Une fois, avant de défendre un autre travail de laboratoire, ils m'ont posé une question: quels champs d'un paquet IP peuvent être utilisés pour le matelassé? Je ne savais pas et je haussai simplement les épaules. Mais bientôt, j'ai quand même décidé d'étudier cette question.

Sous la coupe, vous trouverez l'étude des en-têtes de paquets IP, le propre utilitaire ping de Python et plusieurs façons de transférer des données sans attirer l'attention.

Table des matières

1. Structure des paquets IP
2. Réglage de l'environnement
3. Ping: option facile
4. Ping: option difficile
5. Des améliorations?

Structure des paquets IPv4

Sélectionnez les champs dont le changement n'affectera pas grandement le package:

Le DIH peut varier de 5 à 15.
Le champ ToS est utilisé pour hiérarchiser les notifications de trafic et de congestion sans perdre de paquets. Le plus souvent, ce champ est 0. Théoriquement, il peut être utilisé pour transmettre un octet entier d'informations.
La longueur du paquet est un excellent champ pour transmettre des nombres de 20 à 65535.
TTL peut transmettre jusqu'à 7 bits d'informations. Vous devez connaître le nombre de sauts vers l'hôte et en tenir compte.

Réglage de l'environnement

Pour répéter l'expérience, vous aurez besoin de deux machines avec Python et le framework scapy.

Vous pouvez l'installer en suivant les instructions de la documentation . Dans mon cas, il s'agissait de deux gouttelettes sur DO avec le réseau local activé. Pour tester l'opérabilité du stegano, deux itinéraires ont été choisis: via le réseau local pour 1 saut et via Internet pour 2 sauts.

Ping: option facile

D'abord, nous implémentons sender.py, qui enverra des paquets ICMP sans messages cachés.

from scapy.all import * #    10.0.0.2  icmp-type 8 (echo-request) pkt = IP(src="10.0.0.1", dst="10.0.0.2") / ICMP(type = 8) #      sr1(pkt) 

Scapy remplira les champs restants avec des valeurs par défaut avant l'envoi et calculera la somme de contrôle.

Du côté de la réception, écrivez listener.py, qui écoutera et affichera tous les paquets ICMP entrants.

 from scapy.all import * #    # filter --  icmp # timeout --   10  # count --    100  # iface --    eth1 packets = sniff(filter = "icmp", timeout = 10, count = 100, iface = "eth1") #      for pkt in packets: #     echo-request if pkt[ICMP].type != 8: continue #    pkt.show() 

L'en-tête de paquet IP a un champ identifiant. Remplissez-le avec les symboles «A» et «B»:

 payload = ord("A") * 0x100 + ord("B") pkt = IP(src="10.0.0.1", dst="10.0.0.2", id = payload) / ICMP(type = 8) 

De plus, dans l'en-tête ICMP, il y a exactement le même champ dans lequel deux octets peuvent également être chargés.

Modifiez l'écouteur pour afficher les données reçues:

 from scapy.all import * import sys packets = sniff(filter="icmp", timeout = 10, count = 100, iface="eth0") for pkt in packets: if pkt[ICMP].type != 8: continue #    a, b = divmod(pkt[IP].id, 0x100) sys.stdout.write(chr(a)) sys.stdout.write(chr(b)) sys.stdout.flush() 

Dans l'image et la ressemblance, vous pouvez remplir presque n'importe quel champ qui a été précédemment noté comme approprié pour la courtepointe.

Ping: option difficile

Le transfert de données du paragraphe précédent n'était pas le plus évident, mais nous pouvons le rendre encore moins évident. Vous pouvez masquer les données dans le champ de la somme de contrôle. Selon RFC1071, une somme de contrôle est (soudain!) Une inversion au niveau du bit d'une somme arithmétique légèrement plus complexe.


Nous savons que la somme de contrôle d'un paquet change à mesure que les nœuds traversent le réseau, à mesure que le TTL change. De plus, lors du passage par NAT dans le paquet, «l'adresse source» est remplacée, ce qui affecte également la somme de contrôle. Et combien TTL diminuera en atteignant notre auditeur ... La cerise sur le gâteau est que le témoin de l '"identifiant" coïncide avec le témoin de la somme de contrôle. Ce fait nous permet d'influencer la somme de contrôle et de la changer en n'importe quelle valeur de la zone de définition. Étant donné que la somme de contrôle (charge utile) sera calculée uniquement lors du passage du dernier nœud de la route, il est important de prendre en compte tout ce qui peut être modifié dans le paquet pendant la route lors du calcul.

L'algorithme de recherche de "l'identifiant", qui nous donnera la somme de contrôle souhaitée:

1. Nous configurons le package comme lors du passage sur le dernier nœud (IP, TTL, etc.)
2. Dans "l'identifiant", écrivez la charge utile
3. Nous calculons la somme de contrôle
4. Le résultat doit être écrit dans "l'identifiant" du paquet envoyé

Nous allons écrire une fonction qui formera un paquet par le nombre d'espoirs, les IP derrière NAT et deux octets de charge utile.

 # src -   # src_nat -    NAT # dst -   # dttl -       # a, b --      def send_stegano(src, src_nat, dst, dttl, a, b): #       payload = ord(a)*0x100 + ord(b) #         pkt = IP(dst=dst, src=src_nat, ttl=64-dttl, id = payload) / ICMP(type=8) #  Scapy  chksum pkt = IP(raw(pkt)) #     pkt[IP].src = src pkt[IP].ttl = 64 pkt[IP].id = pkt[IP].chksum #   chksum,  Scapy   del pkt[IP].chksum # Scapy      pkt = IP(raw(pkt)) #      sr1(pkt) 

Des améliorations?

• les champs chksum, seq, id dans l'en-tête du protocole ICMP peuvent également être utilisés pour transmettre des données
• Les ToS peuvent être utilisés pour identifier les packages "par eux-mêmes" et ignorer la demande d'écho des autres.