是否存在对GFW实施直接攻击的可能性？

ohdodo

1楼大中小发表于 2009-6-16 11:45 只看该作者

是否存在对GFW实施直接攻击的可能性？

我不知道小组里真正了解网络技术的同学有多少，试着探讨一下吧，我自己对技术了解不是很多，但如果能有机会找到一个大家能努力的方向，我觉得还是有好处的。因为在我看来使用代理或者VPN只是解决了少部分人的问题，大多数人还是没办法接收到全面的信息，这样下去民主意识只会成为小众游戏，未来就算因为经济问题导致政权易手，大多数惯于接受极权奴役的人恐怕只会倒向另一个极权，如果是这样，我想是非常悲哀的结果。

那么接下来谈一下我目前的一些简单思路：

第一点，GFW目前所知的屏蔽手段有三种，DNS劫持，IP过滤，页面重置。页面重置这种手段又分成对URL中包含的关键字过滤和页面内容中的关键字过滤。那么对于这些屏蔽手段，具体分别是由哪些硬件实施？是路由器还是计算机？

第二点，这些硬件设备的OS是否有方法探知？它们在互联网上是否有路径接触到？

第三点，在能了解到以上的信息以后，是否有可能寻找漏洞并发起攻击？方法有哪些？需要多少硬件资源的支持？

目前想到的就是这些，欢迎大家讨论。另外请注意确保自己隐私安全。管理员如果觉得话题危及论坛，请予以删除。

Terminusbot 整理，讨论请前往 2049bbs.xyz

ohdodo

2楼大中小发表于 2009-6-16 11:50 只看该作者

附一篇参考文档

http://www.yeeyan.com/articles/view/brio/5959

库存袈裟

@bruceku 想象力比知识更重要。

3楼大中小发表于 2009-6-16 12:22 只看该作者

之前有人做过这样的实验，想用海量并发拖垮过滤路由，但是这几脚都踹在了大海里，墙的宽广超乎想象。

raul1943

柔软时光

4楼大中小发表于 2009-6-16 12:45 只看该作者

想法不错。。。。但以卵击石呀，TG花了纳税人那么多钱搞出来的墙。唉，网络柏林墙。

油炒橙子

@dachengzi，1995，14。网球爱好者、苹果爱好者。

5楼大中小发表于 2009-6-16 17:39 只看该作者

即使弄跨了……也只会造成线路断开……

abrazieey

6楼大中小发表于 2009-6-16 19:49 只看该作者

非常支持你的创意想法，本人不是专业IT人事，对编程，网络不了解，不过愿意去开源软件小组那里打听打听。有结果，我回到这个帖子上答复你

ohdodo

7楼大中小发表于 2009-6-17 21:40 只看该作者

谢谢楼上，其实也不能算创意，从我一个外行的角度看，只要这些设备在广域网上使用了IP，或者只要是不完全处在独立的内网环境里，那么就有攻击的可能性。关于攻击的效果则是第二个问题了，因为只要可能性存在，那么剩下的就是尝试的问题。即便目前不能成功，未来总是有希望。

另外如果不能发起直接攻击，另一个思路就是把tor一类的软件做成类似病毒一样，让它具备自动传播能力。不过这个难度我觉得更大，涉及到杀毒软件和防火墙的因素，而且软件作者自己要有道德约束。

还有就是不知道大家有没有关心过前段时间的暴风影音事件，如果有类似这样四两拨千斤的机会的话，那很多看似不可能的事情也就有可操作性了。

冷眼看剑

骚人默客

8楼大中小发表于 2009-6-17 23:28 只看该作者

过滤设备好像是cisco的东西，悲剧的是我正在学cisco。。。

杂食

@buluo89

9楼大中小发表于 2009-6-17 23:39 只看该作者

你们这想法都不灵

我有个办法。就是。。。。。。。。。。。。。。。。。。。。。。。。。。。。

。。。。。。。。。。。。。。。。。。

弄一个没有DNS的BBS。

gglongdd

10楼大中小发表于 2009-6-18 11:11 只看该作者

摆渡中。非专业人士学习ing

ohdodo

11楼大中小发表于 2009-6-18 13:50 只看该作者

引用:

