CN101753572B - 基于抗黑名单机制的BitTorrent文件污染方法 - Google Patents

Abstract

本发明公开了一种基于抗黑名单机制的BitTorrent文件污染方法，用于对采用黑名单防范机制的BitTorrent客户端的文件传播进行有效控制，所述方法首先载入将要进行污染的BitTorrent任务的种子文件，再建立一个用于进行种子文件解析、参数构建与设置、在Tracker服务器上注册、监听端口的线程，创建若干个子线程，然后注册攻击器并监听端口，与下载节点建立连接并发起攻击。本发明通过利用黑名单机制的漏洞，使正常上传节点被加入黑名单以破坏BitTorrent网络的鲁棒性，从而达到了控制文件通过BitTorrent网络进行传播的目的；该方法解决了对BitTorrent文件传播的控制问题，有效地降低了BitTorrent网络中节点的下载速度，甚至阻断文件传播。

Description

基于抗黑名单机制的BitTorrent文件污染方法

技术领域

本发明涉及一种BitTorrent文件污染方法，特别是一种基于抗黑名单机制的BitTorrent文件污染方法。

背景技术

P2P污染是一种延缓和阻碍被攻击内容在P2P文件共享系统中传播的P2P网络攻击技术。文献“P.Dhungel，D.Wu，B.Schonhorst，K.W.Ross，A Measurement Study of Attacks on BitTorrentLeechers，IPTPS 2008”公开了一种被称为虚假数据块攻击的P2P污染方法。与传统的P2P污染攻击方法不同，该方法避开“元信息”的发布环节，直接对数据传输过程进行污染，通过浪费下载者的网络带宽来延长下载者的下载时间。攻击者伪装成一个普通节点加入被攻击的文件传播任务对应的BitTorrent网络，将其节点信息注册到tracker服务器上并声称自己拥有全部或大部分被共享文件的数据块。当下载者从tracker服务器中获得了攻击者的节点信息，便与攻击者建立连接并向其请求若干个需要的数据块，但攻击者向其返回无效的数据块。下载者在收到若干个数据块后，将这些数据块组装成一个数据片断并对该数据片断进行哈希校验以保证数据传输的正确性。只要组成数据片断的数据块中有一块是从攻击者处获得的无效数据块，哈希校验就无法通过，下载者会丢弃该数据片断并重新下载该片断对应的所有数据块。因此，攻击者只需要发送一个数据块就可以使下载者下载的整个数据片断作废，从而实现浪费下载者的网络带宽，延长其下载时间的目的。但近年来，越来越多的BitTorrent下载客户端引入了黑名单机制以防范虚假数据块攻击，使数据块攻击的攻击者在发送一定的虚假数据后便被加入黑名单，无法对文件传播进行控制。

发明内容

为了克服现有技术方法无法对采用黑名单防范机制的BitTorrent客户端的文件传播进行有效控制的不足，本发明提供一种基于抗黑名单机制的BitTorrent文件污染方法，通过利用黑名单机制的漏洞，使正常上传节点被加入黑名单以破坏BitTorrent网络的鲁棒性，从而达到控制文件通过BitTorrent网络进行传播的目的。

本发明解决其技术问题所采用的技术方案：一种基于抗黑名单机制的BitTorrent文件污染方法，其特点是包括下述步骤：

(a)载入将要进行污染的BitTorrent任务的种子文件，对种子文件中的BEncoding编码进行解析，获得Tracker服务器的网络地址和端口号，以及BitTorrent任务对应文件的文件名、文件大小、文件Hash值，将Tracker服务器的网络地址和端口号发送到节点注册与监听模块；将文件名、文件大小、文件Hash值显示在用户界面上；

(b)建立一个用于进行种子文件解析、参数构建与设置、在Tracker服务器上注册、监听端口的线程，创建若干个子线程，对于每个来自其他节点的连接请求，分配一个子线程去处理握手、连接建立、虚假数据传输工作；

(c)调用节点注册与监听模块，根据种子文件解析模块解析出的Tracker服务器的网络地址和端口号生成状态报告，并将所生成的状态报告发送至Tracker服务器，使攻击器的节点信息注册到Tracker的节点列表上，攻击器监听自身开放的端口，等待接收普通节点发送的握手信息；

