大炮 (网络攻击工具)

本页使用了标题或全文手工转换
来自反共维基

大炮(英语:Great Cannon)是中华人民共和国网络攻击工具的名称,借由拦截大量网络流量,对特定目标网站发动分布式拒绝服务攻击(DDoS)。[1][2][3]其中除了网络攻击,还曾对翻墙技术讨论网站进行攻击,阻止相关加密技术交流开发。

主要技术[编辑]

根据命名大炮的加拿大学者表示,大炮将从中国以外的连线流量导到特定的目标网站,导致目标网站网络服务不稳。虽然大炮跟防火长城一起,但大炮是分开的攻击系统,拥有不同的设计和功用。[4]除了发起分布式拒绝服务攻击以外,大炮还能监控网络流量,以及采用类似美国国安局量子注入系统(Quantum insert system),对目标散布恶意程序[5][6]

大炮发起的攻击[编辑]

大炮的第一个目标可能是存储避开网络审查工具的网站,像是在线原始码存储网站GitHub,以及监控中国防火长城屏蔽现况的GreatFire网站。[7]多次技术报告显示,发动对GitHub和GreatFire的攻击的方式是通过向百度注入恶意的JavaScript(简称JS)代码以使从中国大陆以外访问百度网站及广告的流量转换为DDoS攻击发送至目标。[8]

针对Github[编辑]

2015年3月26日至31日借由旁观者攻击(英语:Man-on-the-side attack)技术对GitHub发起的网络攻击,被认为是大炮的第一次重要应用。

第三方研究者指出,此次攻击采用了HTTP劫持,百度JS脚本文件中间人植入了攻击GitHub的代码,其功能是每隔2秒加载一次GreatFire纽约时报中文网的账号主页。[9]百度已否认自身产品存在安全问题。[10]。这次攻击导致GitHub在全球范围内的访问速度下降。[11]外界普遍相信这是中国政府所为,但中国政府予以否认。[12] [13] 3月28日(UTC+8)起,GitHub在中国大陆十分不稳定,多数情况下无法访问。[14]截止29日,攻击者共使用了四种DDoS攻击技术:

  1. 第一轮,利用中国大陆以外的网民与翻墙的网民浏览被劫持的百度JavaScript文件,该文件每2秒向GitHub上的两个页面发出请求,被GitHub的弹窗警告拦住;
  2. 第二轮,跨网域<img>攻击,被GitHub检查Referer拦住;
  3. 第三轮,DDoS攻击GitHub Pages
  4. 第四轮,SYN flood,利用TCP缺陷发送大批伪造的TCP连线请求,耗尽GitHub的资源。[15]

根据系统状态消息页面的显示,已于3月31日停止了网络攻击,该日凌晨0:09(UTC)已经稳定。GitHub在其Twitter与微博予以了证实。至此,此网络攻击共持续了五天。

其他[编辑]

2015年4月26日,大炮对开放原始码网站wpkg.org与旅游网站ptraveler.com发动了攻击,凡是用中国IP浏览嵌入了Facebook Connect按钮脚本的网站,皆会被重定向至这两个网站。[16][需要更好来源][17]

2017年8月16日,大炮被发现攻击曾经邀请中国海外流亡富豪郭文贵做访谈的异议新闻站点明镜网,大炮通过对百度站长统计的脚本代码注入攻击明镜网的代码。 [18][19][20][需要非第一手来源][21][需要非第一手来源]

2019年11月25日,新品葱遭到来自中国大陆的DDoS攻击,导致约十小时左右无法访问,随后恢复正常。

2019年12月初,美国网络服务提供商AT&T公司下属的网络安全实验室发表研究报告指出,自11月25日起,“大炮”被重新部署以攻击被认为与香港反对逃犯条例修订草案运动有关的网络论坛LIHKG论坛及多个其它意义不明的网络目标。该报道亦提及,早在8月31日,“大炮”就曾对LIHKG讨论区发起攻击。而有关程序代码与2017年明镜新闻网所受攻击中的代码极为相似。[22]

如何认定与中国政府有关[编辑]

使用Traceroute追踪TTL来证明中国政府对GitHub发动攻击

为了防止数据在网络中无限循环,名为存活时间(Time to live,TTL)的机制限定了数据包的寿命。从数据包发出开始,每经过一个路由,TTL就减去1,当TTL=0时数据包将会被丢弃。大多数系统发送数据包时都是从TTL=64开始,如果该数据包抵达时TTL=24,那么电脑和发送者之间经过了40跳(64-24=40)。在对GitHub发动的DDoS攻击中,攻击者劫持了百度的JS文件。如图所示,百度服务器所发送数据包的TTL=64,第一次抵达用户浏览器时TTL=42,经过了22跳,用户发回的请求包的TTL值也是64,但接下来的响应包的TTL值却突然变成了227,显然有中间人设备注入了伪造包。一位研究人员用定制Traceroute工具测试发现,注入设备位于第11跳和第12跳之间,通过查询第12跳设备的IP地址,作者发现它位于中国联通骨干网,因此得出了中国政府与此有关的结论。[23]

Google对JS劫持攻击的分析[编辑]

2015年4月24日,Google安全团队在其部落格撰文称,Javascript劫持攻击的执行分为多个阶段,最早发生在2015年3月3日,最后一次是在4月7日。Google指出,共有8个百度网域遭到劫持,被注入不同大小的Javascript代码。Google认为,全面启用HTTPS加密将能防御这类攻击。[24]