原帖由冷眼看剑于 2009-6-17 23:28 发表

过滤设备好像是cisco的东西，悲剧的是我正在学cisco。。。

的确是cisco，前两年不是美国政府因为这个事准备弄他们，不过后来好像不了了之了

另外没有dns的bbs效果不大，大多数人根本就不会知道，就算知道了又有几个人能记得住IP，就算记住IP了….可以参考爱城的case

库存袈裟

@bruceku 想象力比知识更重要。

12楼大中小发表于 2009-6-18 13:55 只看该作者

回复 9楼杂食的话题

IP照G不误

刻录光盘

13楼大中小发表于 2009-6-18 17:16 只看该作者

这个是个问题，我在香港学习CISCO的老师就是GFW的初步构建部署的设计人员之一

因为相关部门给了很多钱，所以CISCO开放了一些IOS给他们自己修改，所以GFW上用的一些设备的IOS可以说是“自主知识产权”的

这个要瓦解，必须从内部啊

ohdodo

14楼大中小发表于 2009-6-18 17:44 只看该作者

那就很奇怪了

你说汉芯、麒麟还有绿坝之类的表现出来的技术水平完全不在一个档次啊

冷眼看剑

骚人默客

15楼大中小发表于 2009-6-19 01:27 只看该作者

回复 14楼 ohdodo 的话题

术业有专攻嘛

sandlong

16楼大中小发表于 2009-6-19 09:15 只看该作者

关于墙的技术讨论

看到一篇关于墙的技术讨论，作者似乎是在Redmond的同仁：

——————————————————————————————————

看来最近射击墙的理论已经几乎要进入实战了.  

1\. 今天周曙光在博客上写了对53端口的UDP 攻击可以实现. 相信不少人看到了.  

2\. 几星期前, 译言的一篇关于墙的工作原理的论文得到翻译, 也讲了对墙的 DDoS 方法  

3\. 一个多月前, 我在一个讨论组也发了类似的信, 可以借助在国外访问国内网址并且加入穿墙词攻击墙.  

看来, 对于墙发动分布式攻击的时机和理论慢慢成熟了,  但是现在没有人去做这个事情. 在此, 我提几个大纲性质的东西, 供大家参考:  

1\. 墙的计算能力是不可测的. 墙后面会异步的挂机群, 随时计算. 因此, 大计算量暂时打不倒墙. 墙也不会才去OCR搞图片或者反解简单加密的内容.  

2\. 墙的存储能力是极其有限的. 为了保证包匹配的快速, 墙必然在路由层面建立了匹配表. 匹配表的快速查找的需求决定了墙不可能有很大的存储空间(O(logN) 甚至 O(N) 查找时间). 而墙的设计漏洞在于, 一个记录必须在存储器里面保留5分钟.  因此, 只要发动分布式射击, 墙必然会被包头塞满. 只要做到这一步, 墙就等于无用了.  

3\. 墙是点对点的. 所以, 单点射击不影响其他人使用. 在国内对国外放散弹或者在国外往国内放散弹都可以塞满墙的查找表.  

4\. HTTP 协议也可以用来打墙. 嵌在 IFrame 中的连接请求加上一个精心设计的 URL参数, 即可在墙上留一个枪眼五分钟. 无需任何资源. 无需对方配合. 这个为开发分布式提供了极大便利. 因为浏览器就是武器.  

同时, 鉴于没技术人员发起, 我暂时充当一下发起者. 有兴趣的开源开发者请踊跃参加, 争取拿金牌. 了解网络协议者优先, 会写 widget 或者 SNS App者优先. 有意者留言. 或许下一届奥运会射击金牌, 就是你的! 我真心的希望, 我们这一代人, 经过几年努力, 能拿到这个金牌. 毛主席说, 既要能绕开, 也要能主动攻击, 兵法即如此.

