牛b的rpc分片，大牛来围观。。。

madexin1988 · 发表于 2013-3-5 14:32:28

rpc请求，黑客把请求数据进行分片，以躲避IDS等网络安全产品的检测。wireshark抓包如下：

第21个包的rpc数据：

第25个包的rpc数据：

。。。。。

现在有个疑惑：
第25个包的rpc负载怎么判断是1-25,第26个rpc负载是2-26的呢。。。
求解！

madexin1988 · 发表于 2013-3-5 14:39:00

不能判断下一个分片的偏移，后续没办法进行重组呀！！！

xxx314 · 发表于 2013-3-7 14:25:17

madexin1988 · 发表于 2013-3-7 17:50:41

这个的确触发漏洞，但是总不能让IDS遇到操作码是31的就报警吧？

所以，现在的思想是把这些分片进行重组！

madexin1988 · 发表于 2013-3-7 17:52:22

就是把rpc分片的请求数据进行缓存重组呗。。。

xxx314 · 发表于 2013-3-8 13:27:29

我感觉估计还是是普通的分片了之后的一个数据组装的。。。

xxx314 · 发表于 2013-3-8 13:27:31

我感觉估计还是是普通的分片了之后的一个数据组装的。。。

madexin1988 · 发表于 2013-3-8 14:57:31

第25分片负载(1-25)起始偏移"1"何解呀？？

xxx314 · 发表于 2013-3-8 16:03:22

这个应该跟它这个规避的方式有关吧。。。。
组装我感觉还是是在tcp/ip协议栈这里搞定的。。。。。
具体应该看它使用了哪种算法。。。。。