[论文解读] Off-Path Attacking the Web

Yossi Gilad, Amir Herzberg|arXiv (Cornell University)|Apr 30, 2012

Web Application Security Vulnerabilities参考文献 25被引用 26

一句话总结

本文表明，通过利用Windows及其他系统中可预测的IP-ID值，中间人攻击者可实施实际的TCP注入攻击，从而在不利用浏览器或服务器漏洞的情况下，实现跨站脚本（XSS）、跨站请求伪造（CSRF）和拒绝服务（DoS）攻击。其主要贡献在于提出一种侧信道技术，利用全局递增的IP-ID来探测序列号，并向已建立的连接中注入恶意数据包，从而绕过标准安全防护机制。

ABSTRACT

We show how an off-path (spoofing-only) attacker can perform cross-site scripting (XSS), cross-site request forgery (CSRF) and site spoofing/defacement attacks, without requiring vulnerabilities in either web-browser or server and circumventing known defenses. Attacker can also launch devastating denial of service (DoS) attacks, even when the connection between the client and the server is secured with SSL/TLS. The attacks are practical and require a puppet (malicious script in browser sandbox) running on a the victim client machine, and attacker capable of IP-spoofing on the Internet. Our attacks use a technique allowing an off-path attacker to learn the sequence numbers of both client and server in a TCP connection. The technique exploits the fact that many computers, in particular those running Windows, use a global IP-ID counter, which provides a side channel allowing efficient exposure of the connection sequence numbers. We present results of experiments evaluating the learning technique and the attacks that exploit it. Finally, we present practical defenses that can be deployed at the firewall level; no changes to existing TCP/IP stacks are required.

研究动机与目标

• 调查仅通过IP欺骗的中间人攻击者是否能够绕过TCP安全机制。
• 证明在常见操作系统（如Windows）中，可预测的IP-ID值可被作为侧信道，用于推断TCP序列号。
• 表明此类序列号暴露可导致在安全（SSL/TLS保护）连接上实施实际的、现实世界中的攻击，如XSS、CSRF和DoS。
• 提出无需修改TCP/IP协议栈或终端主机的防火墙级防御方案。
• 主张在完整实际利用手段被证实之前，即应主动披露并缓解此类漏洞。

提出的方法

• 攻击者使用伪造IP地址和不同IP-ID的特制探测数据包，监控客户端的响应。
• 通过观察客户端响应行为的变化（如RST或ACK数据包），推断目标TCP连接的当前序列号。
• 该方法利用Windows及其他一些系统使用全局递增IP-ID计数器的特性，使其成为序列号暴露的侧信道。
• 通过分析探测数据包响应的时间和模式，攻击者重建目标连接的序列号。
• 该技术被用于向TCP流中注入恶意数据，从而通过伪造合法TCP段实现XSS和CSRF等攻击。
• 提出防火墙级防御方案，包括使用密钥化的伪随机函数对每个连接的IP-ID进行随机化，以防止关联。

实验结果

研究问题

• RQ1 仅具备IP欺骗能力的中间人攻击者是否能够实施实际的TCP注入攻击？
• RQ2 在Windows等操作系统中，可预测的IP-ID值在多大程度上可被作为侧信道用于推断TCP序列号？
• RQ3 此类序列号暴露是否会导致对关键Web安全机制（如同源策略）的成功利用？
• RQ4 现有防护机制（如SSL/TLS）是否足以防范此类底层攻击？
• RQ5 能否在不修改TCP/IP协议栈的前提下，在防火墙级别实现有效且可部署的防御？

主要发现

• 作者成功演示了，利用具有全局递增IP-ID的系统（如Windows）的IP-ID侧信道，中间人攻击者可推断出TCP序列号。
• 该技术可实现对已建立TCP连接的实际恶意数据注入，即使在SSL/TLS保护下也有效，从而导致有效的DoS和应用层攻击。
• 实验结果证实，该攻击在典型网络条件下具有可行性且效果显著，尤其在低延迟环境下成功率很高。
• 该攻击可绕过同源策略，实现跨站脚本和CSRF攻击，且无需客户端漏洞。
• 所提出的基于防火墙的防御方案，采用每个连接的、密钥化的伪随机IP-ID，可有效阻断侧信道，且无需修改终端主机或TCP协议栈。
• 本研究表明，即使低层协议（如TCP）中的理论性漏洞也应主动应对，因为此类攻击在实践中已具备可行性。