(d)当攻击器与一个普通节点完成握手后，创建一个子线程用于运行连接与攻击模块，所述子线程将自动监听端口，在收到普通节点发送的bitfield消息后，向所述普通节点返回一个声明攻击器拥有所有文件片段的bitfield消息，随后向所述普通节点发送unchoke消息，通知所述普通进行数据传输；当攻击器发送unchoke消息之后，所述普通节点开始向攻击器发送request消息请求所述普通节点需要的片断，攻击器发送piece消息传输虚假片断数据，当攻击器与一个节点完成握手，就创建一个新的子线程完成上述步骤，直至子线程数达到攻击参数中设置的最大子线程数目为止。

本发明的有益效果是：通过利用黑名单机制的漏洞，使正常上传节点被加入黑名单以破坏BitTorrent网络的鲁棒性，从而达到了控制文件通过BitTorrent网络进行传播的目的。该方法不仅可以用于攻击旧版本的BitTorrent客户端，还可以攻击具有黑名单功能的新版本BitTorrent客户端，解决了对BitTorrent文件传播的控制问题。通过实验验证和实际测试表明，本方法能够有效的降低BitTorrent网络中节点的下载速度，甚至阻断文件传播。

下面结合附图和实施例对本发明作详细说明。

附图说明

图1是实现本发明基于抗黑名单机制的BitTorrent文件污染方法的系统框图。

图2是本发明基于抗黑名单机制的BitTorrent文件污染方法的流程图。

具体实施方式

参照图1～2，本发明的实施采用分模块的体系结构，模块与模块之间通过接口进行通讯。第一级为用户界面管理。它是系统与用户交互的主要接口，主要实现用户与软件的交互功能；第二级为实现部分，包括种子文件解析模块、攻击参数设置模块、节点注册与监听模块、连接与攻击模块和操作帮助。以下为各个实现模块的说明：

种子文件解析模块：对种子文件进行解析，从中得到进行攻击需要的信息；

攻击参数设置模块：对系统的运行参数进行设置，并且可以根据需要读取指定的参数；

节点注册与监听模块：负责将攻击器作为节点注册到Tracker服务器上，并监听其他节点向攻击器发送的请求，创建攻击子进程。

连接与攻击模块：负责与正常节点建立起连接并发送虚假数据进行攻击。

操作帮助：对系统可进行的操作进行说明的模块。

本发明所涉及的基本概念解释如下：

1)元信息：

“元信息”是指启动一个P2P文件传播任务所需的基本信息，包括文件名、文件大小、文件Hash值、DHT网络入口节点地址、端口号信息。每一个“元信息”唯一对应着一个P2P文件传播任务。在BitTorrent中，“元信息”是指Torrent文件，又称为种子文件。

2)Tracker服务器：

在BitTorrent中，Tracker服务器负责维护一系列节点列表，每个节点列表中记录着参与某一特定的BitTorrent文件传播任务的节点的信息。节点信息包括节点的IP地址，用于通信的端口号等内容。当一个新节点加入某一BitTorrent文件传播任务时，首先从Tracker服务器获得该任务对应的节点列表，并根据列表中的节点信息与这些节点建立连接，开始数据传输。

3)sha1算法：

sha1算法是一种安全散列算法，能计算出一个数字信息所对应的，长度固定的字串(又称为信息摘要)。且若输入的信息不同，它们对应到不同字串的机率很高。该算法之所以称作“安全”是基于以下两点：1)由信息摘要反推原输入信息，从计算理论上来说是很困难的。2)想要找到两组不同的信息对应到相同的信息摘要，从计算理论上来说也是很困难的。任何对输入信息的变动，都有很高的机率导致其产生的信息摘要迥异。

4)Piece与Slice：

根据BitTorrent协议规定，在进行文件共享时，首先将文件分割成若干个固定长度的文件块，这些文件块被称为Piece，处于文件末尾的最后一个Piece的长度可能会小于其他Piece。Piece又被分成若干个被称为Slice的更小的片段，其默认大小为16KB。参与文件传播任务的节点之间以Slice为单位进行数据交换。为了保证传输中数据的完整性，通过sha1算法对每个Piece计算hash摘要，并将摘要记录在种子文件中的“piece”项。节点在接收到某一Piece中所有的Slice后，会将这些Slice组装成对应的Piece，使用sha1算法计算该Piece的hash摘要并与种子文件中相应的hash摘要进行验证以确保传输无误。

5)污染攻击器：

污染攻击器根据种子文件中Tracker服务器的信息，以及BitTorrent文件共享任务的任务标识，将自己伪装成一个或多个正常节点加入该任务的BitTorrent网络，与普通下载节点建立连接并发起污染攻击。

