Wireshark を用いて SN実験2 で実装した TCP 通信をキャプチャしてみた．

2022-08-22 2022-08-27

ARAI Daisensei

こんにちは．あらい大先生です．

SN コースの 2 回生は，秋学期に SN実験2 とネットワークセキュリティを履修しました（します）．
SN実験2 では TCP を用いてサーバとクライアントが通信するプログラムを実装しましたし，ネットワークセキュリティでは TCP を悪用した攻撃の一つである SYN Flood 攻撃を習いました．
当時は何とか理解して課題をこなすだけで精一杯でしたが，ほぼ研究だけの生活で余裕がある今となって一つの疑問が湧きました．

それは，
「SN実験2 で実装した TCP サーバにも SYN Flood 攻撃を行えるのではないか？」
です．

ただし，SYN Flood 攻撃を理解するには，TCP の仕組み，特に 3-way handshake の仕組みを理解する必要があります．
3-way hand shake はコンピュータネットワークやネットワークセキュリティの授業で丁寧に説明されていたと思います．
とはいえ，「パケットキャプチャツール等を用いて 3-way handshake が行われる様子を観測したことがないので，何となくで仕組みを理解している」という学生は少なくないでしょう．
ということで，今回のブログでは準備編として，Wireshark を用いて 3-way handshake が行われる様子を観測しながら，その仕組みを説明します．

実験環境

例のごとく，実験のための環境を用意しました．

ネットワーク

以下のマシン，およびネットワークを構築しました．

役割	マシン	OS	IPアドレス	ポート番号
クライアント	WSL	Debian	192.168.56.1/24	p
サーバ	VM	Debian	192.168.56.101/24	12345

TCP クライアントは WSL で，TCP サーバは VM で動作させます．
VM でサーバを構築した理由は，サーバに脆弱性を持たせたり，攻撃したりするからです．
一方，クライアントは，ELF ファイルを実行できれば良いので WSL を用いました．

OS は両方とも Debian です．
Debian を用いた理由は，Ubuntu よりも軽量で研究用 PC のストレージを圧迫させずに済むからです．

また，クライアントとサーバは VirtualBox Host-Only Ethernet Adapter によって接続されています．

プログラム

使用するプログラムは，SN実験2 のネットワークとセキュリティ実験の資料に記載されていた simpleTCPclient.c と simpleTCPserver.c です（著作権の都合でソースコードを公開することはできません…）．
ただし，本実験のために，simpleTCPclient.c の inet_pton() の第二引数を “127.0.0.1” から “192.168.56.101” へ書き換えます．

予想

以上から，以下のような通信が行われると予想できます．

クライアントは p 番ポートを用いて，サーバの 12345 番ポートへ SYN パケットを送信する．
SYN パケットを受信したサーバは 12345番ポートを用いて，クライアントの p 番ポートへ SYN/ACK パケットを送信する．
SYN/ACK パケットを受信したクライアントは p 番ポートを用いて，サーバの 12345 番ポートへ ACK パケットを送信する．

Wireshark でパケットキャプチャ

それでは，Wireshark を用いて VirtualBox Host-Only Network の中で流れるパケットをキャプチャしつつ，simpleTCPclient と simpleTCPserver を実行します．
次に，実験とは無関係なパケットをキャプチャする場合があるので，「tcp.port == 12345」といった条件でフィルタリングします．
その結果，以下の画像が示すように 8 つのパケットが見つかりました．