隐蔽通讯机制地研究.pdfVIP

全国网络与信息安套技术研讨会’彩w 钎 隐蔽通讯机制的研究 罗军宏，谢余强，舒辉，汪淼，王中尚，张有为 (信息工程学院河南郑州450002) 摘要：随着网络技术的飞速发展，网络通讯的发展也日新月异，网络传输更趋向于隐蔽。隐蔽性在某种程度上包含着信 ●__。。’’一_———一～ 息传输的隐藏。如果将隐蔽通讯应用于病毒或者蠕虫的研究，那么这种隐蔽性又指的是病毒、蠕虫的传播通讯的隐藏。本 ’。‘。‘‘’—1。… 文分析了几种不同的数据传输形式，简单阐述了他们的通讯隐蔽性。主要涉及到基于ICMP的原始套接字的通讯机制和基于 嗅探原理的原始套接字的通讯机制以及复用机制，同时提出一种自定义的通讯协议技术。这些通讯技术隐蔽性的实现，都 是基于利用缓冲区溢出漏洞，在目标主机上植入木马，最终实现双方通讯的隐蔽。 关键词：原始套接字嗅探端口复用 1引言 网络技术的速猛发展，使得网络通讯的发展也日新月异，设计并实现一种不易被宿主发现同时又具有一 定可靠性的通讯方案是网络攻击能够正常工作的关键，也是隐蔽通讯的关键。本文针对目前流行的通讯隐藏 技术，简要的分析其中的几种：基于协议分析的原始套接字通讯技术和复用技术。其中：基于协议分析的原 始套接字通讯技术包括ICMP的原始套接字通讯技术，基于嗅探原理的原始套接字通讯技术和自定义通讯协议 技术，而复用技术涉及到端口复用技术和通讯通路复用技术。 2 ICMP的通讯机制 Control ICMP全称是InternetMessage 的穿透。因此，对于防火墙来说，ICMP报文是被列为危险的一类，一般的防火墙都是过滤了来自外部主机的 回送请求(Echo 能够探测外部主机的当前状态，防火墙大都不会过滤回送应答(EchoReply)数据包，这是因为一旦不允许 ICMP ECHOREPLY报文通过就意味着主机没有办法对外进行Ping的操作。 接处理而不是通过端口，这就提供了一种摆脱端口的绝好办法。在实际应用中，ICMP木马的出现就是利用Ping 数据包的原理，而建立了一种隐蔽通讯的网络木马传输。我们可以通过缓冲区溢出攻击，成功的将ICMP木马 植入目标机器(被攻击方)，同时激活木马。而此木马通过修改Ic肝头的构造，加入自己的控制字段，将自 据包(ICMP—ECHOREPLY)，并发送给目标机器。而目标系统将ICMP YLPEROHCE_，程进马木给交权理处、听监的 并从报文中解码出命令和数据，执行操作。在此过程中，数据包的发送与接收均能够成功的穿透防火墙，实 现了通讯过程的隐藏。 3基于嗅探原理的原始套接宇的通讯方式 基于嗅探原理的通讯是在网络协议基础上，在通讯双方设立嗅探器，接收网络传输的各种数据包，并使 用特定标记位来判别数据包的类型。比如，可以通过验证SEQ值，来判定是否是符合要求的数据包。在这种 讯过程如图1所示。 客户端的发包器根据实现约定好的数据包构造格式，构造相应的数据包(数据包中包括指定的命令操作 码以及服务器的相关参数)，最后基于原始套接字的通讯过程，发送具有指定特征的数据包(过程【1】)。与 此同时，当服务器捕获到数据包时，根据指定特征位进行数据包的判定，如果获得的是指定格式的数据报， 全国舟络与信息安全技术研讨会’彩卯 则该服务器变成激活状态，分析该数据包并解析出命令与数据，进行后续操作，比如回传数据等等(过程【2】)。 圈1基于嗅探原理的通讯 这种方式是基于非连接状态，使用原始包进行通讯，可以根据不同的网络协议，采用相应的数据包 形式构造数据包，最终实现无连接的反向通讯，突破一些防火墙的监视。 4自定义协议的通讯方式 符合自己要求的数据包，即是我们提出的自定义协议的通讯技术。 自定义协议的通讯技术和利用ICMP进行数据传输有许多相似的地方，最主要的相同点是利用它们进行数 据传输时都