Инструментальные средства проверки TCP/IP-стека

Icmpsic

Большинство сетей блокируют входящие ICMP-сообщения в своих сетях. Используйте инструмент icmpsic, чтобы посмотреть, как ваше устройство защиты обрабатывает ICMP-трафик, включая трафик, который не попадает в категорию Ping. Нормальный ICMP-трафик обычно состоит из парных ICMP-запросов ( echo request ) (хост задает вопрос: "Есть ли там кто-нибудь?") и ICMP-ответов ( echo reply ) (ответ хоста: "Мы и они"). Существуют другие типы ICMP-сообщений, которые охватывают управление доступом и метками времени ( timestamp ). Большую часть времени весь ICMP-трафик, направленный из интернета в сеть, блокирован. Во внутренней сети утилита ping обычно может искать свободно, так почему бы не исследовать, как устройства обрабатывают чрезмерный ICMP-трафик?

Использование:

icmpsic [-v] [-D]-s <ip отправителя> 
  [, порт]-d <ip получателя> [,порт]
[-r начальное случайное число] 
   [-m <максимальная скорость генерации (КБ/с)>]
[-p <число генерируемых пакетов>] [-k <пропускаемые пакеты>] 
  [-x <посылать пакет X раз>]
Процентные опции:   [-F фрагментирование] [-V <Плохая версия IP>] 
  [-I <Опции IP>]
                    [-i <Плохая контрольная сумма ICMP>]

Хотя использование утилиты подразумевает, что вы можете указать порты с помощью аргументов -s и -d, установка номера порта заставляет утилиту icmpsic вместо этого использовать широковещательный (broadcast) адрес. Номера портов не являются частью ICMP-протокола. На уровне IP вы все еще можете генерировать фрагментированные пакеты ( -F ), пакеты с плохими версиями IP ( -V ) и пакеты с плохими опциями IP ( -I ). ICMP является подмножеством протокола IP, поэтому эти опции все еще доступны.

Единственная опция, специфическая для ICMP, позволяет посылать неверную контрольную сумму ICMP-сообщения, которая должна делать полученный пакет недействительным. Во всем остальном, утилита ).

Esic

Буква e в названии esic означает Ethernet-сеть. Этот инструмент передает пакеты со случайными номерами, другими словами, пакеты, основанные не на TCP/IP-протоколе. Это единственный инструмент, который работает ниже уровня IP, поэтому он не может обеспечить генерацию такого же количества недопустимых пакетов.

Использование:

esic -i interface [-s <MAC-адрес отправителя>] 
 [-d <MAC-адрес получателя>]
  [-p <протокол #> или "rand">] [-r <начальное случайное число>]
  [-c <# число посылаемых пакетов>] [-l <максимальная длина пакета>]
  [-m <# число пакетов между распечаткой>]

Использование этого инструмента ограничено, главным образом, тестированием брандмауэров или причинением разрушительного ущерба коммутаторам. Обратите внимание, что заданный по умолчанию MAC-адрес получателя - широковещательный. Это означает, что любой пакет, который вы создаете без использования опции -d, будет передаваться на каждый интерфейс хаба или коммутатора. Это могло бы создавать наплыв пакетов, приводящий к атаке, вызывающей отказ в обслуживании, или к такому потоку, который коммутатор не успевает обрабатывать, таким образом, низводя функцию коммутатора до функции хаба и допуская возможность перехвата трафика. Конечно, потребуется большой трафик, чтобы повлиять на 100-мегабайтный коммутатор.

Советы и уловки

Комплект инструментов ISIC предназначен не для эзотерических сетевых тестов. Каждому инструменту соответствуют определенные сценарии, для которых он полезен. В таблице 17.1 перечислен каждый инструмент и некоторые примеры сценариев тестирования.

Брандмауэры

Все эти инструментальные средства помогают удостовериться в правильности набора правил брандмауэра и производительности системы, находящейся под давлением. Например, вы могли бы запустить утилиту ISIC с высоким процентом недопустимых пакетов, чтобы создать повышенную нагрузку.

