我们知道，IDS（入侵检测系统） 的主动响应系统“阻止会话”的机制是：IDS将会向通信的两端（服务器端和客户端）各发送三个TCP RESET包，此时通信双方的堆栈将会把这个RESET包解释为另一端的回应，然后停止整个通信过程，释放缓冲区并撤销所有TCP状态信息，从而实现主动 切断连接的目的。
这时，客户端浏览器看到的现象通常是，打开某一个网页，浏览器提示“连接被重置”而无法查看页面。
IDS在逻辑上是与路由器分离的，很难从路由传输队列中去除或者延迟“有害”报文，通过RESET关闭连接相对较为简单而易于实现，那么，如何绕过IDS“会话阻止”机制呢？
标准的TCP协议，客户端收到RESET包后会中断连接，但是，如果终端两边的节点同时忽略TCP RESET，那样，即使触发了IDS，防火墙也对HTTP传输没有任何影响，这就通过忽略RESET包实现了突破IDS的“会话阻止”功能。
在Linux可以用iptables的此命令实现：
iptables -A INPUT -p tcp --tcp-flags RST RST -j DROP
来丢弃传入的RST置位报文。如果是FreeBSD的ipfw那么命令是这样的：
ipfw add 1000 drop tcp from any to me tcpflags rst in
因此，在网页传输过程中，可以将中间夹杂的一些防火墙的TCP复位报文完全忽略，因为它们对客户端的TCP/IP栈没有任何影响，客户端仍然继续接收网页。
以上思路翻译自Ignoring the Great Firewall of China，点这里可以下载其PDF文件， 原文很长，内容较多。我自己在Ubuntu系统上，在终端中使用iptables测试，的确可以实现忽略客户端RESET报文的功能，Firefox浏览 器再也没有出现“连接被重置”的信息，可惜由于服务器端RESET信号没有被忽略，导致客户端不能与服务端同步握手，浏览还是有问题，不过，如果服务器段 都可以识别并忽略这些伪造的RESET报文，那么两边的通讯就会正常了。
--
Posted By GFW Blog to GFW BLOG at 10/12/2009 09:36:00 AM
--~--~---------~--~----~------------~-------~--~----~
1、请点击www.chinagfw.org访问我们，订阅地址：http://feeds2.feedburner.com/chinagfwblog。2、需要Psiphon2注册邀请的朋友，请向english@sesawe.net发送电子邮件请求，说明 "can I have psiphon2 access" 并告诉您所在的国家。也可以使用Twitter Direct Messages或登陆Psiphon网站直接向Psiphon索取使用邀请。3、GFW Blog现提供最新翻墙工具下载（地址一、二、三），翻墙（突破网络封锁）方法介绍请见本站anti-censorship部分。4、本站热烈欢迎各位朋友投稿或推荐文章，请发邮件至chinagfwblog[at]gmail.com。5、敬请关注、支持、参与Sesawe和黑箱监管集体诉讼。
To unsubscribe from this group, send email to
gfw-blog+unsubscribe@googlegroups.com
For more options, visit this group at
http://groups.google.com/group/gfw-blog?hl=zh-CN
-~----------~----~----~----~------~----~------~--~---
博文
没有评论:
发表评论