🥇आने वाले एसएसएच कनेक्शन के लिए ट्रैप (टारपिट)

यह कोई रहस्य नहीं है कि इंटरनेट एक बहुत ही प्रतिकूल वातावरण है। जैसे ही आप एक सर्वर बढ़ाते हैं, उस पर तुरंत बड़े पैमाने पर हमले होते हैं और कई बार स्कैन किया जाता है। उदाहरण के लिए सुरक्षा गार्डों से हनीपोट आप इस कचरा यातायात के पैमाने का अनुमान लगा सकते हैं। वास्तव में, औसत सर्वर पर 99% ट्रैफ़िक दुर्भावनापूर्ण हो सकता है।

टारपिट एक ट्रैप पोर्ट है जिसका उपयोग आने वाले कनेक्शन को धीमा करने के लिए किया जाता है। यदि कोई तृतीय-पक्ष सिस्टम इस पोर्ट से कनेक्ट होता है, तो आप कनेक्शन को तुरंत बंद नहीं कर पाएंगे। उसे अपने सिस्टम संसाधनों को बर्बाद करना होगा और कनेक्शन टाइमआउट होने तक इंतजार करना होगा, या इसे मैन्युअल रूप से समाप्त करना होगा।

अक्सर सुरक्षा के लिए टारपिट का उपयोग किया जाता है। इस तकनीक को सबसे पहले कंप्यूटर वर्म से बचाने के लिए विकसित किया गया था। और अब इसका उपयोग स्पैमर और शोधकर्ताओं के जीवन को बर्बाद करने के लिए किया जा सकता है जो एक पंक्ति में सभी आईपी पते की व्यापक स्कैनिंग में लगे हुए हैं (हैब्रे पर उदाहरण: ऑस्ट्रिया, यूक्रेन).

क्रिस वेलन्स नाम का एक सिस्टम प्रशासक स्पष्ट रूप से इस अपमान को देखकर थक गया था - और उसने एक छोटा सा कार्यक्रम लिखा अनंत, एसएसएच के लिए एक टारपिट जो आने वाले कनेक्शन को धीमा कर देता है। प्रोग्राम एक पोर्ट खोलता है (परीक्षण के लिए डिफ़ॉल्ट पोर्ट 2222 है) और एक एसएसएच सर्वर होने का दिखावा करता है, लेकिन वास्तव में यह आने वाले क्लाइंट के साथ एक अंतहीन कनेक्शन स्थापित करता है जब तक कि वह हार नहीं मानता। यह कई दिनों या उससे अधिक समय तक जारी रह सकता है जब तक कि ग्राहक गिर न जाए।

उपयोगिता की स्थापना:

$ make
$ ./endlessh &
$ ssh -p2222 localhost

ठीक से कार्यान्वित टारपिट आपके मुकाबले हमलावर से अधिक संसाधन लेगा। लेकिन बात संसाधनों की भी नहीं है. लेखक Ð ¿Ð ¸ ÑÐμÑ,कि कार्यक्रम व्यसनी है. फिलहाल इसके 27 ग्राहक फंसे हुए हैं, उनमें से कुछ हफ्तों से जुड़े हुए हैं। गतिविधि के चरम पर, 1378 ग्राहक 20 घंटों तक फंसे रहे!

ऑपरेटिंग मोड में, एंडलेस सर्वर को सामान्य पोर्ट 22 पर स्थापित करने की आवश्यकता होती है, जहां गुंडे सामूहिक रूप से दस्तक देते हैं। मानक सुरक्षा सिफारिशें हमेशा एसएसएच को एक अलग पोर्ट पर ले जाने की सलाह देती हैं, जो परिमाण के क्रम से लॉग के आकार को तुरंत कम कर देता है।

क्रिस वेलन्स का कहना है कि उनका कार्यक्रम विनिर्देश के एक पैराग्राफ का फायदा उठाता है RFC 4253 SSH प्रोटोकॉल के लिए. टीसीपी कनेक्शन स्थापित होने के तुरंत बाद, लेकिन क्रिप्टोग्राफी लागू होने से पहले, दोनों पक्षों को एक पहचान स्ट्रिंग भेजनी होगी। और एक नोट भी है: "संस्करण पंक्ति भेजने से पहले सर्वर डेटा की अन्य पंक्तियाँ भेज सकता है"। और कोई सीमा नहीं इस डेटा की मात्रा पर, आपको बस प्रत्येक पंक्ति को प्रारंभ करने की आवश्यकता है SSH-.