# isic -s 172.16.19.12 -d 192.168.0.1 -F75 -V75 -I75

Недопустимые пакеты предназначены для того, чтобы создать более тяжелую нагрузку на брандмауэр. Брандмауэры имеют тенденцию работать эффективно, когда трафик нормален. Как системный администратор, вы должны также беспокоиться о том, как брандмауэр действует в неблагоприятных условиях. Число 75 после опций -F, -V и -I означает, что у 75 % от всех пакетов будут ошибки в версии IP, длине заголовка и подсчете фрагментов. Хотя такая команда не является сигнатурой какой-либо специфической атаки, вызывающей отказ в обслуживании, но она может вызвать подобные эффекты.

Можно параллельно запустить tcpsic, чтобы проверить, как брандмауэр обрабатывает трафик к находящемуся за ним Web-хозяйству.

# tcpsic -s 172.16.19.23,3434 -d 192.168.0.37,80

Теоретически, брандмауэр должен просто сбрасывать недопустимый трафик и переходить к следующему пакету; однако вы можете обнаружить случаи, в которых брандмауэр тратит необычно много времени на определенный номер протокола, фрагмент или недопустимую опцию TCP. Конечно, атака на брандмауэр не является единственной возможностью. В таблице 17.2 показаны другие типы тестов, которые вы можете выполнить.

Другая полезная методика генерации пакетов для тестов на повышенную нагрузку состоит в использовании случайного заполнителя ( rand placeholder ) для IP-адреса отправителя. Любое из инструментальных средств комплекта ISIC генерирует случайные IP-адреса, если это указано, даже из резервного адресного пространства. Используйте эту программу, чтобы проверить, как брандмауэр обрабатывает DNS-трафик, включающий 50 % неправильных контрольных сумм UDP.

# udpsic -s rand -d 192.168.0.121,53 -U50

Управление пакетами

Каждый инструмент поддерживает опции -m, -p, -k и -x, чтобы управлять созданием пакета и пропускной способностью. Используйте опцию -m, чтобы ограничить максимальную пропускную способность, которую пробует использовать инструмент ISIC. Эта опция может быть полезна для установления базовой нагрузки против сервера (например, маршрутизатора) или службы (например, HTTP). Например, по следующей команде никаких вредных пакетов не генерируется, но посылается устойчивый трафик в 1000 Кбит/с к Web-серверу.

# tcpsic -s rand -d 192.168.0.37,80 -m 1000 -F0 -V0 -I0 -t0

Этот тест может также показать, как брандмауэр регистрирует трафик при тяжелых нагрузках. Если бы это была атака, вызывающая отказ в обслуживании, но полная информация была зафиксирована только для первых нескольких подключений, то вы не можете быть уверены, что очевидное нападение не прикрывает сфокусированную атаку на Web-сервер. Также удостоверьтесь, что у брандмауэра достаточно пространства на диске для хранения файлов регистрации.

Опция -p предписывает ISIC посылать установленное число пакетов и затем останавливаться. Опция -k заставляет isic пропускать заданное число пакетов. Например, следующая команда генерирует 100000 пакетов, но опускает первые 50000.

# icmpsic -s rand -d 192.168.0.12 -p100000 -k50000

Iptest

Утилита /). Фильтр IP является брандмауэром и программным обеспечением NAT для ядра BSD и Linux 2.0.x (плюс версии для Solaris, HP-UX и QNX). Его первоначальная цель заключалась в проверке на устойчивость брандмауэра к ошибкам в критических сетевых условиях.

Реализация

Все тесты требуют четырех опций для определения отправителя и получателя каждого пакета. IP-адрес отправителя определяется опцией -s; получатель всегда задается последним аргументом (без флага опции).

# iptest -s 172.16.34.213 192.168.12.84

Если IP-адрес отправителя не принадлежит физической сетевой карте (NIC), использующейся для генерации трафика, вам может понадобиться определить также сетевой интерфейс ( -d ) и шлюз ( -g ) в командной строке.

# iptest -s 10.87.34.213 -d le0 -g 192.168.12.1 192.168.12.84

Затем вы можете позволить инструменту Iptest пройти весь список встроенных тестов, или выбрать более узко направленные тесты с помощью опций -n и -pt, где n - число в интервале от одного до семи, а t - номер "точечного теста" (point test) для соответствующего n. Другими словами, вы выбираете опцию между единицей и семеркой. Например, опция пять ( -5 ) содержит большинство TCP-тестов. В пределах пятой опции есть восемь точечных тестов ( -p ). Окончательно команда, предназначенная для выполнения пятой опции с ее первым точечным тестом, будет выглядеть следующим образом:

# iptest -s 10.87.34.213-d le0-g 192.168.12.1 -5 -p1 192.168.12.84

В этом примере будут проверены все комбинации флагов TCP. В таблице 17.3 описаны более полезные опции меню.

#!/bin/sh
# IP Stack test
# usage: test.sh gateway source destination
# note, change "le1" to your interface
iptest -1 -d le1 -g $1 -s $2 $3
iptest -2 -d le1 -g $1 -s $2 $3
iptest -3 -d le1 -g $1 -s $2 $3
iptest -4 -d le1 -g $1 -s $2 $3
iptest -5 -d le1 -g $1 -s $2 $3
iptest -6 -d le1 -g $1 -s $2 $3
iptest -7 -d le1 -g $1 -s $2 $3
isic -s $2 -d $3 -p10000
tcpsic -s $2 -d $3 -p10000

Nemesis: создание пакетов 101

Инструмент nemesis предназначен для создания собственных IP-пакетов. В отличие от утилит isic и Iptest, которые автоматически генерируют хорошие и вредные пакеты, nemesis может изменять любую часть пакета. Утилита основана на библиотеке libnet, но ее легче использовать, чем libnet или libpcap, потому что она не требует никакой манипуляции на уровне сокета. Вместо написания и отладки программ на языке C, вы можете быстро настроить сценарий командного интерпретатора. Вам надо только определить содержимое данных в командной строке; nemesis сам создает и посылает пакет.

Реализация

Комплект nemesis содержит утилиты, предназначенные для создания пакетов и пакетных данных для протоколов ARP, DNS, ICMP, IGMP, OSPF, RIP, TCP и UDP. Каждая утилита называется соответственно nemesis - <протокол>, где <протокол> - один из восьми поддерживаемых типов протокола. Например, nemesis-dns имеет дело с созданием DNS-пакетов, в то время как nemesis-tcp создает пакеты для TCP-трафика. Вы можете выполнить общую отладку сети и тестирование с помощью инструментальных средств nemesis-udp и nemesis-tcp. Другие инструментальные средства приспособлены для тестирования более специализированных протоколов или служб.

Требуется некоторое время, чтобы начать создание пакетов с помощью nemesis, но как только вы создадите каркас, в нем будет просто производить небольшие изменения. Каждое из инструментальных средств комплекта nemesis требует основных IP-опций. Каждое из инструментальных средств поддерживает следующие опции.

Опции IP:

-S  <IP адрес отправителя>
    -D  <IP адрес получателя>
    -I  <IP ID (идентификатор)>
    -T  <IP TTL (время жизни дейтаграммы)>
    -t  <IP tos (тип сервиса)>
    -F  <IP frag (смещение фрагмента)>
    -O  <Опции IP>

Опции Data Link:

-d  <Устройство Ethernet>
    -H  <MAC-адрес отправителя>
    -M  <MAC-адрес получателя>

Утилита nemesis-tcp может быть особенно полезна при составлении общей картины атак, называемых "reply attacks", за счет анализа пакетов, которые вы перехватили в сети. Например, чтобы подделать сеанс TCP, вам нужно знать не только одноранговый (peer) IP-адрес и номер порта, но также и порядковый номер пакета (SEQ) и номер подтверждения (ACK). Таким образом, вы можете обрабатывать любую часть трехэтапного квитирования при установлении связи по TCP. Утилита nemesis-tcp поддерживает следующие специфические для TCP опции.

Опции TCP:

[-x <порт отправителя>]
    [-y <порт получателя>]
    -f  <Опции флагов TCP>
    -fS SYN,-fA ACK,-fR RST,-fP PSH,-fF FIN,-fU URG
    -w  < Размер окна>
    -s  <номер SEQ>
    -a  <номер ACK>
    -u  <TCP urgent pointer (указатель срочности)>
    -P  <Файл полезной нагрузки (двоичный или ASCII)>
    -v  VERBOSE (Подробный - вывод структуры пакета на стандартное 
        устройство stdout)

Утилита nemesis-udp поддерживает приведенные ниже опции. Заметьте, что UDP, как протокол, не устанавливающий соединения и не имеющий состояния, не предусматривает так много опций, как TCP. Некоторые применения этой утилиты могли бы состоять в толковом сканировании портов при поиске UDP-служб, таких как SNMP, используя опцию -P для обработки определенного пакета.

Опции UDP:

[-x <порт отправителя>]
    [-y <порт получателя>]
    -P <Файл полезной нагрузки>
    -v VERBOSE (подробный вывод структуры пакета на стандартное 
       устройство stdout)

В разделе <Пример из жизни> в конце этой лекции, посмотрите пример генерации SNMP-пакета.

опции ICMP:

-i  <Тип ICMP>
    -c  <Код ICMP>
    -s  <Порядковый номер>
    -m  <Маска ICMP>
    -G  <Предпочитаемый шлюз>
    -Co <Время возникновения запроса>
    -Cr <Время получения запроса>
    -Ct <Время передачи ответа>
    -P  <Файл полезной нагрузки (двоичный или ASCII)>
    -v  VERBOSE (подробный - вывод структуры пакета на стандартное 
        устройство stdout)

Комплект nemesis поддерживает также DNS ( nemesis-dns ), ARP ( nemesis-arp ), IGMP ( nemesis-igmp ) и OSPF ( nemesis-ospf ) протоколы. Хотя они относительно мало известны, возможности протоколов IGMP и OSPF могут быть полезны для сетевых инженеров, пробующих отлаживать глобальные сети.

19:34:48.663980 192.168.0.90.1066 > 10.0.0.27.139: S 847815674:847815674 (0)
 win 16384 < mss1460, nop, nop, sackOK > (DF)
19:34:48.664567 10.0.0.27.139 > 192.168.0.90.1066: S 4141875831:4141875831 (0)
 ack 847815675 win 17520 < mss 1460, nop, nop, sackOK > (DF)
19:34:48.665586 192.168.0.90.1066 > 10.0.0.27.139:. ack 1 win 17520 (DF)

# nemesis -tcp -S 192.168.0.90-D 10.0.0.27 -fF -x 1066 -y 139
# nemesis -tcp -S 192.168.0.90-D 10.0.0.27 -fR -x 1066 -y 139

# nemesis -tcp-S 192.168.0.90-D 10.0.0.27 -fA -x 1066 -y 139

# sleep 300; nemesis -udp -S 192.168.0.90 -D 10.0.0.27 -x 1066 -y 135

# nemesis -icmp -S 192.168.0.90 -D 10.0.0.27 -i 0 -c 0

#!/bin/sh
TYPE=0
while [ $TYPE -le 255 ] ; do
    nemesis-icmp -S 192.168.0.90 -D 10.0.0.27 -i $TYPE -c 0
    TYPE="expr $TYPE + 1 "
done

#!/usr/bin/perl
# snmp.pl
# mps -     Generate data for an SNMP GET "public"
$snmp =     "302c02010004067075626c6963a01f020426805d1e0201" .
            "000201003011300f060b2a8648ce340301020102010500";
print pack("H*", $snmp);

$ ./snmp.pl snmp.payload
$ nemesis-udp -S 192.168.0.179 -D 192.168.0.241 -x 2001 -y 161 
   -P snmp.payload

$ tcpdump-n udp

За пределами командной строки

Инструменты isic и nemesis обеспечивают полный набор функциональных возможностей, которые могут быть быстро вставлены в сценарии командного интерпретатора ( shell ), программы Perl или отдельные командные строки. Они также снимают проблемы отладки собственных C или C++ программ, так как переменные, указатели памяти и сетевая адресация обрабатываются без участия пользователя. С другой стороны, у вас также появляется возможность покопаться во внутренностях этих программ и написать свои собственные программы генерации пакетов, основываясь на библиотеках libnet или libpcap.