बजाय यूजरस्पेस में संभाला जाना चाहिए। विंडोज एक्स. पी. एस. पी. 2 और उससे ऊपर के उपकरणों पर कच्चे साकेट अक्षम हैं, लेकिन इस सुविधा को विंडोज में वापस लाने के लिए डिवाइस ड्राइवर आसानी से उपलब्ध हैं। शोषण को * निक्स जैसे कच्चे साकेट के साथ अन्य प्लेटफार्मों पर निष्पादित किया जा सकता है और इसके लिए रूट (सुपरयूज़र) विशेषाधिकारों की आवश्यकता होती है। शमन चूंकि एक हमलावर को लक्ष्य को प्रभावित करने के लिए टीसीपी साकेट स्थापित करने में सक्षम होना चाहिए, इसलिए महत्वपूर्ण प्रणालियों और राउटरों पर टीसीपी सेवाओं तक श्वेत-सूचीबद्ध पहुंच शमन के लिए वर्तमान में सबसे प्रभावी साधन है। आई. पी. एस. सी. का उपयोग भी एक प्रभावी शमन है। सिस्को रेस्पॉन्स के अनुसार वर्तमान शमन सलाह केवल विश्वसनीय स्रोतों को टीसीपी-आधारित सेवाओं तक पहुँचने की अनुमति देना है। यह शमन महत्वपूर्ण अवसंरचना उपकरणों के लिए विशेष रूप से महत्वपूर्ण है। रेड हैट ने कहा है कि "अपस्ट्रीम के अपडेट जारी नहीं करने के फैसले के कारण, रेड हैट इन मुद्दों को हल करने के लिए अपडेट जारी करने की योजना नहीं बनाता है; हालाँकि, इन हमलों के प्रभावों को कम किया जा सकता है।" लिनक्स पर कनेक्शन ट्रैकिंग और दर सीमित करने के साथ आई. पी. टी. ए. बी. एल. का उपयोग करने से शोषण के प्रभाव को काफी सीमित किया जा सकता है। संदर्भ बाहरी लिंक स्रोत कोड-स्लैकवेयर पर क्लीन संकलित करता है 14 सार्वजनिक डोमेन सी कार्यान्वयन (तृतीय पक्ष) आउटपोस्ट 24 सुरक्षा का संपादन अब पॉडकास्ट सुरक्षा अब #164 नोट्स दिखाएँ ट्रांसक्रिप्ट यूनिकॉर्नस्कैन स्लैशडॉट समाचार लेख टीसीपी इंटरनेट प्रोटोकॉल आधारित नेटवर्क सॉफ्टवेयर के खिलाफ हमले