socketstress ( var slashdot artikel)

[Janne Johansson]

peter h wrote:
> Om slashdots story :"IT: Researcher's Death Hampers TCP Flaw Fix"
> Vad jag kunde läsa ut av "socketstress" var att man sänder SYN
> och får målet att mp illa .
> En skiss som jag fattat det :
> attackerare                                      Målet
> ------------                                    --------
> SYN    ->    ( sänds från userland )
>                                 <--          SYN/ACK
> RST   ->     ( OS-stacken vet inget om detta )
> ACK   ->  ( från userland , med win == 0)
>                                      <--     ACK ( window-probe)
>  ACK  ->   ( win=0)    Upprepas
> varje "hängd" förbindelse tappar målet på resurser ( timers?minne? )

Det skapas/allokeras väl PCB:er och annat i tcp-stacken, så det kan 
säkert vara så att man tappar minne och dessutom får långa listor av 
mer-eller-mindre-påbörjade-sessioner att gå igenom hela tiden.

> Men jag såg väldigt lite diskussion om det verkligen
> biter, inte heller såg jag några diskussioner på de olika
> BSD listorna om dess eventuella farlighet.
> 
> Är detta nys ?  Har jag uppfattat det rätt ?

Jag har nyligen läst om den typen av attack om än inte på /., så jag kan 
säga att "Ja, det är troligt att det var just den", utan att riktigt ha 
täckning för det.

Iden var ju att userland-app:en kan ha massa med gig ram om man så 
skulle vilja för att hålla state på massor av sessioner osv, medans 
kernels sällan kan göra detsamma i andra änden, så det är "billigt" i 
userland per state att fortsätta skicka många parallella win=0 ACKS i 
rätt takt, medans man snabbt låser upp allt för mottagaren som kör i ett 
annat kontext. Skulle man inte kört det från userland som sändare skulle 
man DoS:at sig själv lika fort, givet likadant OS.