IP-Fragmentierung (Ping of Death) 같같같같같같같같같같같같같같같같같같 ========================= || von mr.gentleman || || m.r.gentleman@gmx.de || || www.anthraxLP.de || ========================= Vorwort Ein einzelnes IP-Paket ist inklusive Header maximal 65'535 Bytes lang, Ethernet-Pakete k�nnen jedoch maximale 1'500 Bytes Daten �bertragen. Gr�ssere Pakete werden fragmentiert und beim Empf�nger wieder defragmentiert, wobei die Zusammensetzung anhand eines Offset-Wertes erfolgt. Dies wird gemacht, um Netzwerkabschnitte zu �berwinden, welche lediglich eine maximale Paketl�nge unterst�tzen. Jedes Paketfragment erh�lt neben dem Offset-Wert auch noch eine Identifikationsnummer, aber nur das erste enth�lt den TCP-Header und damit die Port-Nummer. Dieser Offset-Wert bestimmt f�r jedes Fragment, wohin es geh�rt oder wohin es soll. Dadurch ist es m�glich, dem letzten Fragment einen Offset zu geben, der inklusive Fragmentgr�sse einen gr�sseren Wert als die maximalen 65'535 Bytes ergibt. Dieses �bergrosse Ping-Paket erzeugt anschliessend einen Buffer-Overflow. Dieser Angriff funktioniert nicht nur mit ICMP und Ping, sondern auch mit UDP und TCP. Obwohl ein ordentlicher Ping-Befehl keine Pakete gr�sser als 65'507 Bytes (65'535 Bytes abz�glich 20 Bytes IP-Header und 8 Bytes ICMP-Header) zul�sst, bot bei den ersten Versionen von Windows 95 der dort implementierte Ping-Befehl das antsprechende Feature in Form eines Parameters. Einfach "ping -l 65510 zielhost" eingeben, und der Todes-Ping wird ausgef�hrt. Angriffsm�glichkeiten Als eine der erfolgreichsten Angriffsm�glichkeiten gegen Sniffer sind solche mit fragmentierten IP-Paketen. TCP-Filter k�nnen auch in der Regel nicht mehr sicher unterscheiden, ob die Paket ins interne Netz gelassen werden d�rfen, da die Port-Information bei den meisten Paketen fehlt. Wenn die Zielstation nun auch noch unvollst�ndige Paketfragmentfolgen auswertet - und jene auch nicht verwirft - kann eine Firewall ohne gr�ssere Probleme umgangen werden. Ein einfacher aber wirkungsvoller Angriff, der IP-Fragmentierung ausnutzt, ist der sogenannte "overlapping fragment attack" nach RFC 1858. Die derzeitige Internet-Protokoll Spezifikation RFC 791 beschreibt einen Reassemblierungs-Algorithmus, der neue Fragmente produziert und dabei jeden �berlappenden Teil der zuvor erhaltenen Fragmente �berschreibt. Wird ein solcher Algorithmus angewendet, so kann ein Angreifer eine Folge von Paketen konstruieren, in denen das erste Fragment (mit einem Offset der L�nge Null) harmlose Daten beinhaltet (und dadurch von einem Paketfilter weitergeleitet werden kann). Ein beliebiges nachfolgendes Paket mit einem Offset, der gr秤er als Null ist, k�nnte TCP-Header-Informationen (z.B. destination port) �berlappen. Diese w�rden durch den Algorithmus modifiziert (�berschrieben). Dieses zweite Paket wird von vielen Paketfiltern nicht gefiltert. Gegenma�nahme hierzu ist, Paketfilter zu verwenden, die ein Minimum an Fragment Offset f�r Fragmente verlangen. Nur wenige neuere TCP/IP-Stacks erkennen dieses Problem und korrigieren dieses. 훜tere Router lassen sich mit diesem Trick einfach durchtunneln, sie bieten keinen Schutz. Besonders aber Firewalls, die auf der Basis der Stateful Paket Filterung (SPF) arbeiten, wie z.B. RAPTOR EAGLE und FIREWALL-1 liessen sich so durchtunneln. Content-Anbieter im Internet und ISP큦, die mit diesen Firewalls NT-Server sch�tzen wollten, wurden so Ziel der unz�hligen Angreifer, die neue Exploits mal testen wollten. Schutzmassnahmen Anfang 1997 war von dieser Attacke so ziemlich alles betroffen, was einen IP-Stack hatte. Von der Workstation bis zum Drucker war damals praktisch nichts dagegen gewappnet. Abhilfe schafft nur eine vollst�ndige Reassemblierung der TCP/IP-Pakete oder der Einsatz eines Proxy. Nachteil dieser L�sung ist ein enormer Einbruch in der Performance, der den Vorteil der SPF-Firewalls v�llig zunichte macht. Dies zeigt aber, da� Firewalls keineswegs perfekt sind. Will man solchen Angriffen zuvorkommen, so ist man als Betreiber eines mission critical Systems auf die st�ndige Betreuung eines Experten angewiesen. Da von diesem Angriff nur spoofende Versionen existieren, k�nnen die T�ter oft nicht aufgesp�rt werden. So ich hoffe ihr habt viel Sap�, aber richitet keine finanziellen Schaden an, denn so zieht ihr andere Hacker in den Dreck mr.gentleman m.g.gentleman@gmx.de danke sch�n an einen freund, der mir eine teil dieses textes geschrieben hat!