查找企业网中非法接入的WIFI设备(原创)
一、企业网络安全管理面临的新问题
现在计算机和移动智能设备越来越普及,有一些企业网用户不再满足于只让实名登记的、有实际办公用途的计算机上网,他们把家中的笔记本、智能手机、平板电脑带到单位,通过非法架设SOHO路由器、随身WIFI、安装免费WIFI软件等,绕过网络管理员的检测,实现非法接入企业网,然后就可以通过他们自己的设备实现一些移动平台的网络应用。这些SOHO路由器、随身WIFI的一个大卖点:“就是可以绕过检测,隐匿接入”,因为这些设备都可以关闭信号的广播发送,通过信号检测的方法也搜不到。
非法接入问题困绕了各个企业网的管理员,互联网论坛也随处可见各种讨论贴,但是都没有很好的解决办法。用户的非法接入行为给整个企业网络带来三个方面的严重影响:
1、最坚固的堡垒,往往都是从内部被攻破的,架设这些接入点的用户,他的本意可能不是破坏网络,但是他却为网络的安全留下了缺口。随处可见的接入点,让一个进入企业区域内的陌生人都可以接入到企业网络中,各级昂贵的网络边界设备都被绕过。众多非法接入点的存在,从某种意义上说,让企业网的一些区域变成了开放的网络,如果有人真想在网络内部搞点黑客行为是非常容易的。
2、大量合法的网络用户抱怨“带宽都去哪儿了”,非法接入的计算机和移动设备占用了大量的带宽,让整个企业网的运行效率降低。
3、破坏了网络管理的严肃性,让用户认为:“不被发现的,就是可做的”,为后继破坏网络的行为开了一个不好的先例。
二、几种常见的非法接入企业网方法
笔者从事网络管理工作多年,对用户的非法接入网络的方法十分了解,现详细介绍一下,这几种方法利用的都是IP-MAC地址绑定这个漏洞,IEEE规定每台计算机的网卡MAC地址是全球唯一的,所以在企业网的联网设备管理中基本上都是通过MAC地址加IP地址来识别1台联网设备,但这种管理办法现在已经面临挑战。
1、 SOHO路由器接入(分无线和有线)方法
SOHO路由器接入是一种“传统”的非法接入方法,最早是家庭宽带用户,通过这种方法把家里多台上网设备连网、多个家庭共享一条宽带等等,早年间,中国电信也是被此设备深深困扰。在家庭宽带中各用户都是PLAN隔离的,家庭用户这么去用,在安全方面对电信部门没有影响,顶多用点流量,但是在企业网中这种接入对安全影响很大,因企业网的用户之间是很少做安全隔离的。
这种非法接入方法,步骤分为4步:
(1)张三通过合法的流程从网络管理部门申请一个IP地址并要求联网。
(2)当网络管理员实地查看用户的计算机后,给其联网并完成IP地址实名制登记、IP-MAC绑定,由于IEEE规定MAC地址是全球“唯一”的,所以通过MAC地址和IP地址的绑定来识别张三的这台计算机,原则上“没有什么问题”。至此正常联网流程结束,张三可以上网了,如图1所示:
(3)张三私自购买并安装SOHO路由器,这种路由器的一大特点是可以克隆MAC地址,也就是说路由器的接口MAC地址可以改成和张三计算机网卡MAC地址一模一样的,这样网络管理员看到的还是张三的计算机,其实那个MAC地址已经变成了路由器,路由器下面可以连N多的计算机,SOHO路由器克隆MAC界面如图2所示。
图2:SOHO路由器可以随心所谓的改MAC地址
(4)SOHO路由器私接成功后,张三掌握了一个企业网接入点,他可以把自己的、同事的上网设备连上企业网,如果他把路由器接入密码保存的好,可能接入的用户范围很小,如果他大公无私的把密码公开,在他的那个范围内,谁都可以连入企业网,张三私接SOHO路由器后,连网拓扑如图3所示。
图3:私接SOHO路由器后,张三连网拓扑
2、随身WIFI接入方法
自从2013年6月360公司首先推出19.9元的360WIFI之后,小米公司和百度公司也推出了小米WIFI和小度WIFI,随身WIFI开始在企业网内泛滥,这些产品一方面确实象他们公司宣传的那样“无需培训、即插即用、小巧玲珑、价格低廉、安装方便,是居家旅行必备良品”,它极大的简化了无线智能设备接入网络,但另一方面,WIFI热点在企业网内的泛滥,对网络管理员来说却是一场噩梦,企业网可随处可见的安全性极低的接入点,严重的威胁着企业网络的安全、企业的各种信息也处于不安全的状态,所以重点要杜绝这种随身WIFI的泛滥。
为了更好的研究这种产品,笔者购买了360WIFI、小米WIFI、小度WIFI,并进行了测试,现以360WIFI为例,讲解用户非法接入过程,分为3步。