——————————————————————————————

但是所谓道高一尺魔高一丈，作为扩展的国家机器的墙的威力（计算能力）还是不容忽视的。

yiyan的这篇文章http://www.yeeyan.com/articles/view/40085/11992非常不错，很值得学习。在这篇文章的基础上做了几个简单的实验，发现目前的墙的算法还是很愚蠢的：

墙把url中的违禁pattern作为判断的重要依据，这样的好处是比较轻量级，比判断传送的网页的内容是否含有违禁pattern要轻量太多了，但带来的问题就是非常容易欺骗。例如www.sohu.com是什么会的官方站点，当然是根红苗正的，但是我可以在其访问的url上任意添加query

string, e.g. http://www.sohu.com/?falun, 于是墙傻乎乎上当了，sohu在我这里就屏蔽了数分钟。

由于我在墙外，所以我拿墙内的网站试验，在墙内的可以拿墙外的试验，例如可以尝试： http://whitehouse.gov/?falun ,

看看，白宫立刻被墙挥刀斩于马下。

————————————以下内容作废————————

2. 墙在url上另外一个设计局限是，显然墙把整个url path(query

string以前的部分）作为了封锁的键，而不是把整个域或IP地址（ip同样有问题，因为可能对应很多ip地址）。带来的问题是，对于一些通配域名（大多数blog提供商都采用通配域名），这有几乎是无限多的组合，那么一个站点就可以在墙的禁止表中产生无限多的记录，这为DDoS攻击提供了非常好的温床，一个简简单单的javascript代码就能成为墙的噩梦。

例如， sohu的blog服务是采用通配域名的，我们可以随意输入任何域名: 1.blog.sohu.com, 2.blog.sohu.com, …

都将解析成为一个有效的主机，实验表明，对1.blog.sohu.com采用一个含违禁词的query string,

导致1.blog.sohu.com被禁，而2.blog.sohu.com仍然有效。

基于此原理采用<img src=”http://site/?pattern”

/>就可以产生相同的效果。这就是说一个几行字的javascript可以轻松在不影响用户浏览，甚至用户不知情的情况下在墙上贡献n多个记录。如果这样的代码被放在有众多受众的web上，那么墙可能面临前所未有的冲击。

墙是否能因此而崩溃是不得而知的，因为对付这种类型的DDos并非困难。处于众所周知的原因，测试代码不在这里公布了，但稍有javascript知识的朋友就知道这太容易了。

——————————————以上内容作废—————————————

Updated: 墙还是比想象要聪明一些:

- 试验表明当同一个域名下的url撞墙次数过多后，所有此域名下的url都会撞墙，因此上述简单地用通配域名应该是不行的。

看来很可能还是通过IP地址来进行封锁的而并非url.

刚才手工试验的时候只是尝试了1，2，a,b几个子域名，而*.blog.sohu.com有多个IP地址轮流服务的，因此刚才试验很可能是恰好轮流到一个没有被封的ip了。

- 对这种情况下url撞墙封锁的时间貌似很短，只有1分钟到几十秒

再次Update:

考虑了一下，既然墙封锁的是ip而不是url中的host,

也不需要那么麻烦，采用javascript随机（或者在一定范围内随机）产生IP地址的办法是很简单的.

这样的副作用是，也许不小心就把你需要的IP也给墙了，在网页上放这样的代码可能造成用户体验的不佳。对于产生的无效地址是无所谓的，无效的地址和被墙掉的地址区别不大。

我的实验代码采用setTimeout() 和 <img src= />,

每500ms更换一个新的地址，根本不关心request发出去后怎么样，试验表明无效地址对浏览器端不构成什么影响。

俺的实验结果设想：

既然墙临时封锁的策略是（IP dest, IP src）的匹配, 查找是不需要O(n)或O(log(n))

