Black Hat USA 2000 - Bypassing Intrusion Detection Systems

這場技術演講系統性地分析了入侵偵測系統的防禦原理及其固有弱點。演講者開篇強調安全是持續的過程，沒有完美的防禦機制，理解這些限制才能改進防禦策略。

網路型入侵偵測系統的核心運作機制是透過分析網路封包中的特定模式來識別攻擊。這個過程涉及兩個關鍵的系統資源：第一是 IP 分片重組隊列，用於接收和重新組裝被分割的 IP 封包；第二是 TCP 工作階段隊列，用於追蹤跨越多個封包的通訊流。IDS 需要將這些分散的數據片段正確重組，然後與已知攻擊簽名比對。然而，演講者強調，這個看似簡單的過程實際上存在根本性的弱點——IDS 對封包的解釋方式可能與目標主機不同。

IP 分片攻擊是最直接的繞過方法。如果 IDS 根本不支援分片重組，攻擊者只需簡單地分割攻擊負載即可完全逃避偵測。即使 IDS 支援分片重組，攻擊者仍可利用不同作業系統對重疊分片的不同處理方式。例如，某些系統會用後來的分片覆蓋先前的數據，而另一些則保留先前的數據。演講者進一步說明了一種資源耗竭攻擊——發送大量初始化分片片段來填滿 IDS 的隊列記憶體，然後在隊列已滿且 IDS 無法進一步處理時，完成真正的攻擊。由於 IDS 資源已耗盡，它將無法檢測真實攻擊。

TCP 層面的失同步攻擊更加複雜且難以防禦。TCP 協議規定了嚴格的序號、確認號和各種控制位元規則，但不同的實作在細節上存在差異。演講者以 TCP 檢查和為例——每個 TCP 封包都包含一個檢查和欄位，用於驗證資料的完整性。攻擊者可以發送一個具有無效檢查和的封包。IDS 會接受它並加入工作階段隊列（在簽名比對時造成污染），但目標主機的核心會驗證檢查和並直接丟棄該封包。這樣攻擊者就在 IDS 的視圖中植入了目標主機實際上看不到的數據。類似的技術還包括操縱 TCP 序號——發送序號超前或落後的封包，使 IDS 的流量重組與實際主機接收到的流量不同。

時間活躍值 (TTL) 攻擊利用了網路拓撲的特性。如果 IDS 位於網路邊界前方且離目標伺服器有多個路由跳躍，攻擊者可以發送 TTL 值較低的封包。這些封包會被 IDS 看到，但在到達目標主機之前耗盡 TTL 並被路由器丟棄。演講者指出，許多組織有複雜的網路拓撲，特別是大型政府機構，可能有五到六個以上的路由跳躍。最大傳輸單元 (MTU) 濫用則利用了不同網路路徑的不同 MTU 設定。攻擊者可以發送超過某個 VPN 或撥號連接的 MTU 的封包，但設置「勿分片」位。第一個邊界路由器會丟棄該封包（因為它無法分片），但 IDS 可能已經將其納入分析，造成誤判。

應用層協定帶來了另一維度的問題。以 HTTP 為例，Web 伺服器實現非常寬容，接受多種合法但非標準的 URI 形式。演講者提到 Whisker 工具展示了如何使用各種 URI 變體來繞過簽名——包括額外的斜線、反向遍歷序列、不存在的目錄等。這些變體在伺服器端通常會被規範化為相同的資源，但傳輸層的 IDS 無法窮盡所有可能的形式。Telnet 協議中的退格鍵問題更加說明了這一點。標準簽名可能尋找「su root」命令，但使用者可以輸入「su（退格）root」，使傳輸線上看到的字符序列完全不同。演講者指出，即使 IDS 試圖理解退格邏輯，不同的終端設定也會導致不同的解釋——沒有完整的線上資訊來判斷接收方實際理解了什麼。

主機型入侵偵測系統面臨一個根本性的困境——它們必須運行在一個不受信任的作業系統上。一旦攻擊者獲得系統存取權限，他們可以修改核心甚至整個作業系統的行為。演講者提到著名的 ITFS 核心模組只有幾千行代碼，卻能隱藏特定進程、檔案和網路連接。這些隱藏是透過攔截系統呼叫實現的，但基於檔案完整性檢查的工具（如 Tripwire）只會發現核心本身已被修改，而不是發現真實的入侵痕跡。庫重定向是另一種相似的技術——攻擊者可以修改動態連結器，使得執行任何命令時都先執行惡意程式。演講者強調了日誌分析的脆弱性——攻擊者可以進入系統並禁用日誌記錄，或更隱蔽地修改日誌以移除自己的痕跡。

演講者也分析了針對 IDS 基礎設施本身的攻擊。許多組織運行多個 IDS 代理程式並將資料集中到單一伺服器（如大型 Oracle 資料庫），這個中央伺服器本身可能成為拒絕服務攻擊的目標。此外，IDS 通常有可識別的特徵——DNS 中註冊的主機名、特定的連接重置方式、開放的管理介面連接埠。這些特徵允許攻擊者在攻擊前識別系統類型，進而採用針對性的繞過策略。

實際的攻擊者在計劃繞過 IDS 時會考慮多個因素：網路是否有多個進入點，是否存在 IDS 無法處理的協議（如路由協議 OSPF、BGP），以及是否可以透過慢速掃描、隨機化或分散式掃描來避免觸發偵測閾值。演講者特別指出，分散式拒絕服務攻擊工具（如 Trinoo 和 TFN）的代理架構也可用於分散式連接埠掃描——多個源各發送少量連接會難以被相關性檢測系統識別為掃描活動。