纯纯的技术文章转载：忽略RESET报文

coredump

我们知道，IDS（入侵检测系统）的主动响应系统“阻止会话”的机制是：IDS将会向通信的两端（服务器端和客户端）各发送三个TCP RESET包，此时通信双方的堆栈将会把这个RESET包解释为另一端的回应，然后停止整个通信过程，释放缓冲区并撤销所有TCP状态信息，从而实现主动切断连接的目的。
　　这时，客户端浏览器看到的现象通常是，打开某一个网页，浏览器提示“连接被重置”而无法查看页面。
　　IDS在逻辑上是与路由器分离的，很难从路由传输队列中去除或者延迟“有害”报文，通过RESET关闭连接相对较为简单而易于实现，那么，如何绕过IDS“会话阻止”机制呢？
　　标准的TCP协议，客户端收到RESET包后会中断连接，但是，如果终端两边的节点同时忽略TCP RESET，那样，即使触发了IDS，防火墙也对HTTP传输没有任何影响，这就通过忽略RESET包实现了突破IDS的“会话阻止”功能。
　　在Linux可以用iptables的此命令实现：
　　iptables -A INPUT -p tcp --tcp-flags RST RST -j DROP
　　来丢弃传入的RST置位报文。如果是FreeBSD的ipfw那么命令是这样的：
　　ipfw add 1000 drop tcp from any to me tcpflags rst in
　　因此，在网页传输过程中，可以将中间夹杂的一些防火墙的TCP复位报文完全忽略，因为它们对客户端的TCP/IP栈没有任何影响，客户端仍然继续接收网页。
　　以上思路翻译自Ignoring the Great Firewall of China，点这里可以下载其PDF文件，原文很长，内容较多。我自己在Ubuntu系统上，在终端中使用iptables测试，的确可以实现忽略客户端RESET报文的功能，Firefox浏览器再也没有出现“连接被重置”的信息，可惜由于服务器端RESET信号没有被忽略，导致客户端不能与服务端同步握手，浏览还是有问题，不过，如果服务器段都可以识别并忽略这些伪造的RESET报文，那么两边的通讯就会正常了。
---------------------------------------------
请大家保持队形，进行纯纯的技术讨论

earthengine

RESET本身是有作用的，对于服务器来说，要是忽略报文则服务器开销会加大很多。原因很简单，客户端本身会因为各种原因无法正常完成TCP链接的正常结束（比如，客户应用程序非法操作，出现未捕捉的异常等），操作系统的TCP堆栈对于这种情况一般会简单地发送RESET了事（因为处理FINAL报文的程序已经不存在了）。这时候，服务器需要马上释放与该客户端连接相关的资源。

但是就GFW的RESET而言，有一点可以利用的就是它发送的RESET报文没有正确的序列号。这样的话，服务器端遇到RESET时可以首先检查其序列号是否合法，如果不合法就加以忽略。

bfox

小范围的没问题，如果是大范围的用的话，估计会被gwf发现的。 那样就失去了意义。

yuba

原帖由 bfox 于 15-10-2009 22:26 发表

                               
登录/注册后可看大图

小范围的没问题，如果是大范围的用的话，估计会被gwf发现的。 那样就失去了意义。

帮助 GFW 查缺补漏是每个中国人的义务

热泪庆祝 GFW 把 http://www.python.org/download 封了

四香油饼

原帖由 yuba 于 16-10-2009 11:12 发表

                               
登录/注册后可看大图

帮助 GFW 查缺补漏是每个中国人的义务

热泪庆祝 GFW 把 http://www.python.org/download 封了

为啥这个夜风呢？

coredump

原帖由 四香油饼 于 16-10-2009 11:53 发表

                               
登录/注册后可看大图

为啥这个夜风呢？

估计受python.com影响 (小盆友不要点)

netstat_an

我估计是因为python出了一个开源代理的软件

yuba

原帖由 netstat_an 于 16-10-2009 13:22 发表

                               
登录/注册后可看大图

我估计是因为python出了一个开源代理的软件

可能，在此警告好事者

不要试图把这个软件用最OO的汉语实现

否则，GFW将封杀所有。。。

四香油饼

我试了一下.com的，打不开，似乎是被俺们公司的GFW给和谐了 看来澳洲也不够自由么。

This site has been blocked by the network administrator.
URL: http://www.python.com/
Block reason: Forbidden Category "ornography"

coredump

告诉你不要去点，被开除了别怪我

bfox

晕 ， 原来是个成人站，是被黑了还是咋的？ 不过我在国内可以直接打开啊。

coredump

不是被黑，人家python.com的历史说不定比python.org还久呢