使用 eBPF 和 Rust 模拟开放端口，实现欺骗端口扫描器

在网络安全领域,端口扫描是攻击者常用的一种侦察技术。通过扫描目标主机的端口,攻击者可以了解哪些服务正在运行,从而为进一步的攻击做准备。作为防御者,我们可以采取一些措施来混淆或欺骗端口扫描器,增加攻击者的难度。本文将介绍如何利用eBPF和Rust来模拟开放端口,从而欺骗端口扫描器。

在深入技术细节之前,我们先回顾一下TCP三次握手的过程以及它与端口扫描的关系:

客户端发送SYN包给服务器

服务器回复SYN-ACK包

客户端发送ACK包给服务器

这个过程对于端口扫描非常重要。当扫描器发送SYN包到目标端口时:

如果端口开放,会收到SYN-ACK响应

如果端口关闭,会收到RST-ACK响应

因此,通过发送SYN包并分析响应,扫描器可以判断端口是否开放。这就是所谓的SYN扫描或半开放扫描技术。

我们的目标是编写一个eBPF程序,拦截特定端口范围内的SYN包,并模拟回复SYN-ACK,让扫描器误以为这些端口是开放的。这里我们选择9000-9500这个端口范围作为示例。

设置eBPF程序

首先,我们需要设置eBPF程序来过滤出我们感兴趣的数据包:

fntry_syn_ack(ctx:XdpContext)-Resultu32,ExecutionError{//获取以太网头部leteth_hdr:*mutEthHdr=get_mut_ptr_at(ctx,0)?;//检查是否为IPv4数据包matchunsafe{(*eth_hdr).ether_type}{EtherType::Ipv4={}_=returnOk(xdp_action::XDP_PASS),}//获取IP头部letip_hdr:*mutIpv4Hdr=get_mut_ptr_at(ctx,EthHdr::LEN)?;//检查是否为TCP数据包matchunsafe{(*ip_hdr).proto}{IpProto::Tcp={}_=returnOk(xdp_action::XDP_PASS),}//获取TCP头部lettcp_hdr:*mutTcpHdr=get_mut_ptr_at(ctx,EthHdr::LEN+Ipv4Hdr::LEN)?;//后续代码}

这段代码首先检查数据包是否为IPv4和TCP,如果不是则直接放行。

过滤目标端口

接下来,我们需要检查TCP数据包的目标端口是否在我们感兴趣的范围内:

//检查目标端口是否在9000-9500范围内letport=unsafe{u16::from_be((*tcp_hdr).dest)};matchport{9000..=9500={}_=returnOk(xdp_action::XDP_PASS),}

这里我们将目标端口从网络字节序转换为主机字节序,然后检查是否在9000-9500范围内。如果不在这个范围,我们就放行数据包。

识别SYN包

我们只对SYN包感兴趣,因为这是端口扫描的第一步:

//检查是否为SYN包letis_syn_packet=unsafe{match((*tcp_hdr).syn()!=0,(*tcp_hdr).ack()==0){(true,true)=true,_=false,}};if!is_syn_packet{returnOk(xdp_action::XDP_PASS);}

这段代码检查TCP头部的SYN标志是否设置,同时ACK标志未设置。这正是SYN包的特征。

构造SYN-ACK响应

现在我们已经确认这是一个针对我们目标端口范围的SYN包,接下来就要构造SYN-ACK响应:

//交换以太网地址unsafe{core::mem::swap(mut(*eth_hdr).src_addr,mut(*eth_hdr).dst_addr)}//交换IP地址unsafe{core::mem::swap(mut(*ip_hdr).src_addr,mut(*ip_hdr).dst_addr);}//修改TCP头部为SYN-ACKunsafe{core::mem::swap(mut(*tcp_hdr).source,mut(*tcp_hdr).dest);(*tcp_hdr).set_ack(1);(*tcp_hdr).ack_seq=(*tcp_hdr)._be()+1;(*tcp_hdr).seq=1_be();}

这段代码完成了以下操作:

交换以太网源地址和目标地址

交换IP源地址和目标地址

交换TCP源端口和目标端口

设置ACK标志

设置确认号(ack_seq)为收到的序列号加1

设置我们的初始序列号为1

这些修改将入站的SYN包转变为出站的SYN-ACK包。

发送修改后的数据包

最后,我们需要将修改后的数据包发送回去:

Ok(xdp_action::XDP_TX)