एंडलेसेश प्रोग्राम बिल्कुल यही करता है: यह भेजता है अनंत बेतरतीब ढंग से उत्पन्न डेटा की धारा, जो आरएफसी 4253 का अनुपालन करता है, यानी प्रमाणीकरण से पहले भेजता है, और प्रत्येक पंक्ति शुरू होती है SSH- और पंक्ति के अंत वाले वर्ण सहित 255 वर्णों से अधिक नहीं है। सामान्य तौर पर, सब कुछ मानक के अनुसार होता है।

डिफ़ॉल्ट रूप से, प्रोग्राम पैकेट भेजने के बीच 10 सेकंड प्रतीक्षा करता है। यह क्लाइंट को टाइम आउट होने से बचाता है, इसलिए क्लाइंट हमेशा के लिए फंस जाएगा।

चूंकि क्रिप्टोग्राफी लागू होने से पहले डेटा भेजा जाता है, इसलिए प्रोग्राम बेहद सरल है। इसे किसी सिफर को लागू करने की आवश्यकता नहीं है और यह कई प्रोटोकॉल का समर्थन करता है।

लेखक ने यह सुनिश्चित करने का प्रयास किया कि उपयोगिता न्यूनतम संसाधनों का उपभोग करे और मशीन पर पूरी तरह से किसी का ध्यान न जाए। आधुनिक एंटीवायरस और अन्य "सुरक्षा प्रणालियों" के विपरीत, इसे आपके कंप्यूटर को धीमा नहीं करना चाहिए। वह थोड़े अधिक चालाक सॉफ़्टवेयर कार्यान्वयन के कारण ट्रैफ़िक और मेमोरी खपत दोनों को कम करने में कामयाब रहे। यदि यह बस एक नए कनेक्शन पर एक अलग प्रक्रिया शुरू करता है, तो संभावित हमलावर मशीन पर संसाधनों को समाप्त करने के लिए कई कनेक्शन खोलकर DDoS हमला शुरू कर सकते हैं। प्रति कनेक्शन एक थ्रेड भी सबसे अच्छा विकल्प नहीं है, क्योंकि कर्नेल थ्रेड को प्रबंधित करने वाले संसाधनों को बर्बाद कर देगा।

यही कारण है कि क्रिस वेलन्स ने एंडलेसेश के लिए सबसे हल्का विकल्प चुना: एक सिंगल-थ्रेडेड सर्वर poll(2), जहां जाल में ग्राहक वस्तुतः कोई अतिरिक्त संसाधनों का उपभोग नहीं करते हैं, कर्नेल में सॉकेट ऑब्जेक्ट और एंडलेस में ट्रैकिंग के लिए अन्य 78 बाइट्स की गिनती नहीं करते हैं। प्रत्येक क्लाइंट के लिए रिसीव और सेंड बफ़र्स आवंटित करने से बचने के लिए, एंडलेश एक डायरेक्ट एक्सेस सॉकेट खोलता है और लगभग पूरे ऑपरेटिंग सिस्टम टीसीपी/आईपी स्टैक को दरकिनार करते हुए सीधे टीसीपी पैकेट का अनुवाद करता है। आने वाले बफ़र की बिल्कुल भी आवश्यकता नहीं है, क्योंकि हमें आने वाले डेटा में कोई दिलचस्पी नहीं है।

ऐसा लेखक अपने कार्यक्रम के समय कहते हैं नहीं पता था पायथन के एसिसियो और अन्य टारपिट के अस्तित्व के बारे में। यदि वह एसिसियो के बारे में जानता, तो वह अपनी उपयोगिता को पायथन में केवल 18 पंक्तियों में लागू कर सकता था:

import asyncio
import random

async def handler(_reader, writer):
try:
while True:
await asyncio.sleep(10)
writer.write(b'%xrn' % random.randint(0, 2**32))
await writer.drain()
except ConnectionResetError:
pass

async def main():
server = await asyncio.start_server(handler, '0.0.0.0', 2222)
async with server:
await server.serve_forever()

asyncio.run(main())

