[论文解读] TCP SYN Cookie Vulnerability

Dakshil Shah, Varshali Kumar|arXiv (Cornell University)|Jul 20, 2018

IPv6, Mobility, Handover, Networks, Security参考文献 1被引用 3

一句话总结

本文表明，TCP SYN Cookie 机制原本旨在通过消除连接状态跟踪来缓解拒绝服务（DoS）攻击，但其引入了一个关键漏洞：攻击者仅需猜测初始序列号（ISN）的8种有效组合，即可伪造合法连接。作者通过精心构造的ACK数据包成功利用该漏洞，实现连接欺骗并植入虚假日志，证明该攻击在受控环境中可行，且在真实环境中可能导致会话伪造或审计日志篡改。

ABSTRACT

TCP SYN Cookies were implemented to mitigate against DoS attacks. It ensured that the server did not have to store any information for half-open connections. A SYN cookie contains all information required by the server to know the request is valid. However, the usage of these cookies introduces a vulnerability that allows an attacker to guess the initial sequence number and use that to spoof a connection or plant false logs.

研究动机与目标

• 调查TCP SYN Cookie机制引入的安全风险，该机制本意是通过消除连接状态跟踪来防止DoS攻击。
• 证明SYN Cookie中的ISN生成机制允许攻击者仅使用ACK数据包即能伪造有效连接。
• 评估在真实或仿真网络环境中伪造连接及植入虚假访问日志的可行性。
• 强调该漏洞对审计日志完整性的影响，特别是在需要日志具备法律可采信性的环境中。
• 倡导公开披露该漏洞，因其可能被滥用于栽赃或规避追踪。

提出的方法

• 攻击通过SYN洪水攻击使服务器因积压队列溢出而进入SYN Cookie模式。
• 攻击者设备配置为伪造IP地址，并丢弃接收到的RST响应，以实现静默连接伪造。
• 使用猜测的ISN构造ACK数据包，由于定时器和MSS值的8种有效组合，仅需猜测24个最低有效位。
• 采用非线性递增策略高效覆盖ISN空间，基于服务器响应时间和系统时间同步进行优化。
• 通过检查Apache服务器日志中是否记录了完成的连接来验证攻击成功，因tcpdump抓包受缓冲区溢出影响不可靠。
• 在虚拟机和真实局域网环境中均进行实验，以评估不同网络条件下攻击的可行性。

实验结果

研究问题

• RQ1 当使用SYN Cookie时，攻击者是否仅通过ACK数据包即可伪造与服务器的TCP连接？
• RQ2 SYN Cookie生成机制中存在多少种有效的ISN组合？这些组合是否可被高效猜测以实现连接伪造？
• RQ3 攻击时机与服务器响应时间对ISN猜测成功率的影响有多大？
• RQ4 该漏洞对审计日志完整性和安全调查中取证证据的实际影响是什么？
• RQ5 该攻击在真实网络中是否可行？在公共或无线网络环境中存在哪些限制？

主要发现

• 攻击在虚拟机和真实局域网环境中均成功伪造了连接，证明在受控条件下连接欺骗在技术上是可行的。
• ISN有效组合数已从早期版本的32个减少至8个，但由于SYN Cookie结构具有可预测性，仍允许高效猜测。
• 基于服务器响应时间和系统时间的最优攻击时机可将成功时间缩短至26分钟以内，部分尝试在启动后1分钟内即成功。
• 在公共无线网络中攻击失败，原因包括网络不稳定和拥塞，导致系统崩溃并中断数据包传输。
• 服务器日志仅在伪造的ACK数据包包含有效ISN时才记录了成功连接，证实了攻击成功创建了虚假访问记录。
• 该漏洞严重威胁审计日志完整性，因为伪造的访问日志可能被用于栽赃无辜用户或掩盖恶意行为。