利用序列号泄漏：启用 NAT 的 Wi-Fi 网络中的 TCP 劫持

在本文中，我们发现了广泛使用的NAT端口保留策略以及Wi-Fi路由器反向路径验证策略不足所引发的一种新型侧信道漏洞。该漏洞允许路径外攻击者推断同一网络中是否存在一个受害者客户端正使用TCP与互联网上的另一台主机通信。在探测到受害者客户端与服务器之间存在TCP连接后，由于路由器禁用了TCP窗口跟踪策略（这一策略多年来在大多数路由器中被忠实实现），攻击者可以通过发送伪造的TCP数据包驱逐原有的NAT映射并在路由器上重建新映射。通过这种方式，攻击者可以拦截来自服务器的TCP数据包并获取当前的序列号和确认号，进而允许攻击者强制关闭连接、以明文毒化流量，或将服务器的传入数据包重路由至攻击者。我们测试了来自30家厂商的67款广泛使用的路由器，发现其中52款受到此攻击影响。此外，我们对93个真实世界的Wi-Fi网络进行了广泛的测量研究。实验结果表明，被评估的Wi-Fi网络中有75个（81%）完全容易受到我们的攻击。我们的案例研究表明，平均分别需要约17.5秒、19.4秒和54.5秒即可终止SSH连接、从FTP服务器下载私有文件以及注入伪造的HTTP响应数据包，成功率分别为87.4%、82.6%和76.1%。我们负责任地向所有受影响的厂商披露了该漏洞并建议了缓解策略，已收到积极反馈，包括致谢、CVE、奖励以及采纳我们的建议。