Sockstress
ساکسٹریس سرورز اور دیگر آلات پر حملہ کرنے کا ایک طریقہ ہے جو انٹرنیٹ اور دیگر ٹی سی پی پر مبنی نیٹ ورکس پر ٹی سی پی کنکشن کو قبول کرتے ہیں۔ یہ طریقہ کسی سروس یا پوری مشین کو کریش کرنے کے لیے مقامی وسائل کا استعمال کرتا ہے، بنیادی طور پر سروس حملے کے انکار کے طور پر کام کرتا ہے۔ ساکسٹریس کو آؤٹ پوسٹ 24 میں مرحوم جیک سی لوئس نے اندرونی ثبوت کے تصور کے طور پر تیار کیا تھا۔ لوئس نے کارپوریٹ سیکیورٹی کے لیے نیٹ ورک کی جانچ اور تحقیقات کے لیے یونیکورن اسکین کا استعمال کرتے ہوئے بے ضابطگیاں دریافت کیں، جس کی وجہ سے ساکسٹریس کی ترقی ہوئی۔ اس تصور کا پہلی بار ستمبر 2008 میں مظاہرہ کیا گیا تھا۔ محققین نے فن لینڈ میں T2 کانفرنس میں مزید تفصیلات جاری کرنے کا منصوبہ بنایا تھا جہاں انہوں نے حملوں کا مظاہرہ کیا۔ اس کے بجائے انہوں نے وینڈر اور معیاری کمیونٹیز کے ساتھ مل کر کام جاری رکھنے اور انہیں زیادہ وقت دینے کا انتخاب کیا۔ ایک بلاگ اندراج میں انہوں نے کہا کہ "ہم انہیں [دکانداروں کو] غیر ضروری دباؤ میں نہیں ڈال رہے ہیں تاکہ ناقص طور پر نافذ کیے گئے فوری اصلاحات کو ختم کیا جا سکے"۔ ایک پروف آف کانسیپٹ ٹول، نکیلر 2، جس نے ساکسٹریس سے ملتے جلتے حملے کا مظاہرہ کیا، فوٹس چانٹزیس عرف ایتھلگور نے فریک ایزائن پر جاری کیا۔ این کلر 2 پیکٹ تجزیہ کی تکنیکوں اور ورچوئل اسٹیٹس کا استعمال کرتے ہوئے مکمل طور پر بے ریاست کام کرتا ہے، اور ٹی سی پی کے ایک موروثی میکانزم، پرسسٹ ٹائمر کا استحصال کرتا ہے، اس طرح نیٹ ورک ٹریفک کی کم سے کم مقدار کے ساتھ ایک عام ڈی او ایس حملے کو انجام دینے اور لامحدود حد تک طول دینے کے قابل ہوتا ہے۔ ساکسٹریس کے بارے میں ساکسٹریس ایک صارف-لینڈ ٹی سی پی ساکٹ اسٹریس فریم ورک ہے جو ٹریکنگ کی حالت کے عام اوور ہیڈ کو متاثر کیے بغیر کھلی ساکٹ کی صوابدیدی تعداد کو مکمل کر سکتا ہے۔ ایک بار ساکٹ قائم ہونے کے بعد، یہ ٹی سی پی حملے بھیجنے کی صلاحیت رکھتا ہے جو مخصوص قسم کے دانے اور سسٹم کے وسائل جیسے کاؤنٹرز، ٹائمرز اور میموری پولز کو نشانہ بناتے ہیں۔ ظاہر ہے، یہاں بیان کردہ کچھ حملوں کو "معروف" سمجھا جاتا ہے۔ تاہم، ان حملوں کے مکمل اثرات کم معلوم ہیں۔ مزید، ابھی مزید حملوں کا پتہ لگانا/دستاویز کرنا باقی ہے۔ جیسا کہ محققین مخصوص وسائل کو ختم کرنے کے طریقوں کو دستاویز کرتے ہیں، حملے کے ماڈیولز کو ساکس فریم ورک کے درخت میں شامل کیا جا سکتا ہے۔ ساکسٹریس اٹیک ٹول دو اہم حصوں پر مشتمل ہوتا ہے: 1) فینٹائپ: فینٹائپ ایک "فینٹم آئی پی" پروگرام ہے جو آئی پی پتے کے لیے اے آر پی انجام دیتا ہے۔ فینٹائپ استعمال کرنے کے لیے 'فینٹائپ-آئی انٹرفیس سی آئی ڈی آر'، Ex.، 'فینٹائپ-آئی ایتھ 0 192.168.0.128/25' ٹائپ کریں۔ یہ اے آر پی/پرت 2 فنکشن اختیاری طور پر مقامی نیٹ ورک ٹوپولوجی کی ضروریات کے لحاظ سے دوسرے ذرائع سے فراہم کیا جا سکتا ہے۔ چونکہ ساکسٹرس ٹی سی پی ساکٹ کو یوزر لینڈ میں مکمل کرتا ہے، اس لیے یہ مشورہ نہیں دیا جاتا ہے کہ ساکسٹرس کو آئی پی ایڈریس کے ساتھ استعمال کیا جائے جو دانا کے استعمال کے لیے ترتیب دیا گیا ہو، کیونکہ دانا پھر ساکٹ کو آر ایس ٹی کرے گا۔ اس کی سختی سے ضرورت نہیں ہے کیونکہ آرسٹ فلیگ کے ساتھ آنے والے پیکٹوں کو چھوڑنے کے لیے فائر وال کا استعمال اسی مقصد کو حاصل کرنے اور دانا کو اٹیک ویکٹر میں مداخلت کرنے سے روکنے کے لیے استعمال کیا جا سکتا ہے۔ 2) ساکسٹریس: اپنے سب سے بنیادی استعمال میں، ساکسٹریس صرف ٹی سی پی ساکٹ کھولتا ہے اور ایک مخصوص ٹی سی پی اسٹریس ٹیسٹ بھیجتا ہے۔ یہ اختیاری طور پر ایک مخصوص ٹی سی پی پے لوڈ بھیج سکتا ہے (یعنی۔ 'جی ای ٹی/ایچ ٹی ٹی پی/1.0' درخواست)۔ پہلے سے طے شدہ طور پر، حملے کے بعد یہ قائم ساکٹ پر بعد کے مواصلات کو نظر انداز کر دیتا ہے۔ یہ اختیاری طور پر فعال ساکٹ کے لیے اے سی کے تحقیقات کر سکتا ہے۔ حملے ان بے نقاب وسائل سے فائدہ اٹھاتے ہیں جو ہدف ہاتھ ملانے کے بعد دستیاب کراتا ہے۔ کلائنٹ سائیڈ کوکیز، جن پر بلاگز، خبروں اور مباحثوں کی فہرستوں میں بہت زیادہ بحث کی جاتی ہے، ساکسٹریس کے نفاذ کی تفصیل ہے، اور ان حملوں کو انجام دینے کے لیے سختی سے ضروری نہیں ہے۔ حملے کے منظرنامے ساکسٹریس فریم ورک میں ہر حملے کا اس نظام/سروس پر کچھ اثر پڑتا ہے جس پر وہ حملہ کر رہا ہے۔ تاہم، کچھ حملے کسی مخصوص نظام/سروس کے امتزاج کے خلاف دوسروں کے مقابلے میں زیادہ موثر ہوتے ہیں۔ کنکشن فلڈ اسٹریس ساکسٹریس میں سادہ کنکشن فلڈ اٹیک انجام دینے کے لیے کوئی خاص اٹیک ماڈیول نہیں ہے، لیکن اگر-c-1 (زیادہ سے زیادہ کنکشن لامحدود) اور-m-1 (زیادہ سے زیادہ مطابقت پذیر لامحدود) آپشن استعمال کیے جائیں تو کسی بھی اٹیک ماڈیول کو اس طرح استعمال کیا جا سکتا ہے۔ اس سے کنیکشن فلڈ انجام دے کر نیپتھا حملے کا تخمینہ لگ جائے گا، جس سے تمام دستیاب ٹی سی بی ختم ہو جائیں گے جیسا کہ سیکشن 3.1 میں سی پی این آئی دستاویز میں بیان کیا گیا ہے۔ مثال کے طور پر کمانڈ: فینٹائپ-آئی ایتھ 0 192.168.1.128/25-وی وی وی ساکسٹریس-اے-سی-1-ڈی 192.168.1.100-ایم-1-ایم زیڈ-پی 22,80-آر 300-ایس 192.168.1.128/25-وی وی زیرو ونڈو کنکشن اسٹریس سننے والے ساکٹ سے کنکشن بنائیں اور 3 طریقے سے ہاتھ ملانے پر (آخری اے سی کے کے اندر) 0 ونڈو بھیجیں۔ سن-> (4k ونڈو) <-سن + ایک (32k ونڈو) ایک-> (0 ونڈو) اب سرور کو کلائنٹ کی "تحقیقات" کرنی ہوگی جب تک کہ صفر ونڈو نہ کھل جائے۔ یہ سمجھنے کے لیے حملے کی اقسام میں سب سے آسان ہے۔ نتیجہ کنیکشن فلڈ سے ملتا جلتا ہے، سوائے اس کے کہ ساکٹ ممکنہ طور پر غیر معینہ مدت تک کھلے رہتے ہیں (جب-A/ACK فعال ہوتا ہے)۔ یہ سی پی این آئی دستاویز میں سیکشن 2.2 میں بیان کیا گیا ہے۔ یہاں ایک تغیر پی ایس ایچ ایک کلائنٹ پے لوڈ ہوگا (یعنی۔ ونڈو کو 0 پر سیٹ کرنے سے پہلے 'GET/HTTP/1.0')۔ یہ تغیر اسی طرح کا ہوگا جو سی پی این آئی دستاویز کے سیکشن 5.1 میں بیان کیا گیا ہے۔ ایک اور تبدیلی یہ ہوگی کہ کبھی کبھار 0 سے بڑی ٹی سی پی ونڈو کی تشہیر کی جائے، پھر 0 ونڈو پر واپس جائیں۔ مثال کے طور پر فنٹائپ-آئی ایتھ 0 192.168.1.128/25-وی وی وی ساکسٹریس-اے-سی-1-ڈی 192.168.1.100-ایم-1-ایم زیڈ-پی 22,80-آر 300-ایس 192.168.1.128/25-وی وی چھوٹا ونڈو اسٹریس سننے والے ساکٹ سے کنکشن بنائیں اور 3 راستے پر ہینڈ شیک (آخری اے سی کے کے اندر) ونڈو کا سائز 4 بائٹس مقرر کریں، پھر ٹی سی پی پے لوڈ کے ساتھ ایک اے سی کے/پی ایس ایچ پیکٹ بنائیں (ایسی ونڈو میں جو امید ہے کہ اسے قبول کرنے کے لیے کافی بڑا ہے) جس میں ونڈو اب بھی 4 بائٹس پر سیٹ ہے۔ یہ ممکنہ طور پر دانا میموری کو کھونے کا سبب بنے گا کیونکہ یہ ردعمل لیتا ہے اور اسے چھوٹے 4 بائٹ حصوں میں تقسیم کرتا ہے۔ یہ اس میموری میں کنکشن فلڈ کے برعکس ہے جو اب کی گئی ہر درخواست کے لیے استعمال ہوتا ہے۔ اس نے قابل اعتماد طور پر لینکس/اپاچی اور لینکس/سیڈ میل سسٹمز کو غیر فعال حالتوں میں ڈال دیا ہے۔ یہ دوسرے نظاموں کے خلاف بھی موثر ہے۔ یہ توقع کی جاتی ہے کہ اس کے اسی طرح کے اثرات ہوں گے جو صفحہ 17 کے دوسرے سے آخری پیراگراف میں سی پی این آئی دستاویز میں بیان کیے گئے ہیں۔ ساکسٹریس سورس میں payload.c فائل کو دیکھیں۔ ایچ پورٹ سوئچ کا بیان تلاش کریں۔ اس حصے میں آپ مخصوص بندرگاہوں پر بھیجے جانے والے پے لوڈ کی وضاحت کر سکتے ہیں۔ ایسا پے لوڈ بھیجنا سب سے زیادہ مؤثر ہے جو زیادہ سے زیادہ ردعمل پیدا کرے (یعنی۔ 'جی ای ٹی/لارج فائل. زپ')۔ اس کے خلاف اچھی: وہ خدمات جن میں ابتدائی کنکشن کے بینر ہوتے ہیں وہ خدمات جو ابتدائی درخواست کو قبول کرتی ہیں اور بڑا ردعمل بھیجتی ہیں (مثال کے طور پر کسی بڑے ویب پیج کے خلاف جی ای ٹی کی درخواست، یا فائل ڈاؤن لوڈ) مثال کے طور پر کمانڈ: فینٹائپ-آئی ایتھ 0 192.168.1.128/25-وی وی وی ساکسٹریس-اے-سی-1-ڈی 192.168.1.100-ایم-1-ایم ڈبلیو-پی 22,80-آر 300-ایس 192.168.1.128/25-وی وی سیگمنٹ ہول اسٹریس سننے والے ساکٹ سے کنکشن بنائیں اور 3 طریقے سے ہاتھ ملانے پر (آخری اے سی کے کے اندر) ونڈو کے آغاز میں 4 بائٹس بھیجیں، جیسا کہ ریموٹ سسٹم کے ذریعے اشتہار دیا گیا ہے۔ پھر ونڈو کے آخر میں 4 بائٹس بھیجیں۔ پھر کنکشن کو 0 ونڈو کریں۔ اسٹیک پر منحصر ہے، اس کی وجہ سے ریموٹ سسٹم فی کنکشن کرنل میموری کے متعدد صفحات مختص کر سکتا ہے۔ یہ کنکشن فلڈ کے برعکس ہے اس میموری میں اب بنائے گئے ہر کنکشن کے لیے استعمال ہوتا ہے۔ یہ حملہ اصل میں لینکس کو نشانہ بنانے کے لیے بنایا گیا تھا۔ یہ ونڈوز کے خلاف بھی کافی موثر ہے۔ یہ وہ حملہ ہے جو سیکنڈ-ٹی اور ٹی 2 ڈیمو میں استعمال ہوا تھا۔ یہ توقع کی جاتی ہے کہ اس کے اسی طرح کے اثرات ہوں گے جو سی پی این آئی دستاویز میں سیکشن 5.2 5 ویں پیراگراف اور سیکشن 5.3 میں بیان کیے گئے ہیں۔ اس کے خلاف اچھا: اسٹیکس جو اس محرک کے جواب میں دانا میموری کے متعدد صفحات مختص کرتے ہیں مثال کے کمانڈز: فینٹائپ-آئی ایتھ 0 192.168.1.128/25-وی وی وی ساکسٹریس-اے-سی-1-ڈی 192.168.1.100-ایم-1-ایم-پی 22,80-آر 300-ایس 192.168.1.128/25-وی وی آر ای کیو ایف آئی این پوز اسٹریس سننے والے ساکٹ سے کنکشن بنائیں۔ پی ایس ایچ ایک ایپلیکیشن پے لوڈ (یعنی۔ 'GET/HTTP/1.0')۔ کنکشن تلاش کریں اور اسے 0 ونڈو کریں۔ اس حملے کے بہت مختلف نتائج ہوں گے جو اس اسٹیک/ایپلی کیشن پر منحصر ہے جسے آپ نشانہ بنا رہے ہیں۔ سسکو 1700 (آئی او ایس) ویب سرور کے خلاف اس کا استعمال کرتے ہوئے، یہ مشاہدہ کیا گیا کہ ساکٹ FIN _ WAT _ 1 میں غیر معینہ مدت کے لیے چھوڑے گئے تھے۔ اس طرح کے کافی ساکٹوں کے بعد، روٹر ٹی سی پی کو صحیح طریقے سے بات چیت نہیں کر سکتا تھا۔ ساکسٹریس سورس میں payload.c فائل کو دیکھیں۔ ایچ پورٹ سوئچ کا بیان تلاش کریں۔ اس حصے میں آپ مخصوص بندرگاہوں پر بھیجے جانے والے پے لوڈ کی وضاحت کر سکتے ہیں۔ یہ ضروری ہے کہ آپ ایک ایسا پے لوڈ بھیجیں جو ایک عام کلائنٹ کی طرح نظر آئے جس ایپلی کیشن کے ساتھ آپ بات چیت کر رہے ہیں۔ سسکو 1700 کے خلاف، اس حملے کا استعمال کرتے ہوئے بہت سست رفتار سے حملہ کرنا ضروری تھا۔ مثال کمانڈز: فینٹائپ-آئی ایتھ 0 192.168.1.128/25-vvv ساکسٹریس-A-c-1-d 192.168.1.100-m-1-MS-p80-r10-s 192.168.1.128/25-vv رینو پریشر اسٹریس کو چالو کریں سننے والے ساکٹ سے کنکشن بنائیں۔ پی ایس ایچ ایک ایپلیکیشن پے لوڈ (یعنی۔ 'GET/HTTP/1.0')۔ ٹرپل ڈپلیکیٹ ACK۔ ساکسٹریس سورس میں payload.c فائل کو دیکھیں۔ ایچ پورٹ سوئچ کا بیان تلاش کریں۔ اس حصے میں آپ مخصوص بندرگاہوں پر بھیجے جانے والے پے لوڈ کی وضاحت کر سکتے ہیں۔ یہ ضروری ہے کہ آپ ایک ایسا پے لوڈ بھیجیں جو ایک عام کلائنٹ کی طرح نظر آئے جس ایپلی کیشن کے ساتھ آپ بات چیت کر رہے ہیں۔ اس کے خلاف اچھا: رینو یا اسی طرح کے شیڈولر کی فعالیت کو چالو کرنے کے اس طریقہ کی حمایت کرنے والے اسٹیکس مثال کے کمانڈز: فینٹائپ-آئی ایتھ 0 192.168.1.128/25-وی وی وی ساکسٹریس-اے-سی-1-ڈی 192.168.1.100-ایم-1-ایم آر-پی 22,80-آر 300-ایس 192.168.1.128/25-وی وی دیگر آئیڈیاز فائن _ ڈبلیو اے آئی ٹی _ 2 اسٹریس سننے والے ساکٹ سے کنکشن بنائیں۔ پی ایس ایچ ایک ایپلیکیشن پے لوڈ ہے جو ممکنہ طور پر دوسری طرف کی ایپلیکیشن کو ساکٹ بند کرنے کا سبب بنے گا (ٹارگیٹ ایک ایف آئی این بھیجتا ہے)۔ فائن حاصل کریں۔ اس کے خلاف اچھا: ایسے اسٹیکس جن کا FIN _ WAT _ 2 ٹائم آؤٹ نہیں ہے۔ اگر حملے مستقل طور پر رکے ہوئے کنکشن شروع کرنے میں کامیاب ہوتے ہیں، تو سرور کے کنکشن ٹیبل کو جلدی سے پر کیا جا سکتا ہے، جس سے مؤثر طریقے سے کسی مخصوص سروس کے لیے سروس کی شرط سے انکار پیدا ہوتا ہے۔ بہت سے معاملات میں ہم نے یہ بھی دیکھا ہے کہ حملے بڑی مقدار میں ایونٹ کی قطاریں اور سسٹم میموری استعمال کرتے ہیں، جو حملوں کے اثرات کو تیز کرتے ہیں۔ جس کا نتیجہ ایسے نظام رہے ہیں جن میں اب ٹی سی پی مواصلات، منجمد نظام، اور سسٹم ریبوٹ کے لیے ایونٹ ٹائمر نہیں ہیں۔ حملوں میں اہم بینڈوتھ کی ضرورت نہیں ہوتی ہے۔ اگرچہ کسی ایک سروس کو سیکنڈوں میں دستیاب نہ ہونا معمولی بات ہے، لیکن پورے سسٹم کو غیر فعال ہونے میں کئی منٹ لگ سکتے ہیں، اور بعض صورتوں میں گھنٹوں لگ سکتے ہیں۔ عام اصول کے طور پر، کسی سسٹم کے پاس جتنی زیادہ خدمات ہوں گی، اتنی ہی تیزی سے وہ تباہ کن (ٹوٹے ہوئے ٹی سی پی، سسٹم لاک، ریبوٹ وغیرہ) کا شکار ہو جائے گا۔ حملوں کے اثرات۔ متبادل طور پر، بڑی تعداد میں آئی پی پتے سے حملہ کرکے حملے کو بڑھایا جا سکتا ہے۔ ہم عام طور پر اپنی لیبارٹریوں میں اے/29 سے اے/25 تک حملہ کرتے ہیں۔ اے/32 سے حملہ کرنا عام طور پر نظام میں وسیع غلطیوں کا سبب بننے میں کم موثر ہوتا ہے۔ استحصال کی انتباہات حملے کے لیے متاثرین کے کنکشن ٹیبلز کو مؤثر طریقے سے بھرنے کے لیے ایک کامیاب ٹی سی پی تھری وے ہینڈ شیک کی ضرورت ہوتی ہے۔ یہ حملے کی تاثیر کو محدود کرتا ہے کیونکہ حملہ آور سراغ لگانے سے بچنے کے لیے کلائنٹ کے آئی پی ایڈریس کو دھوکہ نہیں دے سکتا۔ ساکسٹریس طرز کے استحصال کے لیے حملہ آور مشین پر خام ساکٹ تک رسائی کی بھی ضرورت ہوتی ہے کیونکہ پیکٹوں کو او ایس کے کنیکٹ () اے پی آئی کے بجائے یوزر اسپیس میں ہینڈل کیا جانا چاہیے۔ خام ساکٹ ونڈوز ایکس پی ایس پی 2 اور اس سے اوپر پر غیر فعال ہیں، لیکن ڈیوائس ڈرائیورز اس سہولت کو ونڈوز میں واپس لانے کے لیے آسانی سے دستیاب ہیں۔ استحصال کو دوسرے پلیٹ فارمز پر خام ساکٹ جیسے * نکس کے ساتھ انجام دیا جا سکتا ہے اور اس کے لیے جڑ (سپر یوزر) کے مراعات کی ضرورت ہوتی ہے۔ تخفیف چونکہ حملہ آور کو ہدف کو متاثر کرنے کے لیے ٹی سی پی ساکٹ قائم کرنے کے قابل ہونا چاہیے، اس لیے اہم نظاموں اور راؤٹرز پر ٹی سی پی خدمات تک وائٹ لسٹنگ رسائی تخفیف کے لیے فی الحال سب سے مؤثر ذریعہ ہے۔ آئی پی ایس ای سی کا استعمال بھی ایک مؤثر تخفیف ہے۔ سسکو رسپانس کے مطابق تخفیف کا موجودہ مشورہ صرف قابل اعتماد ذرائع کو ٹی سی پی پر مبنی خدمات تک رسائی کی اجازت دینا ہے۔ یہ تخفیف خاص طور پر اہم بنیادی ڈھانچے کے آلات کے لیے اہم ہے۔ ریڈ ہیٹ نے کہا ہے کہ "اپ اسٹریم کے اپ ڈیٹس جاری نہ کرنے کے فیصلے کی وجہ سے، ریڈ ہیٹ ان مسائل کو حل کرنے کے لیے اپ ڈیٹس جاری کرنے کا ارادہ نہیں رکھتی ؛ تاہم، ان حملوں کے اثرات کو کم کیا جا سکتا ہے"۔ لینکس پر کنکشن ٹریکنگ اور شرح کی حد کے ساتھ آئی پی ٹی ایبلز کا استعمال استحصال کے اثرات کو نمایاں طور پر محدود کر سکتا ہے۔ حوالہ جات بیرونی روابط ماخذ کوڈ-سلیک ویئر پر کلین مرتب کرتا ہے 14 پبلک ڈومین سی کا نفاذ (تھرڈ پارٹی) آؤٹ پوسٹ 24 سیکیورٹی میں ترمیم اب پوڈ کاسٹ سیکیورٹی اب #164 نوٹ دکھائیں ٹرانسکرپٹ یونیکورن اسکین سلیش ڈاٹ نیوز آرٹیکل ٹی سی پی انٹرنیٹ پروٹوکول پر مبنی نیٹ ورک سافٹ ویئر کے خلاف حملے