HttpTunnel解读和防御

1. 简介

httptunnel是通过HTTP通道来传输其他协议数据的工具软件,下载地址为:http://www.http-tunnel.

com,目前最新版本3.0.5

2. htc

htc是客户端,安装在防火墙内部网络一侧

htc源文件包括htc.c, common.c, tunnel.c, http.c, base64.c这几个文件和port目录下的库

程序流程:

main.c (htc.c)

  parse_arguments (argc, argv, &arg); 解析命令行参数, htc.c

  如果转发端口 (arg.forward_port != -1),在此端口打开socket监听 s = server_socket (arg.forward_port, 0), 

      backlog=0, 其实不收连接, 注意用了SO_REUSEADDR选项, common.c;

  进入死循环 for (;;);

    如果定义输入输出的终端设备(arg.device),打开设备fd = open_device (arg.device),common.c;

    否则如果定义了转发端口(arg.forward_port != -1),输入输出通过连接的socket来进行fd = wait_for_connection_on_socket (s),就是accept() , htc.c;

    打开一个新的通道  tunnel = tunnel_new_client (arg.host_name, arg.host_port,

      arg.proxy_name, arg.proxy_port,

      arg.content_length); tunnel.c

    注意tunnel结构中的in_fd, out_fd都初始化为-1,表示没有连接, 缺省的content_length是100K字节.

    设置通道的一些选项:strict_content_length, keep_alive, max_connection_age, user_agent这些在HTTP头说明中会用到, 支持代理;  

    如果要进行代理认证(arg.proxy_authorization != NULL),将认证参数进行base64编码,作为通道的proxy_authorization参数;

    通道连接对方tunnel_connect (tunnel), tunnel.c, 建立http tunnel,主要是调用

      函数tunnel_write_request (tunnel, TUNNEL_OPEN, auth_data, sizeof auth_data)

        如果要写入和已经写入的数据长度超过content_length, 对tuenel进行填充;

          对于客户端已经连接好的tunnel,超时时进行断开;

          对于断开(或第一次连接)的客户端, 调用tunnel_out_connect (tunnel)发起连接

            调用do_connect()连接服务器(第一个连接), socket描述符为tunnel->out_fd.

            设置该socket的一些选项;

            调用shutdown(out_fd, 0), 不接收数据;

            调用http_post()函数向服务器发送HTTP的POST命令; http.c



          调用tunnel_write_data (tunnel, &request, sizeof request)函数向服务器写要执行的请求(此时为TUNNEL_OPEN)



          继续写data部分,先写长度,然后是数据(此时为dummy的auth_data=42, length=1)

          (即HTTP的POST命令向服务器写TUNNEL_OPEN命令和一个dummy数据)

          然后进行数据长度判断是否在此连接中数据写多了

      进入函数tunnel_in_connect (tunnel) , 数据进入的连接

        调用do_connect()连接服务器(第2个连接),socket描述符为tunnel->in_fd.

        设置该socket的一些选项;

        调用http_get()函数向服务器发送HTTP的GET命令; http.c

        调用shutdown(in_fd, 1), 不再写数据;

        调用http_parse_response (tunnel->in_fd, &response)解析HTTP服务器返回数据;

        处理统计信息

    此时tunnel_connect完成

    进入下一个循环

      poll选择用户的输入设备fd和网络tunnel的in_fd(第2条连接)数据,也就是用户的输入信息和服务器返回的信息进行对倒:

                        fd输入->tunnel->out_fd输出; tunnel->in_fd输入->fd输出.

      handle_input()

        handle_device_input()处理用户输入信息, common.c

      handle_input()

        handle_tunnel_input()处理来自通道的信息, common.c

客户端一共向服务器发起了两个连接, 第一个连接用于发送数据,第2个连接用于接收数据

3. hts

hts是服务器端,安装在外部网络一侧

hts源文件包括hts.c, common.c, tunnel.c, http.c这几个文件和port目录下的库

main() (hts.c)

  parse_arguments (argc, argv, &arg); 解析命令行参数, hts.c

  调用tunnel = tunnel_new_server (arg.port, arg.content_length)建立新的tunnel的服务端;

    初始化tunnel, in_fd, out_fd都为-1

    在tunnel->server_socket监听 server_socket (tunnel->dest.host_port, 1), backlog=1, 注意用了SO_REUSEADDR选项, common.c;

  设置通道的一些选项:strict_content_length, keep_alive, max_connection_age, 这些在HTTP头说明中会用到;  

  写PID文件

  进入死循环

    如果定义输入输出的终端设备(arg.device),打开设备fd = open_device (arg.device),common.c;

    tunnel_accept接受外部连接, tunnel.c

      accept()连接

      解析HTTP协议请求数据: http_parse_request (s, &request), http.c

        POST或PUT命令, 将此socket设置为tunnel的in_fd, 用于接收客户端的数据;

        GET命令, 将此socket设置为tunnel的out_fd, 用于发送去往客户端的数据;

    如果设置了转发端口(arg.forward_port != -1), 调用do_connect连接到这个端口,描述符为fd, 注意这个连接是本机的

         自己连自己的内部连接, hts起到代理转发作用, 目标端口也就是真正的被HTTP包裹的协议端口.

    进入下一个循环

      poll: fd 和tunnel->server_socket, 也就是网络通道数据和内部连接数据对倒

      handle_input()

        handle_device_input()处理fd输入信息, common.c

      handle_input()

        handle_tunnel_input()处理来自通道的信息, common.c

服务器端接收了客户端的两个连接, POST命令对应的连接服务器接收数据, GET命令对应的连接服务器

发送数据

    

4. 防御

对于http tunnel的防御, 可以根据以下方面(或的关系):

1)过滤POST/GET URL关键字: "/index.html?crap="

2)htc发的HTTP请求部分并不在一个包内发完, 分多次小包发送, 可以严格限制此类连接;

3)HTTP数据一般都是成比较大的块的,如果在连接中发现多次传输小包,可能是http tunnel;

4)根据数据行为检查,如果两机器间的HTTP同时存在POST/PUT和GET的连接,而且数据传输并不是很顺畅

,总有一定中断然后突发一阵,可能是http tunnel;

5. 总结

http tunnel利用HTTP的POST和GET两个命令建立了两个连接, 分别用于客户端向服务器发送和接收数

据, 而且考虑到了HTTP数据的合法性, 会随时检查所接收或发出的数据是否超过content-length规定

的长度, 如果是则填充完后重新开连接进行处理新的数据, 保证了数据始终是合法的HTTP数据, 完全

等价于客户端在同时用HTTP协议在上传和下载一个大文件, 文件数据中不需要不需要任何的HTTP命令

或HTML语言标志, 某篇文章中试图以此来检查是行不通的.

对于http tunnel的防御, 由于它完全遵守了HTTP协议, 用HTTP协议异常来检测是检测不到的, 防御

的1,2措施只是制标, 因为代码公开, 完全可以修改成其他URL和完整的HTTP包头一次发送; 防御3,4只

是理论上的,需要相当的智能化处理才有可能不误伤正常HTTP数据, 资源消耗大,更适合在IDS而非防火

墙上进行.