XDP_TX动作指示XDP框架将修改后的数据包从同一网络接口发送出去。

将所有部分组合在一起,我们得到了完整的eBPF程序:

fntry_syn_ack(ctx:XdpContext)-Resultu32,ExecutionError{leteth_hdr:*mutEthHdr=get_mut_ptr_at(ctx,0)?;matchunsafe{(*eth_hdr).ether_type}{EtherType::Ipv4={}_=returnOk(xdp_action::XDP_PASS),}letip_hdr:*mutIpv4Hdr=get_mut_ptr_at(ctx,EthHdr::LEN)?;matchunsafe{(*ip_hdr).proto}{IpProto::Tcp={}_=returnOk(xdp_action::XDP_PASS),}lettcp_hdr:*mutTcpHdr=get_mut_ptr_at(ctx,EthHdr::LEN+Ipv4Hdr::LEN)?;letport=unsafe{u16::from_be((*tcp_hdr).dest)};matchport{9000..=9500={}_=returnOk(xdp_action::XDP_PASS),}letis_syn_packet=unsafe{match((*tcp_hdr).syn()!=0,(*tcp_hdr).ack()==0){(true,true)=true,_=false,}};if!is_syn_packet{returnOk(xdp_action::XDP_PASS);}unsafe{core::mem::swap(mut(*eth_hdr).src_addr,mut(*eth_hdr).dst_addr);core::mem::swap(mut(*ip_hdr).src_addr,mut(*ip_hdr).dst_addr);core::mem::swap(mut(*tcp_hdr).source,mut(*tcp_hdr).dest);(*tcp_hdr).set_ack(1);(*tcp_hdr).ack_seq=(*tcp_hdr)._be()+1;(*tcp_hdr).seq=1_be();}Ok(xdp_action::XDP_TX)}

这个程序会拦截所有发往9000-9500端口范围的SYN包,并模拟回复SYN-ACK,让端口扫描器误以为这些端口是开放的。

让我们来看看这个程序的实际运行效果。首先,我们需要编译并加载这个eBPF程序:

$RUST_LOG=infocargoxtaskrun---iwlp5s0[2024-06-29T19:57:33ZINFOsyn_ack]WaitingforCtrl-C

这里我们假设wlp5s0是你的网络接口名称。

现在,让我们用nmap进行端口扫描:

$()at2024-06-2915:57EDTNmapscanreportfordlm(192.168.2.107)Hostisup(0.0084slatency).PORTSTATESERVICE9000/tcpopencslistener9001/tcpopentor-orport9002/tcpopynamid9003/tcpopenunknown9498/tcpopenunknown9499/tcpopenunknown9500/tcpopenismserver

我们可以看到,nmap报告9000-9500范围内的所有端口都是开放的。这正是我们的eBPF程序的效果-它成功地欺骗了端口扫描器,让扫描器误以为这些端口都是开放的。

虽然这个示例展示了如何使用eBPF和Rust来欺骗端口扫描器,但在实际应用中还有一些需要考虑的因素:

校验和计算：在我们的示例中,我们修改了数据包但没有重新计算校验和。在生产环境中,这可能会导致一些网络栈丢弃这些数据包。一个更完善的实现应该包括校验和的重新计算。

更复杂的扫描技术：我们的程序只处理了简单的SYN扫描。实际上,还存在其他更复杂的扫描技术,如FIN扫描、NULL扫描等。一个更全面的解决方案应该能够处理各种类型的扫描。

动态端口管理：我们硬编码了9000-9500这个端口范围。在实际应用中,你可能需要一个更灵活的方式来管理要模拟的端口。这可以通过eBPFmaps来实现,允许用户空间程序动态地更新端口列表。

日志和监控：在生产环境中,你可能想要记录扫描尝试。这可以通过eBPFmaps和用户空间程序的配合来实现。

性能考虑：虽然eBPF程序运行得很快,但在高流量的环境中,处理每个数据包可能会带来一些性能开销。你可能需要进行性能测试和优化。

通过使用eBPF和Rust,我们成功地实现了一个能够欺骗端口扫描器的程序。这个示例展示了eBPF在网络安全领域的强大潜力。它允许我们在内核级别操作网络流量,实现高效的包处理和修改。

这种技术不仅可以用于欺骗端口扫描器,还可以应用于更广泛的网络安全和管理任务,如负载均衡、防火墙、入侵检测系统等。通过深入理解TCP/IP协议栈和利用eBPF的灵活性,我们可以开发出更加强大和创新的网络工具。

然而,需要注意的是,这种技术应该谨慎使用。虽然它可以增加攻击者的难度,但也可能带来意想不到的副作用。在实际部署之前,需要进行充分的测试和风险评估。

总的来说,eBPF和Rust的结合为网络安全和管理提供了一个强大的工具集。通过不断学习和实践,我们可以充分利用这些技术来提高系统的安全性和性能。希望这篇文章能够激发你对eBPF和网络安全的兴趣,鼓励你进行更深入的探索和实践。