Иванов Разрушаюсчие программные воздействия 2011

можно достаточно легко осуществить скрытое взаимодействие, кодируя в поле данных необходимую информацию.

Другим интересным способом организации скрытой передачи данных может являться использование реакции транзитного узла на пакет с истекшим значением TTL. Так, любой IP-пакет, значение TTL которого уменьшилось в процессе пересылки до нуля, будет частично (64 байта) отправлен адресату в виде специального ICMP-сообщения. Используя подмену IP-адреса (IPspoofing), достаточно легко организовать скрытую передачу данных. В силу того, что обработка IP-пакетов происходит только на межсетевом уровне модели TCP/IP, семантика передаваемых в IP данных учитываться не будет. Это дает возможность использовать эти 64 байта в своих целях.

Достаточно интересным является метод организации скрытого канала с применением ICMP и UDP. Спецификации ICMP содержат описание различных требований поведения реализации ICMP протокола в отношении некоторых событий. Одним из таких событий является событие «ICMP port unreachable», возникающее в случае попытки передачи данных закрытому UDP порту. Результатом обработки такого события является ICMP-пакет, направленный вызвавшему событие адресату и содержащий в теле данных UDPзаголовок вызвавшего ошибку пакета и 48 байт тела пакета. Благодаря этой особенности, а также возможности использования подмены IP-адреса, можно реализовать скрытую передачу данных, которая будет выглядеть следующим образом:

отправитель: отправка специального пакета с поддельным адресом отправителя (т.е. получателя) на заведомо закрытый порт промежуточного хоста;

промежуточный хост: реакция на событие – отправка ICMP-пакета, содержащего в себе 48 байт тела исходного UDP-пакета, получателю;

получатель: обработка входящего ICMP-пакета, извлечение данных.

181

TCP протокол

TCP (Transmission Control Protocol, RFC793) — это протокол обеспечения надежности прямых соединений, созданный для многоуровневой иерархии протоколов, поддерживающих межсетевые приложения. Протокол TCP обеспечивает надежность коммуникаций между парами процессов на хостах, включенных

вразличные компьютерные коммуникационные сети, которые объединены в единую систему. Данный протокол представляет собой специальный транспортный механизм с предварительной установкой соединения, обеспечивающий безошибочность передаваемых и получаемых данных. В отличие от UDP, TCP гарантирует, что приложение получит данные точно в той последовательности, в какой они были отправлены, и без потерь.

Для прикладного уровня протокол TCP предоставляет полнодуплексный сервис. При этом на обоих концах соединения необходимо отслеживать номер последовательности данных, передаваемых

вкаждом направлении. Этот протокол может быть описан как протокол с изменяющимся окном без селективных или отрицательных подтверждений. В TCP нет селективных подтверждений, потому что номер подтверждения в TCP заголовке означает, что отправитель успешно принял все байты за исключением этого байта.

На рис. 5.6 представлен формат заголовка TCP-пакета. Обычно его размер составляет 20 байт, если не присутствуют опции. Каждый TCP сегмент содержит номера портов источника и назначения, с помощью которых идентифицируются отправляющее и принимающее приложения. Эти два значения вместе с IPадресами источника и назначения в IP-заголовке уникально идентифицируют каждое соединение.

Поля «номер последовательности» и «номер подтвержде-

ния». Простейшим примером организации скрытого канала с помощью TCP является пример использования поля номера последовательности. Известно, что надежное TCP-соединение устанавливается в три этапа (SYN, SYN/ACK, ACK). Так при установлении соединения, совместно с установленным флагом SYN, значение поля «номер последовательности» определяет начальный номер

182

последовательности — ISN. Это дает возможность организовать скрытую передачу 32-битного значения (рис. 5.7).

Более интересный метод предполагает использование того же механизма установления надежного TCP-соединения совместно с одним из фундаментальных недостатков IP-протокола – возможность подмены адреса отправителя (рис. 5.8).

