The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Анализ TTL помог выявить источник DDoS-атаки на GitHub

03.04.2015 11:21

Роберт Грэм (Robert Graham) из команды Errata Security, получивший известность как разработчик сверхпроизводительного DNS-сервера robdns и системы masscan, способной за пять минут просканировать порты всех хостов в Сети, опубликовал результаты исследования источника подстановки вредоносных JavaScript-блоков, применяемых для DDoS-атаки на GitHub. Исследование подтвердило, что модификация трафика производится на оборудовании "Великого китайского файрвола" или в непосредственной близости от него, в частности, в инфраструктуре магистральной опорной сети крупнейшего китайского провайдера China Unicom. Пока непонятно санкционирована ли атака китайскими властями или она стала возможной в результате взлома инфраструктуры сети China Unicom третьими лицами.

Для определения точки подстановки трафика был использован довольно интересный метод, основанный на анализе изменения TTL (поле в заголовке IP-пакета, уменьшаемое на единицу на каждом транзитном маршрутизаторе). Ранее, изучая атаку на GitHub, исследователи из компании Netresec обнаружили важные особенности работы с TTL на перехватывающем трафик MITM-узле. Подстановка используемых в атаке JavaScript-блоков осуществлялась только для пакетов с низким TTL ("пришедших издалека"). В подменённых в результате MITM-атаки пакетах значение поля с TTL искусственно заменялось на большое значение, что явно выделяло прошедшие через MITM-прокси пакеты в общем потоке ответов от сервера.

Например, проверочные пакеты к серверу Baidu, отправленные с TTL 64, достигают целевого хоста при TTL 46, т.е. по пути наблюдается 18 транзитных шлюзов. Но после отправки web-запроса, ответ приходит с TTL 98 или 99, что можно рассматривать как признак получения ответа от подставного сервера. Роберт Грэм решил воспользоваться данной аномалией и проследить на каком узле в цепочке передачи пакета происходит изменение TTL. Для этого им был подготовлен модифицированный вариант утилиты traceroute, отправляющий HTTP-запросы с изменённым TTL и отслеживающий ICMP-ответы шлюзов об исчерпании времени жизни пакетов.

Большинство систем выставляет по умолчанию для пакетов значение TTL 64, по мере прохождения маршрутизаторов значение TTL уменьшается и в момент достижения целевого хоста содержит своё минимальное значение, позволяющее оценить число транзитных маршрутизаторов по пути следования пакетов. Принцип действия утилиты traceroute сводится к тому, что она вначале отправляет пакет с TTL=1 и, так как время жизни пакета истекает на первом шлюзе, получает от него ICMP ответ с отражением данного факта. Таким образом определяется первый узел по пути следования пакета. Затем проверки повторяются с TTL=2,3... до тех пор пока не будет получен положительный ответ, что будет сигнализировать достижение целевого хоста.

Особенностью созданного Робертом Грэммом модифицированного варианта traceroute является то, что для анализа узлов за китайским межсетевым экраном вначале осуществляется установка HTTP-соединения с нормальным TTL, после чего начинается цикличная проверка с минимальными значениями TTL (1,2,3... и до достижения хоста). При достижении определённого значения TTL будет пройден весь путь следования пакета и получен положительный ответ. При этом, полученное в результате пошаговой проверки число хопов будет отличаться от числа хопов, полученных в результате первого запроса (при пошаговой проверке 12, при прямом запросе 94).

Появление ответа с TTL, значение которого значительно меньше, чем TTL первой проверки, будет свидетельствовать о достижении MITM-прокси. IP-адрес с которого был получен последний ответ об истечении времени жизни пакета можно считать адресом MITM-прокси. В данном случае MITM-прокси находится в сети оператора China Unicom. Примечательно, что обратная проверка через запуск traceroute из Китая к запрещённому в Китае внешнему ресурсу, также показывает, что пакеты блокируются в инфраструктуре China Unicom.

  1. Главная ссылка к новости (http://arstechnica.com/securit...)
  2. OpenNews: На GitHub обрушилась необычная DDoS-атака, проведённая через подмену кода сервисов Baidu
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/41965-github
Ключевые слова: github
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (13) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, бедный буратино (ok), 11:45, 03/04/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +10 +/
    если каждый китаец сделает по коммиту - у гитхаба место кончится
     
     
  • 2.2, annualslayer (ok), 12:00, 03/04/2015 [^] [^^] [^^^] [ответить]  
  • +47 +/
    если каждый буратина пошутит по шутке -- петросяну жрат будет нечего
     
     
  • 3.172, нуяпетрасянь (?), 05:47, 07/04/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > если каждый буратина пошутит по шутке -- петросяну жрат будет нечего

    в лорквотез!

     
  • 2.3, Andrey Mitrofanov (?), 12:08, 03/04/2015 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > если каждый китаец сделает по коммиту - у гитхаба место кончится

    Зато git "победит" в соревновании за популярность у пользователей. </гипотетически>

    А "для места" -- добавят в git дедупликацию с котятами(). Все ж китайские коммиты на одно лицо.

