基于TTL的中间人劫持位置探测方法技术

本发明专利技术公开了涉及基于TTL的中间人劫持位置探测方法，劫持位置探测领域，包括S1、服务器的两个网口分别作为镜像网口和发包网口；S2、捕获镜像口流量，检测劫持，存在劫持，进S3；S3构造ICMP请求数据包，发包网口发送；S4构造探测流量数据包；TCP劫持进S5；UDP劫持进S6；S5拷贝SYN数据包信息，发包网口发送，完成三次握手，提取TCP数据请求载荷，封装TCP请求报文，发包网口发送，进S7；S6拷贝UDP请求数据包，提取UDP数据请求载荷，封装UDP请求报文，发包网口发送，进S7；S7、是否收到应答，是进S9；反之进S8；S8当下TTL值是否等于阈值，若否，递增TTL值返回S4；反之间隔时间后，返回S4；S9确定劫持位置；解决了基于TTL的中间人劫持点所处的区域定位问题。定位问题。定位问题。

【技术实现步骤摘要】
基于TTL的中间人劫持位置探测方法


[0001]本专利技术涉及劫持位置探测领域，尤其涉及一种基于TTL的中间人劫持位置探测方法。

技术介绍

[0002]在互联网发展的今天，各种攻击手段层出不穷，特别是现在的地缘性攻击愈演愈烈。区域内发现存在网络流量攻击时候，除了及时止损外，对攻击源的溯源工作也尤为重要。当检测出流量中存在攻击行为时，根据服务端IP地址溯源，通常只能得出客户端IP地址和服务器IP地址间存在攻击行为，但是攻击具体发生的区域则无法通过IP地址的分析而得出结论。