而应该是线性的，且所占也空间很小，即使是人海战术，由于墙的计算能力、memory空间都可能是规模巨大的，因此这种ddos很可能不行。

Angelo

17楼大中小发表于 2009-6-19 23:20 只看该作者

是可以实现的但是前提是需要可以和他势均力敌的计算机机组

sillyboy

18楼大中小发表于 2009-6-21 01:28 只看该作者

问题在于，墙如果被DDoS，在这个如果之前，先说明一下。

墙目前在省主干和国内外进出口主干都存在。

国内对国内，省主干起作用，国内对国外（相互），进出口主干起作用。

意味着你要同时提交国内和国外的两种请求。

墙是强制过滤系统吗？如果被D成功，是否代表着上网的所有请求都不能被处理，也是否代表所有的请求都会被延迟过高而Fail掉？

杂食

@buluo89

19楼大中小发表于 2009-6-21 02:04 只看该作者

可能我说的不清楚

我说的没有DNS就是没有IP， IP当然跟域名一模一样。

我的意思是，弄一个客户端，类似于 BT或者 Emule,

比如100个人就可以把一个BBS的内容分在每人都硬盘上，

除非这100个人同时不上网。

大意如此

杂食

@buluo89

20楼大中小发表于 2009-6-21 02:11 只看该作者

两个思路，server端和客户端。

server端：直接攻击墙，

client 端：放弃dns,利用客户端程序，通过sns组成1一个网上的网。

这个网不可能被封锁，因为它存在于每个机器上。每个机器只有一部分数据，

nustbobo

不明真相的群众，目睹俯卧撑、躲猫猫、撞墙死、临时工等一系列怪

21楼大中小发表于 2009-6-25 09:43 只看该作者

我猜墙有两种可能的工作方式，一种是对路由器做了加强，可以深度检测报文，遇到敏感报文就直接丢掉，这样做对技术上的要求和对设备的要求都很高，报文的深度检测比较耗资源，国内的能做高端路由器的只有中兴和华为，据我的了解这两家应该还没有这个实力，如果是cisco的话那么cisco需要为GFW定制路由器。

另外一种方式就是GFW是个服务器群，所有进出的报文都会经过这个服务器群的检测然后才能进出，好像这个实现起来会更方便一点？

Stony

22楼大中小发表于 2009-7-17 00:27 只看该作者

举手

过客

23楼大中小发表于 2009-7-17 08:14 只看该作者

被扫盲一下，

很振奋的前景，期待

麦圆

Twitter @math2gold 惊诧的火星友邦咪咪是 /math2ogld

24楼大中小发表于 2009-7-17 16:24 只看该作者

固然是可能的，如楼上的一些回帖说的原理，不过要有足够多的ip，这也是为什么还要搞绿坝等的其他方式。

如果ip足够多，每人访问的足够多的敏感网站，特别是疑似敏感网站，崩溃是必然的。

还有就是，一般对http做firewall的，肯定会对http头进行分析，为设计方便一般会构造一个缓冲区，通常缓冲区的size是64k。如果推测成立，那么单行或者什么可能是整个http头大于64k的话便可能造成防火墙的缓冲溢出。

wilsonmess

KAMI

25楼大中小发表于 2009-7-17 17:48 只看该作者

这可是思科的硬件墙啊，不太可能吧。。。

不敬神的YODA

五毛你好，五毛再见

26楼大中小发表于 2009-7-18 16:39 只看该作者

希望可以攻击

无机客

27楼大中小发表于 2009-7-18 22:05 只看该作者

这么麻烦，干脆物理破坏吧。用微波武器

温斯顿

Winston Smith

28楼大中小发表于 2009-7-18 22:28 只看该作者

看完16L感觉很振奋。

似乎IP的问题待到IPv6普及后会有一定改观，毕竟到那时IP将不再像如今这么稀缺，而墙直接砍IP的做法也就事倍功半了。不过现阶段国内也在慢慢上IPv6，我想或许墙也会转战新的策略，来对待一站多IP的办法吧…