(1)企业网用户李四拥有一台合法上网的计算机,网管员也做了IP-MAC绑定。
(2)李四把360WIFI插入计算机的USB口,那么一切的安装工作基本上都是自动的,很快安装完成了,就会弹出图4所示画面。
图4: 360WIFI安装完成后的界面
(3) 李四的计算机具有了WIFI热点功能,现在大约30米范围内的各类无线设备都可以搜索无线信号,输入WIFI密码,就可以进行上网了。李四计算机的接入网络的拓扑变成了图5所示。
图5:安装360WIFI的计算机变成了一台AP设备
3、“免费WIFI”接入方法
这也是一种比较流行的方法,其实它是一种软件,它的实现方法很简单,就是要求联网计算机上安装一个USB无线网卡。企业网中对无线的使用限制非常严格,单位的笔记本电脑一般是通过有线连入网络的,这样笔记本电脑的无线网卡就空闲下来了,可以通过安装“免费WIFI”软件,把无线网卡变成一个无线AP。台式电脑也可以通过加装一块USB无线网卡,再安装“免费WIFI”软件,实现一样的功能。“免费WIFI”软件非常多,常见的有“360免费WIFI”,“WIFI共享精灵”等等,安装之后的效果和随身WIFI基本相同,在这里就不在详细介绍了。免费WIFI软件位置如图6所示。
图6:“免费WIFI”软件的位置
4、几种隐匿性不强,较少人使用的方法
还有ICS(Internet连接共享)、Proxy代理服务器、window开启路由服务等等,这些方法隐匿性较低,设置也略显繁琐,所以在企业网内用的人比较少,在这里就不做过多的介绍了。有网络评测说随身WIFI用的也是ICS模式,笔者经过深层次测试,可以肯定的说360随身WIFI及360免费WIFI用的不是ICS方法。
三、非法接入企业网方法的技术原理分析
如果想识别出非法接入点,就得了解对方使用的技术,了解它才能找到针对性的解决办法,现把几种接入方法的技术原理做个介绍。
1、SOHO路由器接入原理
路由器有位于网络中心的核心路由器、连接企业级网络的企业路由器以及把家庭或小单位用户接入网络的SOHO路由器。SOHO路由器能够实现自动配置和基本数据包路由、过滤功能。从严格意义上来讲,SOHO路由器并不能完全称之为路由器,它只实现部分传统路由器的功能。SOHO路由器采用NAPT(Network Address Port Translation)转换技术,把内部多个私用有IP地址转换成一个合法的公网IP地址,使私有网络中多台主机共享一个合法的IP地址访问因特网。综上所述,可以确定的是SOHO路由器使用了NAPT技术。
2、随身WIFI接入原理
随身WIFI现在流行的有三个品牌:360WIFI、小米WIFI、小度WIFI,它们所用的共享上网的方法其实并不一样,经测试表明,360WIFI技术领先,它就是为隐匿而设计的,我来介绍一下:
(1)360WIFI
当360WIFI在2013年推出的时候,因其低廉的价格、良好的性能、简便的操作很快引起轰动,众多的硬件评测网站,如:中关村在线、天极网等对其进行评测,现在这些评测文章在网上也比比皆是,其中都说360wifi使用了windows系统自带的ICS功能,之后评测就得出结论:“360wifi这类产品,技术含量低、可用性并不高、就是ICS+虚拟AP技术。”,经过笔者的测试证明,360公司刚开始是用了ICS技术,但是很快就用了他们自己公司开发的NAPT技术,他们在产品内部把这种NAT叫做QHNAT、360WIFINAT,功能强大、隐匿性极强。所以360WIFI也使用了NAPT技术。
(2)小米WIFI、小度WIFI
这两个产品是在360WIFI后面推出的,可能是受到360WIFI评测的影响,两款产品都是使用了ICS技术,所以相比较360WIFI,这两款产品隐匿性差一些、性能也不高。其实说白了ICS就是NAT的简化版,ICS在共享连接的时候主机和子机都要有相同的服务支持,用7层模型来看的话ICS是发生在高层,而NAT是发生在3,4层,是中间层次的转换,ICS比NAT效率低,隐匿性差。小米WIFI、小度WIFI使用了简化的NAPT技术(ICS)。
3、“免费WIFI” 接入原理
和随身WIFI一样,所谓的“免费WIFI”其实就是把USB无线网卡,装上随身WIFI软件,实现了随身WIFI的主要功能,只是在一些专有的细节方面不如随身WIFI。他们所使用的技术,无非也是NAPT技术。
4、什么是NAPT技术?
