🥇Felle (tarpit) for innkommende SSH-tilkoblinger

Det er ingen hemmelighet at internett er et veldig fiendtlig miljø. Så snart du setter opp en server, blir den umiddelbart utsatt for massive angrep og mange skanninger. Eksempelet ved honeypoten fra sikkerhetsfolkene kan illustrere omfanget av denne søppeltrafikken. Faktisk kan 99% av trafikken på en gjennomsnittlig server være ondsinnet.

Tarpit er en portfelle som brukes for å bremse innkommende forbindelser. Hvis et ekstern system kobler seg til denne porten, kan forbindelsen ikke lukkes raskt. Det må bruke sine systemressurser og vente til forbindelsen blir avbrutt på grunn av timeout, eller manuelt kutte den.

Ofte brukes tarpitter til beskyttelse. Teknologien ble først utviklet for å beskytte mot datavirus. Nå kan den brukes til å gjøre livet surt for spammerne og forskerne som driver med omfattende skanning av alle IP-adresser i rekkefølge (eksempler på Habr: Østerrike, Ukraina).

En av systemadministratorene ved navn Chris Wellons, ble tydeligvis lei av å se på dette kaoset - så han skrev et lite program Endlessh, en tarpit for SSH som bremser innkommende forbindelser. Programmet åpner en port (som standard for testing angitt til port 2222) og later som om det er en SSH-server, men i virkeligheten oppretter det en uendelig forbindelse med den innkommende klienten til den gir opp. Dette kan vare i flere dager eller mer, til klienten faller fra.

Installasjon av verktøyet:

$ make
$ ./endlessh &
$ ssh -p2222 localhost

En riktig implementert tarpit vil ta mer ressurser fra angriperen enn fra deg. Men det handler ikke bare om ressursene. Forfatteren skrivernevner at programmet er avhengighetsskapende. Akkurat nå er det 27 klienter i hans felle, noen av dem har vært tilkoblet i flere uker. På toppunktet hadde fellen hele 1378 klienter tilkoblet i 20 timer!

I drift skal serveren Endlessh settes opp på standardport 22, hvor gjengangere regelmessig prøver å koble seg til. Standard sikkerhetsanbefalinger råder alltid til å flytte SSH til en annen port, noe som umiddelbart reduserer størrelsen på loggene.

Chris Wellons sier at programmet hans utnytter et avsnitt fra spesifikasjonen RFC 4253 for SSH-protokollen. Umiddelbart etter at TCP-forbindelsen er etablert, men før kryptografi brukes, må begge parter sende en identifikasjonsstreng. Og der er det en tillegg: «ServerEN kan sende andre datapunkter før versjonslinjen sendes». Og ingen begrensning i mengden av disse dataene, bare hver linje må starte med SSH-.

Nettopp dette gjør programmet Endlessh: det sender uendelig strøm av tilfeldig genererte data, som overholder RFC 4253, noe som betyr at sending skjer før identifisering, og hver linje begynner med SSH- og ikke overskrider 255 tegn, inkludert linjeavslutning. Generelt sett, alt i henhold til standard.

Som standard venter programmet 10 sekunder mellom sendingene av pakker. Dette forhindrer frakobling på grunn av tidsavbrudd, slik at klienten vil sitte fast for alltid.

Siden sendingen av data skjer før kryptografi brukes, er programmet helt enkelt. Det er ikke nødvendig å implementere noen krypteringer og støtte for mange protokoller.

Forfatteren har sørget for at verktøyet bruker minimum ressurser og jobber helt usynlig på maskinen. I motsetning til moderne antivirusprogrammer og andre «sikkerhetssystemer», skal det ikke bremse datamaskinen. Han klarte å minimere både trafikk og minneforbruk ved hjelp av en litt mer sofistikert programvareimplementering. Hvis han bare hadde startet en egen prosess for en ny tilkobling, ville potensielle angripere kunne utføre et DDoS-angrep ved å åpne mange tilkoblinger for å tømme ressursene på maskinen. Én strømlinjeformet for tilkobling — er heller ikke den beste løsningen, fordi kjernen bruker ressurser på å administrere tråder.