本发明具体的实施步骤如下：

1)种子文件解析。

本发明设计的污染攻击方法，首先需获取相关BitTorrent文件传播任务的种子文件，并对其进行解析，获得种子文件内记录的Tracker服务器地址及任务标识等信息。

在BitTorrent协议中，种子文件记录的内容，以及种子文件与Tracker服务器之间的交互信息都采用BEncoding进行描述。BEncoding定义了下列四种数据表示类型。

Integer：任意长的十进制整数。以“i”开始，以“e”结束，中间为整数。如整数123要表示为“i123e”。

String：字符串。在字符串前加字符串长和冒号。如“BitTorrent”要表示为10:BitTorrent。

List：列表。以“l”开始，以“e”结束，中间可以是各种类型。如li123e10:BitTorrente表示一个列表，这个列表有两个元素，分别为整数123和字符串“BitTorrent”。

Dictionary：字典。以“d”开始，以“e”结束，中间是若干key和value的组合，而且key必须是String。如“d6:Lengthi1024ee”，表示这个字典里有一个元素，key是字符串“Length”，value是整数1024。

此外，List中的元素和Dictionary中key的value部分可以是这四种类型中的任意一种，可嵌套使用。如“d4:petsl4:bird3:cat3:dogee”表示字典里有一个元素，这个元素的key是字符串“pets”，而value是一个List，这个List里有三个元素，分别是字符串“bird”、字符串“cat”和字符串“dog”。

种子文件本身也是一个Dictionary，包含的元素为一系列的key和value，其中名为Announce的key声明了Tracker服务器的URL地址。如果Tracker有多个，Dictionary中会出现一个key值为announce-list的元素，它的value是一个List，存放着每个Tracker的URL地址。如d8:announce36:http://btfans.3322.org:8000/announce，即为某Tracker服务器的网络地址，通信端口为8000。名为Info的key记录了资源文件的文件名和目录结构，以及对每个资源片断通过sha1算法计算的哈希值，另外还包括任务名和发布者信息等。其value也是一个Dictionary，如果把Info的整个value值使用sha1算法计算其哈希值，得到的20字节即为整个任务的“info_hash”，是此BitTorrent任务的唯一标识。如果资源是单个文件，则“name”部分为文件名，如果资源是多文件，则“name”部分为这些资源的顶级文件目录名，而“files”列表记录了文件的目录结构。

2)采用多线程机制提高攻击器的攻击效果。

本发明的攻击效果与攻击器的数量有关，攻击器数量越多，攻击强度就越大。但攻击器数量的增加意味着需要更多的物理计算机来运行。为了在提高污染攻击器的攻击效果的同时减少对计算机数量的要求，攻击器采用多线程机制。首先建立一个线程用于进行种子文件解析、参数构建与设置、在Tracker服务器上注册、监听端口等工作。然后创建若干个子线程，在不超过子线程个数的情况下，对于每个来自其他节点的连接请求，都分配一个子线程去处理握手、连接建立、虚假数据传输等工作。这样在一个攻击客户端上即可对多个正常节点发起攻击。

3)将攻击器加入Tracker服务器的节点列表。

污染攻击器在对某个BitTorrent文件传播任务进行攻击之前，首先需要与参与该任务的正常下载节点建立起连接。攻击器通过将自身伪装成一个正常的BitTorrent节点，模拟正常下载节点在BitTorrent网络中下载数据的过程，与上传节点建立起连接。

攻击器首先根据从种子文件中解析出的内容，将自己作为普通节点注册到Tracker服务器的节点列表中。根据BitTorrent协议，节点每隔一段时间向tracker服务器提交状态报告，根据此报告将自身注册到Tracker服务器。状态报告是以HTTP的GET方法发送，下文为一个状态报告的实例：

GET/announce

？info_hash＝％E7％B3％0F％09k％BE％15m％28％2C％0C％1B％29％9DI％EB％0D％92％03％C4

&peer_id＝％2DBC0060％2D％13％FE％01％5DM％9A％91％A7n％CFh％14

&port＝16677

&natmapped＝1

&localip＝59.72.3.47

&uploaded＝0

&downloaded＝0

&left＝470097993

&numwant＝200

&compact＝1

&no_peer_id＝1

&key＝6786

&event＝started

HTTP/1.0 User-Agent:BitTorrent/3.4.2 Connection:close

Accept-Encoding:gzip，deflate Host:bt.54new.com:6969

Cache-Control:no-cache

其中比较重要的属性值有：

info_hash：20字节长的SHA1验证码，来自种子文件中的info_hash值，用于唯一标示一个BitTorrent文件共享任务。

peer_id：一个20字节长的字符串，是每个节点开始下载时随机生成的ID。详细内容请参见BitTorrent的官方文档《BitTorrent specification》。