可以看出非法接入企业网的方法很多,但是归根到底都是使用了NAPT技术,什么是NAPT技术呢?NAPT普遍应用于接入设备中,它可以将中小型的网络隐藏在一个合法的IP地址后面,它将内部连接映射到外部网络中的一个单独的IP地址上,同时在该地址上加上一个由NAT设备选定的TCP端口号,也就是采用“端口复用”技术,将几个私有IP通过映射到一个合法的企业网IP上,实现私接设备网络通信。
四、从原理入手探讨识别方法
RFC3022文档中说NAPT工作在IP层,通过NAPT把内部地址翻译成合法的IP地址,在企业网中使用,具体的做法是把IP包内的私有IP地址+端口用合法的IP地址+端口来替换。NAPT设备维护一个状态表,用来把非法的IP地址映射到合法的IP地址上去,每个IP包通过NAPT设备时,拆解后进行重新组装,新的IP包发往企业网,因此接入到企业网中的一个IP地址可能被NAPT设备后面的无数个用户使用。
可以简单的理解,合法上网计算机和非法接入计算机之间在通信上的区别是:合法接入计算机把IP包直接发送到了网络,非法接入上网设备的IP数据包经过了私接的NAPT设备或软件。我们需要找出这些私接的NAPT设备或软件在IP包经过他们的时候,对IP包做了什么样修改,如果能找出修改点,我们也就能识别非法接入设备了。
实现互联网通信的标准协议是TCP/IP协议,无论是哪种设备要实现互联网通信的话,就一定要运行TCP/IP协议,并且要有一个IP地址。同理,NAPT设备要实现网络通信的话也需要通过TCP/IP协议。IP协议是TCP/IP协议族中最为核心的协议,所有上层协议如:TCP,UDP,ICMP,IGMP包括应用层的HTTP、FTP、DNS等应用,都要以IP数据包格式传输,IP数据包格式如图7所示:
图7: IP包格式
普通的IP头部长为20个字节,几个重要的数据段如下:
(1) Source IP Address (源IP地址),表明发送方。
(2) Destination IP Address (目的IP地址),表明接收方。
(3) Time to live(生存时间),表明IP包允许在网络中存活的时间。
(4) Identification(标识),用于标识来源自同一IP地址使用相同协议的报文,该值对同一<源IP,目标IP,协议>在生存期间是唯一的。
现在了解了IP数据包的关键数据段,把识别方法介绍如下:
1、通过IP包中的TTL数据段来识别非法接入的上网设备
TTL(Time To Live)生存时间字段设置了IP数据报能够经过的最大的路由器数,TTL字段是由发送端初始设置的,每个处理该数据报的路由器都需要将其TTL值减1,当路由器收到一个TTL值为0的数据报时,路由器会将其丢弃,TTL字段的目的是防止数据报在选路时无休止地在网络中流动。TTL值的变化如图8所示。
图8:经过标准的NAPT设备TTL变化情况
一台标准的NAPT路由软件或设备,会把经他发出的IP包中的TTL值减1。这里说的是标准的,也有不标准的,如果都是标准的,非常接入的识别问题就很简单了。
2、通过IP包中的Identification字段来识别非法接入的上网设备
在IP协议中Identification字段用于标识不同的IP包,为保证服务的正常,网络中必须确保来自同一IP地址使用相同协议的IP包应当有其唯一的Identification标识。在正常的情况下,同一台计算机在一个时间段内发来的发出的IP包中的ID号是连续。如图9所示:
图9:一台计算机在一个时间段内IP包中的ID值变化
因NAPT设备后面连接了多台上网设备,这些上网设备发出的IP包中的值是不相同的, NAPT设备也没有改变这些IP包的ID值,这种情况下,多台设备经NAPT上网时,NAPT的企业网IP那一端,发出的IP包ID是不连续,当检测到多个不同连续ID轨迹即可判断出是否用了NAPT设备。如图10所示:
图10:NAPT设备一个时间段内IP包中的ID值变化
在图9和图10可以看出,137.12.36.2是一台正常上网的计算机,而137.12.36.1是一台NAPT设备,其后连了两台上网设备,因为他的ID字段其实是分为两段序列,每一段都代表了一台设备。而且他的TTL值也是63,说明IP包经137.12.36.1发出来前就经过了一台路由器。
3、应用特征识别
有了TTL值和ID值的识别,好像可以检测到所有的非法接入设备了,实际上却不行,为什么呢?前文中已经说了很多公司,如一些SOHO路由器厂商以及360公司他们开发了自己的NAPT软件,但是他们却有意的做了一些隐藏技术,经过他们的NAPT设备转换的IP包TTL并不减1.
图11: 一台非标准的NAPT设备,经过它的包,TTL值并不减1
137.12.36.19是一台SOHO路由器,它发的IP包TTL是一个标准的windowsXP系统发出的IP包,TTL值并不象我们期望的那样减了1,所以TTL的检测手段对其无效。再看一个360随身WIFI的例子,如图12所示。
图12: 一台加装了360WIFI的计算机,经过它的包,TTL值并不减1
图12表达的,是一台加装了360wifi的计算机,但是经过了NAPT,IP包的TTL值也没有减1,从他的ID值的非连续性可以看出有两台设备上网。所以前文中说道了360WIFI的技术在随身WIFI中是领先的,小米和小度WIFI的TTL值就很容易检测出来。所以用TTL的方法检测非法接入,并不全面,有很多是检测不出来的。
那么用ID标识的方式是不是就很精确呢?实际情况也不是这样,因为如果知道这个IP地址对应的是一台NAPT设备的话,有针对性对这个IP地址进行检测,是可以验证这台计算机是否非法接入设备。但是企业网内有成千上万台计算机,首先不可能对每一个地址都进行单独检测,第二IP包中的ID标识绝大多数情况下是随线性分布,但是也有特殊情况,如使用到RSTP协议的一台设备、发送方的TCP/IP协议栈初始化了等等,这样ID表现就不是连续的,如图13所示。
图13: 一台使用RTSP协议的计算机,ID值变化大
在现有的硬件条件下,很难对企业网中成千上万台计算机发出的大量IP包中的ID标识做连续性的分析,这难度太大,也不现实。因此就需要使用第三种识别方法,应用特征识别:从行为学的角度来看,企业网用户私接NAPT设备的目的有一个,那就是让移动设备上网,如果上不了网,谁也不会去花钱冒风险去私接设备,如果上网的话就会用到一个最常用的HTTP协议。HTTP协议是用于从WWW服务器传输超文本到本地浏览器的传送协议,通俗的讲就是你无论用什么设备打开网页就会用到HTTP协议。
HTTP协议有一个特点,在使用HTTP协议进行请求时,HTTP协议头部会添加User-Agent,该信息可以标识请求者的一些信息,如什么浏览器类型和版本、操作系统,使用语言等信息。移动设备平台所用的系统和台式电脑是不一样的,如果在HTTP协议的头部发现User-Agent发现移动平台的标识,那么就可以确定,用户私接了NAPT设备。
图14: 协议特征码识别
如图14所示,137.12.37.168这台计算机私接了一个360WIFI,正让他的iPhone手机上网。有人可能会想了,如果我连了一台设备,我不打开网页,只是上QQ、微信、游戏,不就检测不到了吗?其实不然,这些软件好像都没有打开网页,没有用到HTTP协议,其实他们都或多或少的用到了HTTP协议,如QQ、微信中的页面,弹出的广告,要求你输入的一些信息,都是用HTTP协议通信的形式。所以,只要能识别HTTP协议中的请求包中的User-Agent字段中的设备信息就可以发现私接的设备。
4、随身WIFI和“免费WIFI”留下的后门
经过笔者多次测试,每当用户把随身WIFI插上电脑准备上网的时候,其实这些设备做的第一件事,不是让你的设备上网,而是把你的设备信息发到他们公司的服务器,让他们做用户统计(个人信息安全很重要呀!!!)。
(1)以360WIFI为例
当用户插上360WIFI的时候,360WIFI就会发送一个HTTP请求包到s.360.cn网站:/360wifi/freewifi_fail.htm……。
(2)以小米WIFI为例
当用户插上小米WIFI的时候,小米WIFI就会发送一个请求包到xiaomi.net网站:grayupgarde?......。
(3)以小度WIFI为例
当用户插上小度WIFI的时候,就会发一个请求包到xdu.baidu.com网站:getupdateinfo……。
其它的各种随身WIFI、免费WIFI产品都是如此,笔者也不在赘述了。
5、总结一下识别方法:
(1)可以用IP包的TTL字段检测标准的NAPT设备。
(2)用IP包的ID标识来进一步确认用户的私接行为及确认用户私接的设备台数。
(3)用HTTP协议中的User-Agent字段来检测私接上网的移动设备,从而确认用户私接了NAPT设备。
(4)用几种随身WIFI和免费WIFI的后门,来识别用户非法接入行为。
五、根据识别理论,开发识别系统
现在我们己经在理论上知道如何识别非法接入的SOHO路由器及WIFI热点,现在要做的是把这些理论用一个软件系统表达出来。
1、开发工具选用
笔者选用的开发工具是Microsoft Visual Studio 2012,开发语言选用了C#,报文组件选用了WinPcap+SharpPcap。Vs2012是windows平台上最强的IDE开发工具,没有之一,C#是最适用于.Net FrameWorks架构的开发语言,WinPcap是Win32/64环境下用于捕获网络数据包并进行处理的开源库,SharpPcap是用C#语言对WinPcap进行封装使之适用于C#语言面向对象的特性的开源库。
安装WinPcap4.1.3、安装VS2012旗舰版,建立解决方案和项目,在项目中引用SharpPcap4.2,调试好开发环境。
2、设计思路及系统功能
此软件使用了很多C#高级编程,如协议分析、委托、线程等,涉及很多的TCP/IP底层数据包的知识,光一个数据包的拆解封装类可能就要写上几页内容、一个符合WinPcap过滤引擎语法的过滤字符串可能就要写上一页。由于源代码太长,不方便贴出,另外我也不想把这个写成VS2012、C#、WinPcap的使用说明,如需源代码,请联系笔者。
首先我来谈谈设计思路:系统的设计思路是设置WinPcap过滤器把需要分析的网段数据包通过SPAN技术,发到一个镜象接口,镜象接口连接的开启混杂模式的网卡会捕获这些数据包,软件中包到达线程不停把数据包放在一个队列中,后台处理线程不停的把数据包取出拆解,分析其中是否有非法接入特征,如果有就交显示线程显示出来,如果没有就丢弃。
根据软件的使用界面来介绍一下系统功能。
图15:识别系统功能区域
(1)选择要分析包的网卡
一台计算机可能会有多块网卡,有物理网卡、有虚拟网卡,此组合框让用户选择需要捕获包的网卡。
(2)开始按钮
当点击开始按钮后,并且用户选择了需要捕获网卡,首先就要开始对选中的网卡进行设置:在包到达事件中注册处理方法、在包停止事件中注册处理方法、设置过滤器、开始界面刷新线程、把网卡工作设置在混杂模式、开始包捕获线程,软件开始工作。
(3)结束按钮
当点击结束按钮后:终止包捕获线程、关闭网卡捕获、注消包到达处理方法、注消包停止方法、同步结束界面刷新线程。
(4)存储捕获包功能
可以让用户选择是否存储捕获的数据包,因为软件关闭后,软件界面显示的数据包将清空,如果非法接入的用户拆了私接的设备后不承认他的非法接入行为,就可以调出存储的数据包,再现捕获时用户非法接入的行为数据。存储的数据包符合 WinPcap标准,世界上最常用的协议分析软件Sniffer、WireShark、Omnipeek等都可以打开。
(5)导出非法IP
可以把识别为非法接入的用户IP地址导出到一个单独的export.txt文件中,方便用户查看。
(6)定义分析网段