技术实现思路

[0003]本专利技术的目的就在于为了解决上述问题设计了一种基于TTL的中间人劫持位置探测方法。
[0004]本专利技术通过以下技术方案来实现上述目的：
[0005]基于TTL的中间人劫持位置探测方法，包括：
[0006]S1、Linux服务器的两个网口分别作为镜像网口和发包网口，镜像网口用与接收当前节点设备的镜像网络流量，发包网口接入互联网；
[0007]S2、Linux服务器的镜像网口连接节点设备的镜像口，对镜像口的流量进行全流量捕获，并实时进行TCP/UDP劫持检测，当检测某条流量存在TCP/UDP劫持时，进入S3；
[0008]S3、根据检测出的劫持流量构造traceroute命令对应的ICMP请求数据包，并通过发包网口发送该ICMP请求数据包，ICMP请求数据包的TTL值以初始值a和公差b的形式递增；
[0009]S4、根据检测出的劫持流量的五元组信息，构造探测流量数据包；若检测为TCP劫持，则进入S5；若检测为UDP劫持，则进入S6；
[0010]S5、拷贝检测流的SYN数据包信息，并通过发包网口进行发送，在镜像网口抓取到服务器应答的SYNACK数据包后，封装ACK数据，并通过发包网口进行发送，完成三次握手过程，提取TCP劫持链接中三次握手后客户端给服务端发送的TCP数据请求载荷，封装TCP请求报文，通过发包网口把请求报文发送出去，并进入S7；
[0011]S6、拷贝检测流的UDP请求数据包，并提取UDP劫持数据客户端给服务端发送的UDP数据请求载荷，封装UDP请求报文，通过发包网口把请求报文发送出去，并进入S7；
[0012]S7、判断是否收到劫持应答数据，若是则进入S9；反之则进入S8；
[0013]S8、判断当下TTL值是否等于阈值，若否，则递增TTL值，并返回S4；反之则间隔时间T后，令TTL值为初始值a，再返回S4；
[0014]S9、当TTL值为N未收到劫持数据，但TTL值为N+b时客户端请求数据被劫持，通过镜像口抓取的ICMP应答数据包进行计算服务端IP路由，则说明TTL值为N对应的服务端IP路由和TTL为N+b对应的服务端IP路由之间存在劫持。
[0015]本专利技术的有益效果在于：当检测出劫持流量，拷贝该流量五元组信息及TCP/UDP载荷数据。使用劫持流量的客户端IP地址构造特定ICMP数据包，TTL值开始递增，对劫持的服务端IP进行路由追踪。在镜像口捕获ICMP应答数据，当收到ICMP应答数据时，记录下整个路由追踪的IP信息，并与TTL值进行一一对应。使用先前拷贝的劫持流量五元组和TCP/UDP载荷数据，进行探测数据封装并发送。当TTL为N无劫持应答，为N+b存在劫持应答，则可以判断中间人劫持位置距离节点流量检测设备的路由跳数为N至N+b,即说明TTL值为N对应的服务端IP路由和TTL为N+b对应的服务端IP路由之间存在劫持。
附图说明
[0016]图1是本专利技术基于TTL的中间人劫持位置探测方法的处理流程示意图。
具体实施方式
[0017]为使本专利技术实施例的目的、技术方案和优点更加清楚，下面将结合本专利技术实施例中的附图，对本专利技术实施例中的技术方案进行清楚、完整地描述。显然，所描述的实施例是本专利技术一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本专利技术实施例的组件可以以各种不同的配置来布置和设计。
[0018]因此，以下对在附图中提供的本专利技术的实施例的详细描述并非旨在限制要求保护的本专利技术的范围，而是仅仅表示本专利技术的选定实施例。基于本专利技术中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本专利技术保护的范围。
[0019]应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。
[0020]在本专利技术的描述中，需要理解的是，术语“上”、“下”、“内”、“外”、“左”、“右”等指示的方位或位置关系为基于附图所示的方位或位置关系，或者是该专利技术产品使用时惯常摆放的方位或位置关系，或者是本领域技术人员惯常理解的方位或位置关系，仅是为了便于描述本专利技术和简化描述，而不是指示或暗示所指的设备或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本专利技术的限制。
[0021]此外，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。
[0022]在本专利技术的描述中，还需要说明的是，除非另有明确的规定和限定，“设置”、“连接”等术语应做广义理解，例如，“连接”可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接连接，也可以通过中间媒介间接连接，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以根据具体情况理解上述术语在本专利技术中的具体含义。
[0023]下面结合附图，对本专利技术的具体实施方式进行详细说明。
[0024]如图1所示，基于TTL的中间人劫持位置探测方法，包括：
[0025]S1、Linux服务器的两个网口分别作为镜像网口和发包网口，镜像网口用与接收当前节点设备的镜像网络流量，发包网口接入互联网；
[0026]S2、Linux服务器的镜像网口连接节点设备的镜像口，对镜像口的流量进行全流量
捕获，并实时进行TCP/UDP劫持检测，当检测某条流量存在TCP/UDP劫持时，进入S3；
[0027]S3、根据检测出的劫持流量构造traceroute命令对应的ICMP请求数据包，并通过发包网口发送该ICMP请求数据包，ICMP请求数据包的TTL值以初始值a和公差b的形式递增，a为1，b为1，ICMP请求数据包的源IP为劫持流的客户端IP地址，目的IP为劫持流的服务端IP地址；
[0028]S4、根据检测出的劫持流量的五元组信息，构造探测流量数据包；若检测为TCP劫持，则进入S5；若检测为UDP劫持，则进入S6；
[0029]S5、拷贝检测流的SYN数据包信息，在内存中修改SYN数据包IP头部的Identification字段、IP校验和、TTL值设置为1、TCP源端口、TCP的SEQ初始值、TCP校验和，并通过发包网口进行发送，在镜像网口抓取到服务器应答的SYNACK数据包后，封装ACK数据，并通过发包网口进行发送，完成三次握手过程，提取本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.基于TTL的中间人劫持位置探测方法，其特征在于，包括：S1、Linux服务器的两个网口分别作为镜像网口和发包网口，镜像网口用与接收当前节点设备的镜像网络流量，发包网口接入互联网；S2、Linux服务器的镜像网口连接节点设备的镜像口，对镜像口的流量进行全流量捕获，并实时进行TCP/UDP劫持检测，当检测某条流量存在TCP/UDP劫持时，进入S3；S3、根据检测出的劫持流量构造traceroute命令对应的ICMP请求数据包，并通过发包网口发送该ICMP请求数据包，ICMP请求数据包的TTL值以初始值a和公差b的形式递增；S4、根据检测出的劫持流量的五元组信息，构造探测流量数据包；若检测为TCP劫持，则进入S5；若检测为UDP劫持，则进入S6；S5、拷贝检测流的SYN数据包信息，并通过发包网口进行发送，在镜像网口抓取到服务器应答的SYN ACK数据包后，封装ACK数据，并通过发包网口进行发送，完成三次握手过程，提取TCP劫持链接中三次握手后客户端给服务端发送的TCP数据请求载荷，封装TCP请求报文，通过发包网口把请求报文发送出去，并进入S7；S6、拷贝检测流的UDP请求数据包，并提取UDP劫持数据客户端给服务端发送的UDP数据请求载荷，封装UDP请求报文，通过发包网口把请求报文发送出去，并进入S7；S7、判断是否收到劫持应答数据，若是则进入S9；反之则进入S8；S8、判断当下TTL值是否等于阈值，若否，则递增TTL值，并返回S4；反之则间隔时间T后，令TTL值为初始值a，再返回S4；S9、当TTL值为N未收到劫持数据，但TTL值为N+b时客户端请求数据被劫持，通过镜像口抓取...

【专利技术属性】
技术研发人员：代先勇，邓金祥，俞祥基，易涛，牟其林，侯俊龙，袁伟，许贤龙，周川，
申请(专利权)人：成都锋卫科技有限公司，
类型：发明
国别省市：