Localip：节点所在的IP地址(或DNS主机名)。

Port：节点运行BitTorrent客户端所使用的监听端口。

Uploaded：目前总上传量，编码为十进制ASCII码。

Downloaded：目前总下载量，编码为十进制ASCII码。

Left：未下载的字节数，编码为十进制ASCII码。

Event：这是个选择性的属性值，选项有started，completed或stopped。开始下载时发出started值，完成下载时发出completed。当文件完整后再开始，没有completed发出，下载者中止下载时发出stopped。

根据从种子文件中解析出的Tracker服务器的URL地址，攻击器将上述状态报告提交给Tracker服务器后，即将自己伪装成一个正常节点加入Tracker服务器的节点列表中。随后Tracker服务器向攻击器返回一份应答，分析应答内容可获取当前Tracker服务器上维护的节点列表的内容。Tracker服务器的应答如下例所示：

HTTP/1.1 200OK

Connection:Close

Content-Length:179

Content-Type:text/plain

d8:intervali1 800e5:peers150:；H！.％...L..1....V.....d1..1lE8；H.Z*4..:.′...5.....L..1..L..1..L..1；H./A％；H..3，..5.G9..A.&...E.A....$.；H～.)...+.？.....JC....h.....&1＜*.-G；H～.)...＜.；Je

每隔一段时间，客户端和服务器会交互一次，这个时间间隔写在tracker服务器的应答中，上例中为“8:intervali1 800e”，表示“interval:1800”，即令客户端1800秒之后再次发送状态报告。该应答中，“peers”对应的150字节乱码部分即为节点列表，如果是非压缩格式，peer list的格式为[peer id，IP，监听端口]，如果是压缩格式，则为[IP，监听端口]，每组6个字节。压缩与否由客户端状态报告中的“compact”部分决定，“compact”参数属于BitTorrent扩展协议的范畴。应答中节点数量的上限由状态报告的“numwant”部分决定，返回的节点列表由tracker根据一定的选择算法确定，默认返回的节点数量是200个。

4)攻击器与普通节点建立连接。

攻击器将自身节点信息加入Tracker的节点列表后，等待其他参与该BitTorrent文件共享任务的正常节点向其监听端口发送握手请求，请求格式如下：

1字节协议名长度(通常为19)；

19字节协议名(通常为BitTorrent protocol)；

8字节保留字节(一些客户端已经进行了扩展，改写了某些字节)；

20字节任务的info_hash(对“种子”文件Info部分进行sha1 hash得出)；

20字节由客户端随机生成的peer id。

攻击器收到握手请求后做出应答，回复一个同样格式的握手请求，于是一个BitTorrent连接成功建立。

5)基于抗黑名单机制的数据污染攻击。

BitTorrent客户端，诸如Bit comet、Bit Spirit，对P2P数据污染攻击的防范主要通过黑名单机制实现。即在客户端在下载某个Piece时，优先从某一节点下载该Piece对应的全部Slice，若下载的数据无法成功通过校验的次数超过了设定的阈值，则认为该节点是恶意攻击节点，进而将该节点列入黑名单，断开与其的连接。为了消除黑名单机制对攻击效果的影响，污染攻击器在收到正常下载节点发送的request消息请求后，并不完全满足其请求。例如若一个下载节点一次请求n个Slice，则攻击器只向其返回1个或几个虚假的Slice，迫使下载节点从其他正常节点处获取剩余的n-1个Slice。当某一个Piece对应的Slice全部下载完，下载节点对其计算sha1校验码。若其中包含有攻击器发送的虚假Slice，则无法通过校验。而上传这些Slice的节点，除了攻击器之外还包括至少一个正常节点。这种情况下有的BitTorrent客户端的黑名单机制会因为无法判断到底是哪个节点发送的虚假数据而失效，BitTorrent客户端会将这些节点全部加入黑名单，从而使正常的上传节点也被禁掉。随着被禁掉的正常上传节点数量的增加，该BitTorrent文件共享任务的文件完整性会受到影响，不仅使普通节点的下载速率降低，而且还有可能无法完成下载。

BitTorrent协议规定了十种消息类型用于进行数据传输，这十种类型的消息有一个通用的格式：首先是四字节的消息长度(不包括长度这四字节)，然后是一字节的消息类型代码，最后是各种消息不同的负载。这十种消息类型的详细说明如下：

