إجهاد الجوارب

لا يحتوي برنامج Sockstress على وحدة هجوم خاصة لتنفيذ هجوم بسيط لإغراق الاتصالات، ولكن يمكن استخدام أي من وحدات الهجوم على هذا النحو إذا تم استخدام الخيارين -c-1 (الحد الأقصى للاتصالات غير محدود) و -m-1 (الحد الأقصى للمزامنة غير محدود).

أمثلة على الأوامر:

1. fantaip -i eth0 192.168.1.128/25 -vvv
2. sockstress -A -c-1 -d 192.168.1.100 -m-1 -Mz -p22,80 -r300 -s192.168.1.128/25 -vv

قم بإنشاء اتصال بمقبس استماع، وعند المصافحة الثلاثية (داخل آخر ACK) أرسل نافذة 0.

 syn -> (نافذة 4K) <- syn+ack (نافذة 32 كيلوبايت) ack -> (0 window)

الآن، سيتعين على الخادم "فحص" العميل حتى يتم فتح نافذة الصفر. يُعد هذا النوع من الهجمات أبسطها فهمًا. والنتيجة مشابهة لهجوم إغراق الاتصالات، باستثناء أن المقابس تظل مفتوحة بشكل دائم (عند تفعيل خيار -A/ACK). هذا موضح في وثيقة CPNI في القسم 2.2. يتمثل أحد الاختلافات هنا في إرسال حمولة بيانات العميل (مثل 'GET / HTTP/1.0') قبل ضبط النافذة على 0. يشبه هذا الاختلاف ما هو موضح في وثيقة CPNI في القسم 5.1.1. يتمثل اختلاف آخر في الإعلان أحيانًا عن نافذة TCP أكبر من 0، ثم العودة إلى نافذة الصفر.

فعال ضد:

• الخدمات التي تتطلب مهلة زمنية طويلة

أمثلة على الأوامر:

1. fantaip -i eth0 192.168.1.128/25 -vvv
2. sockstress -A -c-1 -d 192.168.1.100 -m-1 -Mz -p22,80 -r300 -s192.168.1.128/25 -vv

Create a connection to a listening socket and upon 3 way handshake (inside last ACK) set a window size of 4 bytes, then create an ACK/PSH packet with a TCP payload (into a window that is hopefully large enough to accept it) with a window still set to 4 bytes. This will potentially cause kernel memory to be consumed as it takes the response and splits it into tiny 4 byte chunks. This is unlike a connection flood in that memory is now consumed for every request made. This has reliably put Linux/Apache and Linux/sendmail systems into defunct states. It is also effective against other systems. It is expected that this has similar effects to what is described in the CPNI document in the second to last paragraph of page 17.

Look at the payload.c file in the sockstress source. Look for the hport switch statement. In that section you can specify payloads to be sent to specific ports. It is most effective to send a payload that will generate as large of a response as possible (i.e. 'GET /largefile.zip').

Good against:

• Services that contain initial connection banners
• Services that accept an initial request and send a large response (for example a GET request against a large web page, or file download)

Example commands:

1. fantaip -i eth0 192.168.1.128/25 -vvv
2. sockstress -A -c-1 -d 192.168.1.100 -m-1 -Mw -p22,80 -r300 -s192.168.1.128/25 -vv

Create a connection to a listening socket and upon 3 way handshake (inside last ACK) send 4 bytes to the beginning of a window, as advertised by the remote system. Then send 4 bytes to end of window. Then 0-window the connection. Depending on the stack, this could cause the remote system to allocate multiple pages of kernel memory per connection. This is unlike a connection flood in that memory is now consumed for every connection made. This attack was created to target Linux. It is also quite effective against Windows. This is the attack that was used in the sec-t and T2 demos. It is expected that this has similar effects to what is described in the CPNI document in section 5.2.2 5th paragraph and section 5.3.

Good against:

• Stacks that allocate multiple pages of kernel memory in response to this stimulus

Example commands:

1. fantaip -i eth0 192.168.1.128/25 -vvv
2. sockstress -A -c-1 -d 192.168.1.100 -m-1 -Ms -p22,80 -r300 -s192.168.1.128/25 -vv

Create a connection to a listening socket. PSH is an application payload (i.e. 'GET / HTTP/1.0'). FIN the connection and 0-window it. This attack will have very different results depending on the stack/application you are targeting. Using this against a Cisco 1700 (IOS) web server, it was observed that sockets were left in FIN_WAIT_1 indefinitely. After enough of such sockets, the router could no longer communicate TCP correctly.

Look at the payload.c file in the sockstress source. Look for the hport switch statement. In that section, you can specify payloads to be sent to specific ports. You must send a payload that will look like a normal client to the application you are interacting with. Against a Cisco 1700, while using this attack it was important to attack at a very slow rate.

Example commands:

1. fantaip -i eth0 192.168.1.128/25 -vvv
2. sockstress -A -c-1 -d 192.168.1.100 -m-1 -MS -p80 -r10 -s192.168.1.128/25 -vv

أنشئ اتصالاً بمأخذ استماع. PSH عبارة عن حمولة تطبيق (مثل 'GET / HTTP/1.0'). كرر ثلاث مرات تأكيد الاستلام (ACK).

انظر إلى ملف payload.c في مصدر sockstress. ابحث عن عبارة hport switch. في هذا القسم، يمكنك تحديد الحمولات المراد إرسالها إلى منافذ معينة. يجب عليك إرسال حمولة تبدو كعميل عادي للتطبيق الذي تتفاعل معه.

فعال ضد:

• المجموعات التي تدعم هذه الطريقة لتفعيل رينو أو وظائف جدولة مماثلة

أمثلة على الأوامر:

1. fantaip -i eth0 192.168.1.128/25 -vvv
2. sockstress -A -c-1 -d 192.168.1.100 -m-1 -MR -p22,80 -r300 -s192.168.1.128/25 -vv

• FIN_WAIT_2 stress

أنشئ اتصالاً بمأخذ استماع. أرسل حمولة تطبيق عبر بروتوكول PSH من شأنها أن تتسبب على الأرجح في إغلاق التطبيق على الطرف الآخر للمأخذ (يرسل الهدف إشارة FIN). ثم قم بتأكيد استلام إشارة FIN.

فعال ضد:

• الحزم التي لا تحتوي على مهلة FIN_WAIT_2.
• ضغط نافذة الازدحام الكبيرة
• إجهاد وحدة النقل القصوى لمسار الانكماش
• إجهاد MD5