    ()http://www.opennet.dev/opennews/art.shtml?num=41945

     

  • 1.5, grec (?), 12:24, 03/04/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Кто практикует обход китайских бастионов при обращении изнутри? VPN зарезают или нет?
     
     
  • 2.7, Крокус (?), 12:41, 03/04/2015 [^] [^^] [^^^] [ответить]  
  • +/
    VPN официально не запрещен (т.е. не сажают). Но Великий файрвол режет все адреса популярных компаний, продающих услуги VPN, и непосредственно адреса самих серверов VPN. В институтских сетях по анализу трафика как-то обрывают соединения с VPN.

    Но, в принципе, все работает. VPN маскируют под SSL на порт 443, есть тюнингованные клиенты для противодействия анализу. Многие компании обслуживают большой рынок китайских хомячков.

     
     
  • 3.8, Крокус (?), 12:45, 03/04/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    А уж зоопарком бесплатных программ:
    FreeGate, UltraSufr, Psiphon и т.п.
    с тобой поделится каждый китаец.
     
     
  • 4.64, Номномном (?), 18:55, 03/04/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > А уж зоопарком бесплатных программ:
    > FreeGate, UltraSufr, Psiphon и т.п.
    > с тобой поделится каждый китаец.

    При том в половине наверное встроено спайваре. Не китайское, так АНБшное. Ну ладно там свой сервак на который тоннель прокинул - не паливно и катит. А юзать левай софт от хзкого - вы там в своем уме?

     
  • 2.110, Аноним (-), 00:33, 04/04/2015 [^] [^^] [^^^] [ответить]  
  • +/
    >Кто практикует обход китайских бастионов при обращении изнутри? VPN зарезают или нет.

    Вывозили в поднебесную ноут с openVPN. Скорость режет практически до нуля. С трудом открыли и прочитали содержимое каталога. Практически пользоваться невозможно.

     
     
  • 3.145, count0krsk (ok), 19:52, 04/04/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Вывозили в поднебесную ноут с openVPN. Скорость режет практически до нуля. С
    > трудом открыли и прочитали содержимое каталога. Практически пользоваться невозможно.

    Так а не проще открыть rdp/free nx до своего сервака в другой стране, и оттуда пользоваться инетом?

     
     
  • 4.173, Аноним (-), 09:26, 07/04/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > Так а не проще открыть rdp/free nx до своего сервака в другой
    > стране, и оттуда пользоваться инетом?

    Или познакомить кЕтайский фаервол с MPTCP, так интереснее, пожалуй :)

     

  • 1.174, v_paranoid (?), 10:51, 08/04/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Перевод/пересказ оригинала тут некорректный,
    А сам анализ Netresec и Грэма очень интересный.

    > Подстановка используемых в атаке JavaScript-блоков осуществлялась
    > только для пакетов с низким TTL ("пришедших издалека").

    Неверно. Просто для пришедших снаружи в сторону китайских сетей.

    > В подменённых в результате MITM-атаки пакетах значение поля с TTL искусственно заменялось на большое значение,

    Неверно. Пакеты не подменялись, подменялся javascript. А пакеты инжектились в оригинальный поток.

    > Например, проверочные пакеты к серверу Baidu,
    > отправленные с TTL 64, достигают целевого хоста при TTL 46,
    > Но после отправки web-запроса, ответ приходит с TTL 98 или 99, что можно
    > рассматривать как признак получения ответа от подставного сервера.

    Неверно. В анализе наблюдают пакеты ОТ сервера к клиенту, и в этом потоке у некоторых пакетов TTL отличается от остальных. Он не просто меньше - он другой (в оригинальной статье приводили пример с ttl 228).

    > Для этого им был подготовлен модифицированный вариант утилиты traceroute,
    > отправляющий HTTP-запросы с изменённым TTL
    > и отслеживающий ICMP-ответы шлюзов об исчерпании времени жизни пакетов.

    Неверно. Утилита вовсе не смотрит на ICMP, только на ответы http-сервера.

    > При этом, полученное в результате пошаговой проверки число хопов
    > будет отличаться от числа хопов, полученных в результате первого запроса
    > (при пошаговой проверке 12, при прямом запросе 94).

    Неверно. Число 12 вообще не имеет значения на этом скриншоте. Грэм обращает внимание на ttl 46,92,93,94.

    > Появление ответа с TTL, значение которого значительно меньше,
    > чем TTL первой проверки, будет свидетельствовать о достижении MITM-прокси.

    Не совсем. TTL не всегда меньше, он другой.

    > адрес с которого был получен последний ответ об истечении
    > времени жизни пакета можно считать адресом MITM-прокси.

    Неверно. Адрес последнего icmp ответа это некий роутер, а mitm сидит очевидно после него.

     
     
  • 2.175, Рауль (ok), 22:27, 12/04/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Главное подобрать правильные методы анализа, при которых Китайцев можно обвинить
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру