Quelle est la fragmentation de paquet?
Chaque paquet réseau a un MTU (Maximum Transmission Unit) de la taille. Le MTU est la taille du plus grand paquet de ce réseau qui peut transmettre.
Paquets de plus grande que celle autorisée MTU doit être divisé en plusieurs petits paquets, ou de fragments, pour leur permettre de parcourir le réseau.
| Réseau | Standard MTU |
|---|---|
| Ethernet | 1500 |
| Token Ring | 4096 |
Têtes des paquets
Chaque paquet IP a une adresse IP (Internet Protocol)-tête qui stocke des informations sur le paquet, y compris:
- Version
- Du droit international humanitaire
- Type de service
- Longueur totale
- Identification
- Drapeaux
- Fragment Offset
- Temps de vivre
- Protocole
- Tête de contrôle
- Source Adresse
- Adresse de destination
- Options
Note: Pour plus d'informations sur l'entête IP, consultez le document RFC 791 - Internet Protocol.
Trois de ces domaines sont impliqués dans la fragmentation de paquet.
- Identification
- Drapeaux
- Fragment Offset
Identification: 16 bits
Une identification valeur attribuée par l'expéditeur à l'aide de assemblant les fragments d'un datagramme.
Flags: 3 bits
Divers indicateurs de contrôle.
Bit 0: réservé, doit être de zéro
Bit 1: (DF) 0 = Mai Fragment, 1 = Ne pas fragmenter.
Bit 2: (MF) 0 = dernier fragment, 1 = Plus de fragments.
0 1 2
+---+---+---+
| | D | M |
| 0 | F | F |
+---+---+---+
Fragment Offset: 13 bits
Ce champ indique où, dans le datagramme appartient cette fragmenter.
Le fragment offset est mesuré en unités de 8 octets (64 bits). Le premier fragment a compensé zéro.
Tout comme l'entête IP, le protocole TCP (Transmission Control Protocol) tête stocke des informations sur le paquet:
- Port de la source
- Port de destination
- Numéro de séquence
- Numéro de reconnaissance
- Décalage de données
- Drapeaux
- Fenêtre
- Checksum
- Urgent Pointer
- Options
- Padding
Note: Pour plus d'informations sur l'en-tête TCP, consultez le document RFC 793 - Transmission Control Protocol.
Un exemple la fragmentation de paquet
Si un paquet de 2366 octets entre un réseau Ethernet avec une taille de MTU par défaut, il doit être fragmenté en deux paquets.
Le premier paquet sera:
- Être 1500 octets de longueur. 20 octets sera la tête IP, 24 octets sera la tête TCP, et 1456 sera octets de données.
- Ont le DF bit égal à 0 signifie "Mai Fragment" et le MF bit égal à 1 signifie «Plus de fragments."
- Avoir une fragmentation de l'offset 0.
Le deuxième paquet sera:
- Être 910 octets de longueur. 20 octets sera la tête IP, 24 octets sera la tête TCP, et 866 octets seront données.
- Ont le DF bit égal à 0 signifie "Mai Fragment" et le MF bit égal à 0 signifie "dernier fragment."
- Avoir une fragmentation de l'offset 182 (Note: 182 est 1456 divisé par 8).
La fragmentation de paquet attaque
La fragmentation de paquet peut être utilisé pour contourner des règles de blocage sur certains pare-feu.
Cela se fait par la tricherie avec la valeur de la Fragment Offset. L'astuce est de définir la valeur de la Fragment Offset sur le deuxième paquet si faible que, plutôt que de l'ajout de la deuxième paquet pour le premier paquet, il remplace en fait les données et d'une partie de l'en-tête TCP du premier paquet.
Disons que vous voulez `telnet» dans un réseau où le port TCP 23 est bloqué par un pare-feu de filtrage de paquets. Toutefois, le port SMTP 25 est admis dans ce réseau.
Qu'est-ce que vous voulez faire est d'envoyer deux paquets:
Le premier paquet serait:
- Avoir une fragmentation de l'offset 0.
- Ont le DF bit égal à 0 signifie "Mai Fragment" et le MF bit égal à 1 signifie «Plus de fragments."
- Avoir un Port de destination dans l'en-tête TCP à 25. Le port TCP 25 est autorisé, de sorte que le pare-feu qui permettrait paquet pour entrer dans le réseau.
Le deuxième paquet à:
- Avoir une fragmentation du 1 er offset. Cela signifie que le deuxième paquet se fait écraser tout, mais les 8 premiers bits du premier paquet.
- Ont le DF bit égal à 0 signifie "Mai Fragment" et le MF bit égal à 0 signifie "dernier fragment."
- Avoir un Port de destination dans l'en-tête TCP de 23. Ce serait normalement bloqué, mais ne sera pas dans ce cas!
Le filtrage de paquets de pare-feu va voir que le fragment offset est supérieur à zéro sur le deuxième paquet. À partir de ces données, il en déduire que le deuxième paquet est un fragment d'un autre paquet, et il ne sera pas vérifier la deuxième paquet contre la règle.
Lorsque les deux paquets arrivent à l'hôte cible, ils seront rassemblés. Le deuxième paquet va remplacer la plupart des le premier paquet et le contenu du paquet combiné sera au port 23.
 |
Libre blanc sur les documents de mise en réseau
Gestion des vulnérabilités pour les nuls
Nos amis sont à Qualys offre gratuitement des copies de la version électronique de gestion des vulnérabilités pour les nuls de Tech-FAQ lecteurs. Vulnerability Management for Dummies:
|  |