Пусть, например, в ЛВС находится рабочая станция с адресом 1.1.1.1, и эта станция не обладает правом доступа к серверу 3.3.3.3, находящемуся в сети Интернет. Пусть существует некая рабочая станция с адресом 2.2.2.2, находящаяся в демилитаризованной зоне DMZ, доступ которой к серверу не ограничен. Тогда, подменив в SYN(ISN)-пакете адрес отправителя на 3.3.3.3, злоумышленник вызовет ситуацию, при которой ответ SYN/ACK(ISN+1) будет направлен не ему, а указанному при подмене адресату. Таким образом, организована скрытая передача информации.

В [79] предложен способ организации пассивного скрытого канала при помощи модификации полей SYN и ACK заголовка TCPпакета. Данный метод организации пассивного скрытого TCPканала получил название NUSHU. В качестве демонстрации возможности реализации предложенной идеи был разработан специальный модуль ядра Linux, подтверждающий жизнеспособность предложенной идеи. Хотя по своей архитектуре NUSHU является односторонним скрытым каналом, авторы обозначенной работы ставят перед собой задачу разработки способов организации двунаправленного информационного обмена на базе реализованного протокола.

183

IP-адрес отправителя

IP-адрес получателя

Параметры (до 40 байт)

Данные (65535 байт – заголовок)

:::

Рис. 5.4. Структура заголовка IP-пакета

Данные (если есть)

:::

Рис. 5.6. Структура заголовка TCP-пакета

Рис. 5.7. Иллюстрация скрытого взаимодействия с использованием SYN(ISN)

В качестве меры противодействия можно отметить метод обнаружения скрытого канала NUSHU с использованием нейронных сетей, представленный в работе [89].

Поле «флаги». Большие возможности организации скрытой передачи данных дает использование поля флагов. Существуют реализации, использующие ACK-пакеты (например, AckCmd). Флаг указания срочности URG, совместно с полем указателя срочности и полем данных, также применяется для скрытой передачи информации.

Рис. 5.8. Использование SYN(ISN) с подменой адреса

Поле «опции». В работе [47] представлен способ организации скрытого канала с использованием поля «опции» TCP заголовка. Так, разработан специальный протокол, позволяющий добиться надежной передачи данных с использованием опции временной

186

отметки (timestamp). В качестве контейнера информации здесь выступает младший бит значения временной отметки. В общем случае, распределение значений младшего бита представляет собой случайную величину. Это обстоятельство дает возможность использовать младший для передачи «неслучайной» информации.

Вообще, большинство полей TCP-заголовка, как и в случае с IP протоколом, являются потенциально опасными с точки зрения использования их для организации как активных, так и пассивных скрытых каналов. В настоящее время существует множество специальных утилит, использующих их в этих целях (например, NetCat, CryptCat, StegTunnel, TunnelShell и др.).

5.7.2. Скрытые каналы в протоколах уровня приложений

Как было отмечено, на вершине стека протоколов семейства TCP/IP находится уровень приложений. Этот уровень включает в себя все процессы, использующие протоколы транспортного уровня для доставки данных. Существует огромное множество протоколов уровня приложений. Некоторые из них «отмирают», и им на смену приходят вновь разработанные. Протоколы уровня приложений в основном предназначены для обеспечения конкретного сетевого сервиса для приложений пользователя.

Для примера можно привести наиболее используемые на сегодняшний день протоколы уровня приложений:

TELNET/SSH — протокол удаленного доступа к консоли/защищенный сетевой терминал;

FTP (File Transfer Protocol) — протокол передачи файлов,

используется при работе с файловыми архивами;

SMTP (Simple Mail Transfer Protocol) — простой прото-

кол передачи электронной почты, используется для передачи почты между почтовыми серверами в Интернет;

POP3 (Post Office Protocol) — протокол почтового офиса

(3-й версии), используется для удаленного доступа к почтовым ящикам на сервере;

HTTP (Hyper Text Transfer Protocol) — протокол переда-

чи гипертекста, используется для наиболее популярного сетевого сервиса WWW.

187

Приведенные выше протоколы широко используются клиентскими приложениями и хорошо известны пользователям. С другой стороны, есть протоколы, которые используются для общесистемных нужд:

1)DNS (Domain Name Service) — доменная служба имен,

используется всеми приложениями для преобразования символьных имен хостов в IP-адрес и обратно;

2)NFS (Network File System) — сетевая файловая система,

используется для разделения файловых ресурсов в сети между UNIX станциями.