（新人处女贴，就发这儿了。）

luugoo

拖延心理学：向与生俱来的行为顽症宣战】https://1984bbs.com/viewthread.php?tid=60185

29楼大中小发表于 2009-7-18 23:00 只看该作者

外行一名，看了很晕。

原来工作的单位，有一个全单位共用的代理网址，专门用来上多维、港台媒体之类的。不知根LZ说的有没有关系。。。

CMGS

虚空中的神

30楼大中小发表于 2009-7-18 23:03 只看该作者

GFW已经具有一定程度的AI了。。一段IP地址发送的需过滤信息过多的话都会给封杀。。典型的AI算法啊

luugoo

拖延心理学：向与生俱来的行为顽症宣战】https://1984bbs.com/viewthread.php?tid=60185

31楼大中小发表于 2009-7-18 23:09 只看该作者

呃，这个是不是《2009匿名网民宣言》里所说的？

其實，從六月八日綠壩計劃曝光到七月一日之間。受綠壩而催發，中國互聯網另有一件影響深遠的事件，那就是誕生了一份《2009匿名網民宣言》。這份以「你好，中國政府網絡審查部門」開頭的宣言，既闡明了匿名網民也就是每一個普通網民對當前政權的立場：「沒有人想要更迭你的政權，我們對你陳舊的政權概念和意識形態爛醃菜毫不感興趣」；也闡述了匿名網民之所以反抗審查的原因和目標：「網絡化是你無法阻擋的歷史潮流，是人類社會發展的未來方向。」「為了保衛互聯網的自由，為了推動人類網絡化的前進，同時也為了我們自己的網絡權利，我們將對你的網絡審查體系進行系統性破壞並展現你所謂網絡審查體系在真正網絡力量之前的渺小。」

我对这个特别好奇。难道这些人真的有技术，有能力吗？那他们到底开始行动没有？

最近网络封锁的越来越厉害了，他们早就该行动了啊~

[ 本帖最后由 luugoo 于 2009-7-18 23:19 编辑 ]

CMGS

虚空中的神

32楼大中小发表于 2009-7-18 23:10 只看该作者

其实只要墙有IP暴露就一定能攻击。。。缓冲区溢出呐=。=恩

luugoo

拖延心理学：向与生俱来的行为顽症宣战】https://1984bbs.com/viewthread.php?tid=60185

33楼大中小发表于 2009-7-18 23:37 只看该作者

http://insurgen.info/wiki/Operation_Cntroll

这个有用么？

应该以前有人转过。

Emanon

34楼大中小发表于 2009-7-18 23:49 只看该作者

估计系统对于国内和国外的网站是两种应对方法，对国内的网站只会“勒令整改”，永远不会墙；而国外的网站就会直接墙掉。而且如果某个ip过多查询“不良”网址的话，估计它会直接断掉该ip的任何请求……

liuropot

我们是共匪。

35楼大中小发表于 2009-7-19 09:18 只看该作者

只有一种办法：给服务器上尿尿！这是目前为止最有效的方法了。楼上各位的回复、分析都是空想。其中16楼的分析过于简单。GFW升级过多次，各省的机房里计算与黑洞已经分离了。DDOS没有任何用处，就算发动千万级的肉鸡去俯卧撑只不过多出点汗而已。这几天我这里的tracert/route/等几个工具都屏蔽了，试了很多种办法都不太好找GFW位置。无论你域名访问还是IP都要经过GFW，这个东西处于交换机和路由之间，和它平行的是黑洞、计算分析。这种王八、强盗的部署，从软件上来攻破几乎不存在可能，GFW是分布在各省出口上工作的，它不是在一个地方，而是很多地方。

麦圆

Twitter @math2gold 惊诧的火星友邦咪咪是 /math2ogld

36楼大中小发表于 2009-7-19 10:32 只看该作者

人儿善；码德善正梦去人正确善剧，通庵善慈幻剧；高去拂顿兴电丽知丽他幸福如幸天如，兴确方他简高正庵法人。乐欢你戏欢怀通自丽去简高方；笑天悲顿福爱顿庵法自…初地悲他幻顶雷；顿顿知你悲欢儿圆，剧笑爱习笑梦。繁简繁初悲自道怀容我；圆习灵慈…；知顿。去知德儿乐；来丽顿慈耶。乐高乐天我；确悲兴幻佛。幻笑；顿雷繁兴灵我电爱儒容来经道嘛笑天正来梦灵自电明笑经如方兴正人可乐去兴来地容乐德丽。我方欢顿高灵天容儿自剧灵笑；电顿名圆幸繁。，天自来怀耶美嘛来幸来名顶笑庵习名习电知雷爱笑…儿知地法慈慈自如电幸高确佛习电圆通去庵剧道…。顶剧梦高人佛人善福庵电德法乐儒福，，明圆儿繁如…丽我梦法乐通繁天道雷确方善可确天貌；你笑圆美乐码儒耶嘛正可人雷我去道；我悲丽爱来我欢我善德经方自你方貌福道去剧儒方知嘛…雷德顶高善名电福通顶灵灵慈灵电道习圆爱德初你圆可去法戏拂福繁明耶地经善道名善圆雷码可戏

luugoo

拖延心理学：向与生俱来的行为顽症宣战】https://1984bbs.com/viewthread.php?tid=60185

37楼大中小发表于 2009-7-20 09:41 只看该作者

对ls的解码。。。

GFW应该是分布式的，过去可能不是，但起码它是在每个地方的路由有监控节点，因为如果全国都集中到一个地方处理，这么大的信息两早已经能让服务器崩溃了。所以地里攻击不大可行啊。软件上解决还是可以的，当然单机不行，分布式系统自然也需要分布式攻击咯。