Derfor valgte Chris Wellons den letteste varianten for Endlessh: en enkelttrådet server poll(2), der klientene i fellen praktisk talt ikke bruker ekstra ressurser, bortsett fra sokkelobjektet i kjernen og ytterligere 78 byte for sporing i Endlessh. For å ikke tildele buffere for mottak og sending for hver enkelt klient, åpner Endlessh en direkte tilgangssokkel og direkte sender TCP-pakker, og ignorerer nesten hele TCP/IP-stakken i operativsystemet. Den innkommende bufferen er ikke nødvendig i det hele tatt, fordi innkommende data ikke interesserer oss.

Forfatteren sier at på tidspunktet for programmet sitt visste ikke om eksistensen av Python's asyncio og andre tarpit. Hvis han hadde visst om asyncio, ville han kunnet implementere verktøyet sitt i bare 18 linjer i Python:

import asyncio
import random

async def handler(_reader, writer):
try:
while True:
await asyncio.sleep(10)
writer.write(b'%xrn' % random.randint(0, 2**32))
await writer.drain()
except ConnectionResetError:
pass

async def main():
server = await asyncio.start_server(handler, '0.0.0.0', 2222)
async with server:
await server.serve_forever()

asyncio.run(main())

Asyncio er perfekt for å skrive tarpits. For eksempel, en slik felle kan henge Firefox, Chrome eller en annen klient i mange timer hvis de prøver å koble seg til serveren din:

import asyncio
import random

async def handler(_reader, writer):
writer.write(b'HTTP\/1.1 200 OKrn')
try:
while True:
await asyncio.sleep(5)
header = random.randint(0, 2**32)
value = random.randint(0, 2**32)
writer.write(b'X-%x: %xrn' % (header, value))
await writer.drain()
except ConnectionResetError:
pass

async def main():
server = await asyncio.start_server(handler, '0.0.0.0', 8080)
async with server:
await server.serve_forever()

asyncio.run(main())

En tarpit er et utmerket verktøy for å straffe internettmobbere. Det er imidlertid en viss risiko for å tiltrekke deres oppmerksomhet mot serverens uvanlige oppførsel. Noen kan tenke på hevn og målrettet DDoS-angrep mot IP-en din. Så langt har det ikke vært slike tilfeller, og tarpits fungerer utmerket.

Kategorier:
Python, Informasjonssikkerhet, Programvare, Systemadministrasjon

Tags:
SSH, Endlessh, tarpit, felle, asyncio
Felle (tar pit) for innkommende SSH-forbindelser

En av systemadministratorene ved navn Chris Wellons, ble tydeligvis lei av å se på dette kaoset - så han skrev et lite program Endlessh, en tarpit for SSH som bremser innkommende forbindelser. Programmet åpner en port (som standard for testing angitt til port 2222) og later som om det er en SSH-server, men i virkeligheten oppretter det en uendelig forbindelse med den innkommende klienten til den gir opp. Dette kan vare i flere dager eller mer, til klienten faller fra.

Installasjon av verktøyet:

$ make
$ ./endlessh &
$ ssh -p2222 localhost

Som standard venter programmet 10 sekunder mellom sendingene av pakker. Dette forhindrer frakobling på grunn av tidsavbrudd, slik at klienten vil sitte fast for alltid.

Siden sendingen av data skjer før kryptografi brukes, er programmet helt enkelt. Det er ikke nødvendig å implementere noen krypteringer og støtte for mange protokoller.

import asyncio
import random

async def handler(_reader, writer):
    try:
        while True:
            await asyncio.sleep(10)
            writer.write(b'%xrn' % random.randint(0, 2**32))
            await writer.drain()
    except ConnectionResetError:
        pass

async def main():
    server = await asyncio.start_server(handler, '0.0.0.0', 2222)
    async with server:
        await server.serve_forever()

asyncio.run(main())

Asyncio er perfekt for å skrive tarpits. For eksempel, en slik felle kan henge Firefox, Chrome eller en annen klient i mange timer hvis de prøver å koble seg til serveren din:

import asyncio
import random

async def handler(_reader, writer):
    writer.write(b'HTTP\/1.1 200 OKrn')
    try:
        while True:
            await asyncio.sleep(5)
            header = random.randint(0, 2**32)
            value = random.randint(0, 2**32)
            writer.write(b'X-%x: %xrn' % (header, value))
            await writer.drain()
    except ConnectionResetError:
        pass

async def main():
    server = await asyncio.start_server(handler, '0.0.0.0', 8080)
    async with server:
        await server.serve_forever()

asyncio.run(main())

Kilde: habr.com