Такие протоколы как TELNET, FTP, HTTP используют в качестве транспорта TCP. Протоколы DNS и NFS – UDP. Существуют и другие протоколы, многие из которых работают непосредственно с межсетевым уровнем IP.

Существенным отличием большинства протоколов уровня приложений от протоколов предшествующих уровней является наличие нечетко определенной семантики. Это означает, что существует возможность одинаковой трактовки различающихся между собой данных. Это в свою очередь открывает широкие возможности по использованию таких протоколов для организации скрытой передачи данных.

Так в спецификации на протокол HTTP/1.0 структура сообщения HTTP-запроса описана следующим образом:

; Секция 5.1

*(General-Header

; Секция 4.3

|Request-Header

; Секция 5.2

|Entity-Header)

; Секция 7.1

CRLF [Entity-Body]

; Секция 7.2

188

Как видно, HTTP-запрос может содержать в себе несколько заголовков. Обычно в качестве примеров указывают такие заго-

ловки как «User-Agent:», «Referer:», «Cookie:». Однако ничто не запрещает добавить собственный заголовок, например «CovertData: HELLO».

Поле «Entity-Body» обычно содержится только в POST-методах, так как теряет смысл для других типов сообщений. Спецификация RFC1945 не исключает возможности использования этого поля в остальных HTTP-запросах (POST, GET и т.д.), что также может быть использовано для организации скрытой передачи данных.

Спецификации на протокол HTTP не вводят никаких требований, касающихся стандартизации написания отдельных элементов. Поэтому, например, допустимо указать «COOKIE», или даже «CoOkIe», вместо привычного «Cookie». Также не регламентируется количество специальных пробельных символов. Все это дает потенциальную возможность использования этого протокола в целях сокрытия передачи данных.

В настоящее время существует большое количество специальных утилит, так или иначе использующих указанную «либеральность» протокола HTTP. Среди них можно отметить

Hcovert, HTTPTunnel.

Схожий метод организации скрытых каналов может быть применен и в случае протокола DNS. В основе работы этого протокола лежит схожая с HTTP схема – «запрос-ответ». Как сообщение-запрос, так и сообщение-ответ содержат в себе определенный заголовок, формат которого описан в RFC1035. Не вдаваясь в подробности описания, можно отметить, что и при использовании протокола DNS существует реальная угроза организации скрытых каналов.

Другой метод организации скрытого взаимодействия предполагает использование DNS-ответов от сервера. Так, для передачи данных от некоторой машины, находящейся в защищенном сегменте ЛВС, к серверу во внешней сети можно, используя систему DNS, сформировать запрос, содержащий в себе закодирован-

189

ное сообщение (например, используя кодирование Base32). Тогда сценарий скрытой передачи данных будет таким:

data := Base32(input);

DNS-запрос: [data].remotename.domain.

При передаче такого запроса локальному DNS-серверу последний сформирует запрос к внешнему DNS-серверу домена domain (который, конечно, находится под контролем злоумышленника). Вот так относительно простым способом может быть организована несанкционированная передача данных во внешнюю незащищенную сеть. Ответ DNS-сервера также может содержать скрытую информацию и способствовать ее передаче во внутреннюю сеть.

Среди существующих средств организации скрытой передачи данных с использованием DNS следует отметить DNS2TCP, DNShell, NSTX, OzyManDns.

Стоит ли говорить о какой-либо защищенности от скрытых каналов разного рода почтовых протоколов, протоколов передачи сообщений и т.д.?

Выводы

Практически общепризнанным фактом является то, что важнейшей характеристикой любой компьютерной системы является безопасность циркулирующей в ней информации, однако современные попытки обеспечить ее вряд ли закончатся успешно. Существует неверное предположение, что адекватная степень защиты может быть достигнута на прикладном уровне (с помощью приложений) совместно с механизмами защиты, существующими в основных современных операционных системах.

Существует множество видов атак на программные системы, при этом именно атаки, использующие скрытые каналы приема или передачи информации, по праву считаются наиболее опасными. Возникнув почти 30 лет назад, тема скрытых каналов со временем не только не утратила актуальность, но оформилась в отдельную

190