Asyncio टारपिट लिखने के लिए आदर्श है। उदाहरण के लिए, यह हुक फ़ायरफ़ॉक्स, क्रोम, या किसी अन्य क्लाइंट को फ़्रीज़ कर देगा जो कई घंटों से आपके HTTP सर्वर से कनेक्ट होने का प्रयास कर रहा है:

import asyncio
import random

async def handler(_reader, writer):
writer.write(b'HTTP/1.1 200 OKrn')
try:
while True:
await asyncio.sleep(5)
header = random.randint(0, 2**32)
value = random.randint(0, 2**32)
writer.write(b'X-%x: %xrn' % (header, value))
await writer.drain()
except ConnectionResetError:
pass

async def main():
server = await asyncio.start_server(handler, '0.0.0.0', 8080)
async with server:
await server.serve_forever()

asyncio.run(main())

ऑनलाइन बदमाशों को दंडित करने के लिए टारपिट एक बेहतरीन उपकरण है। सच है, इसके विपरीत, किसी विशेष सर्वर के असामान्य व्यवहार की ओर उनका ध्यान आकर्षित करने का कुछ जोखिम है। कोई व्यक्ति बदला लेने के बारे में सोच सकते हैं और आपके आईपी पर लक्षित DDoS हमला। हालाँकि, अभी तक ऐसा कोई मामला सामने नहीं आया है, और टारपिट बढ़िया काम करते हैं।

हब:
पायथन, सूचना सुरक्षा, सॉफ्टवेयर, सिस्टम प्रशासन

टैग:
एसएसएच, एंडलेसेश, टारपिट, टारपिट, ट्रैप, एसिसियो
आने वाले एसएसएच कनेक्शन के लिए ट्रैप (टारपिट)।

क्रिस वेलन्स नाम का एक सिस्टम प्रशासक स्पष्ट रूप से इस अपमान को देखकर थक गया था - और उसने एक छोटा सा कार्यक्रम लिखा अनंत, एसएसएच के लिए एक टारपिट जो आने वाले कनेक्शन को धीमा कर देता है। प्रोग्राम एक पोर्ट खोलता है (परीक्षण के लिए डिफ़ॉल्ट पोर्ट 2222 है) और एक एसएसएच सर्वर होने का दिखावा करता है, लेकिन वास्तव में यह आने वाले क्लाइंट के साथ एक अंतहीन कनेक्शन स्थापित करता है जब तक कि वह हार नहीं मानता। यह कई दिनों या उससे अधिक समय तक जारी रह सकता है जब तक कि ग्राहक गिर न जाए।

उपयोगिता की स्थापना:

$ make
$ ./endlessh &
$ ssh -p2222 localhost

import asyncio
import random

async def handler(_reader, writer):
try:
while True:
await asyncio.sleep(10)
writer.write(b'%xrn' % random.randint(0, 2**32))
await writer.drain()
except ConnectionResetError:
pass

async def main():
server = await asyncio.start_server(handler, '0.0.0.0', 2222)
async with server:
await server.serve_forever()

asyncio.run(main())

import asyncio
import random

async def handler(_reader, writer):
writer.write(b'HTTP/1.1 200 OKrn')
try:
while True:
await asyncio.sleep(5)
header = random.randint(0, 2**32)
value = random.randint(0, 2**32)
writer.write(b'X-%x: %xrn' % (header, value))
await writer.drain()
except ConnectionResetError:
pass

async def main():
server = await asyncio.start_server(handler, '0.0.0.0', 8080)
async with server:
await server.serve_forever()

asyncio.run(main())

स्रोत: www.habr.com

आने वाले एसएसएच कनेक्शन के लिए ट्रैप (टारपिट)।

एक टिप्पणी जोड़ें उत्तर रद्द