lwIP更新记04：TCP 初始序列号

news2024/11/19 22:45:22

从 lwIP-2.0.0 开始，可以自定义 TCP 报文段的初始序列号。

TCP 报文段首部有一个序列号字段，它是一个32位的计数器，从 0 到 4294967295，它的值为当前报文段中第一个数据的字节序号。TCP 在建立连接的时候需要初始序列号（Initial Sequence Number：ISN），lwIP 为每个新的 TCP 连接生成一个 TCP 初始序列号。tcp.c 中的函数 tcp_next_iss 用于这个目的。

在1.4.1版本中，这个函数长这样：

/**
 * Calculates a new initial sequence number for new connections.
 *
 * @return u32_t pseudo random sequence number
 */
u32_t
tcp_next_iss(void)
{
  static u32_t iss = 6510;
  
  iss += tcp_ticks;       /* XXX */
  return iss;
}

这个算法很简单，算法产生的值是可以预测的。以至于 lwIP 的 TCP 连接可能成为 TCP 欺骗攻击的目标。

对 ISN 的准确预测是 IP 欺骗、数据注入和会话劫持能成功的先决条件。举一个TCP Reset攻击例子：

如果能准确预测ISN，就可以假冒客户端向服务器发送RST包，要求复位连接。由于RST包并不需要向应用层提交，服务器端的 TCP 协议栈只要接到该包就立即终止此次 TCP 连接，这将让真正的客户端连不上服务器，导致了拒绝服务攻击。

根据研究结果表明，Windows 2000、Windows XP SP1 的 ISN 都是可以预测的，从 Windows XP SP2 开始，ISN才能难以预测。

RFC 6528 中标准化了 ISN 生成算法。但是，该算法需要高分辨率计时器和加密散列函数。这远远超出了 lwIP 本身的范围。

所以 lwIP 增加了 LWIP_HOOK_TCP_ISN ，这是一个钩子函数，可以让开发者根据自己的硬件平台实现自己的 ISN。该钩子函数提供了很大的灵活性，既可以用简单的随机数生成 ISN，也可以实现完整的 RFC 6528 规定的算法。

在 lwIP-2.1.3，新的 tcp_next_iss 函数为：

/**
 * Calculates a new initial sequence number for new connections.
 *
 * @return u32_t pseudo random sequence number
 */
u32_t
tcp_next_iss(struct tcp_pcb *pcb)
{
#ifdef LWIP_HOOK_TCP_ISN
  LWIP_ASSERT("tcp_next_iss: invalid pcb", pcb != NULL);
  return LWIP_HOOK_TCP_ISN(&pcb->local_ip, pcb->local_port, &pcb->remote_ip, pcb->remote_port);
#else /* LWIP_HOOK_TCP_ISN */
  static u32_t iss = 6510;

  LWIP_ASSERT("tcp_next_iss: invalid pcb", pcb != NULL);
  LWIP_UNUSED_ARG(pcb);

  iss += tcp_ticks;       /* XXX */
  return iss;