Netfilter的expect連接的原理和利用

ip_conntrack有一個特性，那就是可以跟蹤expect連接，所謂的expect連接，理解起來很簡單，那就是“在一個連接中生成的另一個連接”，那麼如何來識別一個連接要生成另一個連接呢？以FTP為例，FTP服務器會將文件傳輸所用的地址和端口信息作為數據載荷傳輸到對端的，Linux網關捕獲這個數據包，將其解開然後根據FTP的協議規范獲取地址和端口信息，隨後就生成了一個expect連接。也就說，expect連接的參數是從數據載荷中得到的。

既然可以從數據載荷中得到一個“期望的連接”，那麼隨後的該期望的連接真正到來的時候一般是被允許通過的，這在防火牆上就是所謂的動態規則，在這裡，一個約定就是防火牆本身對應用層協議是完全信任的，比方說FTP載荷中附帶了生成expect連接的地址和端口信息，防火牆認為此信息是可信的，真的就是服務器或者客戶端自己設置上去的。然而現實並不完美，這些信息可能是被攻擊者硬添加進去的，如此一來，就有了繞過防火牆的可能，實現方式多種多樣，最常見的就是包重放，攻擊者截獲一個包，然後在其載荷中按照一定的協議規范添加地址和端口信息，然後將此包重放在網絡，當其經過防火牆的時候，防火牆就會生成一條動態的針對expect連接的允許規則，這樣攻擊者便可以繞過防火牆去訪問本不該被訪問的地址和端口了。

原理很簡單，作為一個例子，我編寫了一個內核模塊，注冊了一個捕獲expect連接的helper(具體ip_conntrack的helper機制本文不再贅述，本質上就是一堆和既有顯式ip_conntrack相關聯的鏈表)，模塊代碼如下：

1. #include <linux/module.h>
2. #include <linux/netfilter.h>
3. #include <linux/ip.h>
4. #include <net/tcp.h>
6. #include <net/netfilter/nf_conntrack.h>
7. #include <net/netfilter/nf_conntrack_expect.h>
8. #include <net/netfilter/nf_conntrack_helper.h>
10. MODULE_LICENSE("GPL");
11. MODULE_AUTHOR("Marywangran <[email protected]>");
12. MODULE_DESCRIPTION("expect helper test");
14. struct aa_proto {
15. int type;
16. int port;
17. union nf_inet_addr addr;
18. };
20. static int aa_help(struct sk_buff *skb,
21. unsigned int protoff,
22. struct nf_conn *ct,
23. enum ip_conntrack_info ctinfo)
24. {
25. unsigned int dataoff, datalen;
26. const struct tcphdr *th;
27. struct tcphdr _tcph;
28. int ret;
29. char *dt_ptr;
30. struct nf_conntrack_expect *exp;
31. int dir = CTINFO2DIR(ctinfo);
32. struct aa_proto prot = {0};
33. uint16_t port = ntohs((uint16_t)prot.port);
34. char aa_buffer[512];
36. if (ctinfo != IP_CT_ESTABLISHED
37. && ctinfo != IP_CT_ESTABLISHED+IP_CT_IS_REPLY) {
38. return NF_ACCEPT;
39. }
40. //開始解析數據包的內容
41. th = skb_header_pointer(skb, protoff, sizeof(_tcph), &_tcph);
42. dataoff = protoff + th->doff * 4;
43. datalen = skb->len - dataoff;
44. dt_ptr = skb_header_pointer(skb, dataoff, datalen, aa_buffer);
45. //將協議頭復制下來
46. memcpy(&prot, dt_ptr, sizeof(struct aa_proto));
47. if (prot.type != 12) { //如果不是預定義的12類型，www.linuxidc.com說明不需要expect連接
48. ret = NF_ACCEPT;
49. goto out;
50. }
52. exp = nf_ct_expect_alloc(ct);
53. port = ntohs((uint16_t)prot.port);
54. nf_ct_expect_init(exp, NF_CT_EXPECT_CLASS_DEFAULT, AF_INET,
55. &ct->tuplehash[dir].tuple.src.u3, &prot.addr,
56. IPPROTO_TCP, NULL, &port);
57. if (nf_ct_expect_related(exp) != 0)
58. ret = NF_DROP;
59. else
60. ret = NF_ACCEPT;
61. out:
62. return ret;
63. }
64. static const struct nf_conntrack_expect_policy aa_policy = {
65. .max_expected = 10,
66. .timeout = 50 * 60,
67. };
69. static struct nf_conntrack_helper aa = {
70. .name = "aa",
71. .me = THIS_MODULE,
72. .tuple.src.l3num = AF_INET,
73. //作用於TCP的12345端口
74. .tuple.src.u.tcp.port = cpu_to_be16(12345),
75. .tuple.dst.protonum = IPPROTO_TCP,
76. .help = aa_help,
77. .expect_policy = &aa_policy,
78. };
80. static void nf_conntrack_aa_fini(void)
81. {
82. nf_conntrack_helper_unregister(&aa);
83. }
85. static int __init nf_conntrack_aa_init(void)
86. {
87. int ret = nf_conntrack_helper_register(&aa);
88. if (ret) {
89. nf_conntrack_aa_fini();
90. }
91. return ret;
92. }
94. module_init(nf_conntrack_aa_init);
95. module_exit(nf_conntrack_aa_fini);

1. struct aa_proto {
2. int type; //類型，如果是12則說明緊接著的端口，地址信息有效，需要初始化一個expect連接
3. int port; //若有效，表示expect連接的目的端口
4. union nf_inet_addr addr; //若有效，表示expect連接的目標地址
5. };