一个企业网内部有很多的IP地址段,可以自己定义,这个功能主要是增加软件的通用性,也就是说,拷贝出去拿到哪里都可以用,因要防范盗版,此软件的定义分析网段功能被笔者锁定,不能更改,只能在淮南矿业集团内部使用。
(7)数据包识别窗口
此窗口由一个后台线程负责刷新,它和捕获包线程协同工作,捕获包线程不停的包到达的包存放到一个queue中,它的功能是把数据包从queue中取出来,拆开数据包查看是否有前面的章节中我们分析非法接入特征,如果有把此数据包的关键属性交给显示线程,显示在识别窗口。
(8)识别结果窗口
此窗口也是由后台线程刷新,当出现一个新的符合非法接入特征的IP地址时,把这个IP地址和原因,显示在识别窗口。
(9)协议分析窗口
此窗口中的数据由数据包识别窗口中的用户选择来触发,当用户需要查到一个数据包的详细头部信息时,就可以点击具体的条目,此窗口就会列出数据包的Ethernet头部、IP头部、TCP头部/UDP头部信息供用户分析。
(10)数据包内容显示窗口
此窗口的数据和“协议分析窗口”中的数据同步,“协议分析窗口”是显示数据包的头部信息,而它是显示数据包的负载信息。
(11)包捕获状态统计
同步刷新显示,识别了多少包、其中IP包有多少、TCP包有多少等等。
六、非法接入识别系统如何部署
首先我们来看下简化的企业网的逻辑结构:
图16:简化的企业网逻辑结构图
从图16中可以看出,XXXX的所有电脑上网都要经过一个企业网汇聚交换机(也就是XXXX的核心交换机)。以一台企业网用户电脑为例,标准的TTL值有很多种,不同的操作系统,发出的IP包的TTL标准值不相同,标准值有:TTL=255、TTL=128、TTL=64、TTL=32等等。假设这台电脑IP包的TTL=64,如果下级没有路由设备的话,到达汇聚层交换机时TTL依然是64。
以XXXX网络为例,其它各矿以及上一级的管理员都可以用同样的方法。
图17:识别系统部署位置
在矿核心交换机上使用SPAN技术,这种技术主要是用来监控交换机上的数据流,利用SPAN技术我们可以把交换机上某些想要被监控端口(以下简称受控端口)的数据流COPY或MIRROR一份,发送给连接在监控端口上的装了识别系统的计算机。
步骤如下:
(1)设置SPAN
在矿核心交换机上设置
XZK-C4506#show run | in monitor
monitor session 1 source vlan 2 – 4094 //全部 vlan的数据包
monitor session 1 destination interface Gi6/29 //mirror一份到gi6/29口
(2)把安装了非法接入识别系统的计算机连接到 gi6/29接口。
(3)双击打开“非法接入识别系统”,选择好网卡,并点击开始按钮
七、实际应用效果
通过各种精心的准备,识别非法接入系统己经开始运行了,现在看看效果。
图18:实际应用效果图
识别系统开始运行后,识别的结果让网络管理人员感到吃惊,除了合法登记的,有十几个用户私接了设备进行上网,在没有识别系统的情况下,根本就不可能发现他们,因为他们都用了MAC克隆技术,关闭了无线信号发送,使用传统的方法就在网络管理员的眼皮底下也不可能发现,有了识别系统之后,企业网络非法接入问题得到了解决。
八、总结
企业网用户非法接入问题,原来一直困扰着企业网的管理人员,也包括笔者自己,互联网各大技术论坛上也到处是寻求解决问题的求助贴,一些标榜可以识别的系统经笔者测试,效果很差,如国内一个卖的很好的软件,宣称可以识别非法接入,经测试,发现它竟然是通过MAC地址的前24位来识别,MAC地址由48位的二进制数构成,前24位为厂商段,标识的是生产厂商,也就是说只要是这个厂商生产的,软件它就认为是路由器,这种识别方法是不合理的,非法接入就是克隆MAC地址来绕过检测的,再用MAC来当成识别非法接入的依据,那是不会成功的,而且可以肯定的是,无协议分析能力的识别系统是不可能识别出来非法接入的。