不敬神的YODA

五毛你好，五毛再见

38楼大中小发表于 2009-7-20 10:53 只看该作者

计算机盲期待有高人能够发动攻击哇~我给高人送钱去

黄阿狗

金玉其内败絮其外

39楼大中小发表于 2009-7-20 18:57 只看该作者

给服务器上尿尿！

mybbs1984

地上の人生を無駄にするな！毎日毎日を無駄にするな！

40楼大中小发表于 2009-7-21 16:53 只看该作者

引用:

原帖由刻录光盘于 2009-6-18 17:16 发表

这个是个问题，我在香港学习CISCO的老师就是GFW的初步构建部署的设计人员之一

因为相关部门给了很多钱，所以CISCO开放了一些IOS给他们自己修改，所以GFW上用的一些设备的IOS可以说是“自主知识产权”的

这个要瓦解 …

疑似当事人

iridiumcao

41楼大中小发表于 2009-7-21 16:57 只看该作者

回复 9楼杂食的话题

? 这样的话, 封IP就行了.

萧易寒

42楼大中小发表于 2009-7-21 17:11 只看该作者

回复 32楼 luugoo 的话题

这个世界不是拍电影，没有救世主，只有靠自己，每个人都是V

萧易寒

43楼大中小发表于 2009-7-21 17:14 只看该作者

回复 16楼 sandlong 的话题

译言的那篇文章只考虑的关键字和URL屏蔽的Reset原理，提出墙是并行系统

事实上，墙的IP屏蔽，应该是串行系统

麦圆

Twitter @math2gold 惊诧的火星友邦咪咪是 /math2ogld

44楼大中小发表于 2009-7-21 21:56 只看该作者

还是这么说吧，世界上不存在不需要成本可以抵御DDOS攻击的系同。所以，不过要让GFW出问题，那么只要有足够多的尝试出口连接去访问一些意思敏感的网站，那么GFW肯定会到一定临界就出问题的。如果加之一些诸如让系统溢出的尝试，理论上应该能提高攻击的效率，或者说可以降低其临界点。

这样做，即使不让其崩溃，也会导致其维护成本不断提高。我想这也是要伸手到桌面制造绿坝的理由之一。

萧易寒

45楼大中小发表于 2009-7-21 22:06 只看该作者

回复 45楼麦圆的话题

每天那么多人在搜索关键字，不就是DDOS吗？

另外，墙的关键字嗅探系统是并行的（参见译言那篇文章）

不如黑了绿坝，让绿坝客户端去攻击墙

麦圆

Twitter @math2gold 惊诧的火星友邦咪咪是 /math2ogld

46楼大中小发表于 2009-7-22 01:05 只看该作者

GFW是分布式系统，所以各地开关城门的时间不是一致的。

GFW的设计对于关键字数量及精确度和负荷之间的关系肯定要匹配才行。也就是说，平时如果GFW正常运行，那就像网页服务器正常运行那样，只要提供相应数量的处理机，或者说节点，自然能满足负荷的要求。不过如果一下子增加很多需要被监控的流量，同时内容似是而非，肯定会增加符合。

绿坝这个软件太垃圾，估计就是给人拿来做肌肉媒介而已。如果实际增加GFW负荷，可能一大群人运行一些网页访问脚本，２４小时不断向不同网站查询阅读一些似是而非的敏感内容，相信即便不崩溃，也需要投入资金增加机器或者降低系统精度。

萧易寒

47楼大中小发表于 2009-7-22 11:04 只看该作者

回复 47楼麦圆的话题

关键字嗅探是并行的，请看译言那篇文章

也就是说大流量，并不会对系统产生多大影响，GFW最多放弃过滤一些信息