观点[编辑]

加州大学伯克利分校研究生比尔·马尔切克认为,一些中国国内网站,如百度被“大炮”截获数据用以进行网络攻击,会损害其成为一家全球性竞争企业的机会。[25]

参见[编辑]

参考文献[编辑]

  1. Perlroth, Nicole. China Is Said to Use Powerful New Weapon to Censor Internet. The New York Times. The New York Times Company. 2015-04-10 [2015-04-11]. (原始内容存档于2015-04-11) (英语). 
  2. 路西. 中國採取新方式 網絡封鎖擴大到境外. BBC中文网. 2015-04-11 [2015-04-11]. (原始内容存档于2015-04-14) (中文(繁体)). 
  3. 秦雨霏. 中共祭出新武器審查網絡 訪問陸網或被監控. 大纪元. 2015-04-10 [2015-04-11]. (原始内容存档于2015-04-11) (中文(台湾)). 
  4. Marczak, Bill; Weaver, Nicolas; Dalek, Jakub; Ensafi, Roya; Fifield, David; McKune, Sarah; Rey, Arn; Scott-Railton, John; Deibert, Ronald; Paxson, Vern. China’s Great Cannon. The Citizen Lab. Munk School of Global Affairs, University of Toronto, Canada. 2015-04-10 [2015-04-11]. (原始内容存档于2015-04-10) (英语). 
  5. Franceschi-Bicchierai, Lorenzo. The 'Great Cannon' is China's Powerful New Hacking Weapon. Motherboard - Vice. Vice Media LLC. April 10, 2015 [April 10, 2015]. (原始内容存档于2015-04-12) (英语). 
  6. Stone, Jeff. China's 'Great Cannon' Lets Internet Censors Hack Sites Abroad -- Just Ask GitHub. International Business Times. IBT Media Inc. April 10, 2015 [April 10, 2015]. (原始内容存档于2015-04-10) (英语). 
  7. Peterson, Andrea. China deploys new weapon for online censorship in form of ‘Great Cannon’. The Washington Post. April 10, 2015 [April 10, 2015]. (原始内容存档于2015-04-17) (英语). 
  8. 王凡. 信息管制新武器:中国“大炮”. 德国之声. 2015-04-11 [2015-04-12]. (原始内容存档于2015-04-12). 
  9. insight-labs. 百度统计js被劫持用来DDOS Github. 乌云知识库. [2018-08-23]. (原始内容存档于2016-09-22). 
  10. 百度在线网络技术(北京)有限公司. 百度安全攻防实验室的微博. 
  11. GitHub. GitHub System Status. [2018-08-23]. (原始内容存档于2017-02-19). 
  12. 陈晓莉. GitHub遭遇史上最大規模DDoS攻擊,反中國網路防火牆專案被鎖定. 台湾iThome. 2015-03-30 [2015-03-30]. (原始内容存档于2015-03-31) (中文(台湾)). 
  13. 海宁. 中共借刀杀人 利用海外华人发起DDoS攻击. 大纪元新闻网. 2015-03-27 [2015-03-30]. (原始内容存档于2015-03-30) (中文(简体)). 
  14. Github证实遭到DDoS攻击,HTTP劫持已停止. 奇客Solidot. 2015-03-27 [2018-08-23]. (原始内容存档于2016-03-23) (中文(中国大陆)). 
  15. 对GitHub的大规模DDoS攻击已超过80个小时. 奇客Solidot. 2015-03-30 [2015-03-30]. (原始内容存档于2015-03-31) (中文(中国大陆)). 
  16. WinterIsComing. 开源网站wpkg.org疑遭大炮攻击. Solidot. 2015-04-27 [2015-04-27]. (原始内容存档于2015-04-29) (中文(中国大陆)). 
  17. China foreign website malfunction drives home Internet woes. 路透社. April 27, 2015 [2015-04-29]. (原始内容存档于2015-05-03) (英语). 
  18. Chun. [DDoS] 你知道你正在攻擊明鏡時報的網站嗎?. [2017-08-16]. (原始内容存档于2017-08-17). 
  19. Chun. [DDoS] 百度站長工具 Sitemap 主動推送功能暗藏惡意攻擊程式碼. [2017-08-16]. (原始内容存档于2017-08-17). 
  20. Javascript 高手帮我看看百度这两段注入代码是想做什么?. [2017-08-21]. [永久失效链接]
  21. xqq, 谦谦. 百度站长的JS被插了GFW大炮,然后网易云恰好用了这服务,欣赏DDoS现场pic.twitter.com/RWpP5FQDCB. @magicxqq. 2017-08-25 [2017-08-25]. (原始内容存档于2017-08-25). 
  22. Doman, Chris. The “Great Cannon” has been deployed again. 2019-12-6 [2019-12-06]. (原始内容存档于2019-12-06). 
  23. Graham, Robert. Pin-pointing China's attack against GitHub. [2019-09-01]. (原始内容存档于2019-09-01) (英语). 
  24. A Javascript-based DDoS Attack as seen by Safe Browsing. Google Online Security Blog. April 24, 2015 [April 25, 2015]. (原始内容存档于2015-04-27). 
  25. NICOLE PERLROTH. 中国启用“网络大炮” 加强境外互联网审查. 纽约时报. 2015年4月13日 [2015年4月13日]. (原始内容存档于2015年4月14日) (中文). 

外部链接[编辑]

Template:翻墙技术