(1)Keep-alive，消息长度为0，没有类型代码和负载，如果在一定时间内，peer与peer之间没有任何消息往来，可以发送keep-alive消息防止连接断开。此消息通常每两分钟发送一次。

(2)Choke，消息长度为1，代码为0，没有负载，用来阻塞连接。连接被阻塞后，在unchoke之前将不响应来自对方的request消息。

(3)Unchoke，消息长度为1，代码为1，没有负载，用来解除对连接的阻塞。

(4)Interested，消息长度为1，代码为2，没有负载，表示“关注”对方。客户端在收到have或bitfield消息后，根据需要来判断是否发送interest消息。如果“关注”，则连接被unchoke之后立刻发送request消息。

(5)Not interested，消息长度为1，代码为3，没有负载，表示“不关注”对方。同样是在客户端收到have或bitfield消息后，根据当前的需要来判断是否要发送此消息。

(6)Have，消息长度为5，代码为4，负载为4字节的piece index，是刚刚成功下载的那个片断的编号。

(7)Bitfield，消息长度为描述部分长度+1，代码为5，负载中，每一位代表一个分片，如果此分片已被完整下载则相应位置1，否则置0。Bitfield消息只在握手完毕时互相发送。

(8)Request，消息长度为13，代码为6，负载有三部分，分别为4字节的分片编号、4字节的分片内偏移、4字节的长度。Request消息是向对方请求自己需要的片断。此消息通常在收到unchoke、have或piece消息后发送。

(9)Piece，消息长度不固定，代码为7，负载有三部分，分别为4字节的分片编号、4字节的分片内偏移、不定长数据。

(10)Cancel，消息长度为13，代码为8，负载有三部分，分别为4字节的分片编号、4字节的分片内偏移、4字节的长度。Cancel表示不再需要此分片。此消息通常出现于下载将要结束之前。

对某一个BitTorrent节点来说，它的每一个连接有一对属性，分别是“阻塞/不阻塞”和“关注/不关注”。污染攻击器作为一种特殊的BitTorrent节点，同样具有这些属性。普通节点和攻击器握手之后，默认的状态是“阻塞”和“不关注”，它们之间首先互相发送bitfield消息，让对方知道自己都拥有哪些片断。如果对方有自己需要的片断，则发送interest消息，为了提高攻击器被连接的概率，将攻击器的bitfield消息的负载全部置为1，即在普通节点看来，攻击器拥有所有的数据片段。当攻击器发送unchoke消息之后，普通节点开始向攻击器发送request消息请求其需要的片断，然后攻击器发送piece消息传输虚假片断数据，其内容可为随机的二进制字符串。

Claims (1)

1.一种基于抗黑名单机制的BitTorrent位流文件污染方法，其特征在于包括下述步骤：

(a)载入将要进行污染的BitTorrent位流任务的种子文件，对种子文件中的BEncoding B编解码编码进行解析，获得Tracker跟踪器服务器的网络地址和端口号，以及BitTorrent位流任务对应文件的文件名、文件大小、文件Hash哈希值，将Tracker跟踪器服务器的网络地址和端口号发送到节点注册与监听模块；将文件名、文件大小、文件Hash哈希值显示在用户界面上；

(b)建立一个用于进行种子文件解析、参数构建与设置、在Tracker跟踪器服务器上注册、监听端口的线程，创建若干个子线程，对于每个来自其他节点的连接请求，分配一个子线程去处理握手、连接建立、虚假数据传输工作；

(c)调用节点注册与监听模块，根据种子文件解析模块解析出的Tracker跟踪器服务器的网络地址和端口号生成状态报告，并将所生成的状态报告发送至Tracker跟踪器服务器，使攻击器的节点信息注册到Tracker跟踪器服务器的节点列表上，攻击器监听自身开放的端口，等待接收普通节点发送的握手信息；

(d)当攻击器与一个普通节点完成握手后，创建一个子线程用于运行连接与攻击模块，所述子线程将自动监听端口，在收到普通节点发送的bitfield位域消息后，向所述普通节点返回一个声明攻击器拥有所有文件片断的bitfield位域消息，随后向所述普通节点发送unchoke非堵塞消息，通知所述普通节点进行数据传输；当攻击器发送unchoke非堵塞消息之后，所述普通节点开始向攻击器发送request请求消息请求所述普通节点需要的片断，攻击器发送piece片断消息传输虚假片断数据，当攻击器与一个节点完成握手，就创建一个新的子线程完成上述步骤，直至子线程数达到攻击参数中设置的最大子线程数目为止。 

Images