原文：
首发于黑客防线2003年11期
WriteBy： LionD8
Wesite: http://liond8.126.com
通过IP欺骗进行攻击的原理和预防
本文的目的在于向读者解释IP 欺骗的实现方法和预防措施。它要求您掌握有关Unix 和TCP/IP 的少量知识。如果您没有，也没有关系，相信下面的说明能给您以足够的背景知识。
IP欺骗是适用于TCP/IP环境的一种复杂的技术攻击，它由若干部分组成。目前，在Internet领域中，它成为黑客攻击时采用的一种重要手段，因此有必要充分了解它的工作原理和防范措施，以充分保护自己的合法权益。
实际上，IP 欺骗不是进攻的结果，而是进攻的手段。进攻实际上是信任关系的破坏。然而，在本文中，IP 欺骗将被看作是涉及到的整个攻击，对于利用IP欺骗建立起来的虚假信任关系进行破坏的其它行为不作为我们讨论的内容。本文将详尽地解释攻击的全过程，包括有关的操作系统与网络信息。
背景知识
有关主机定义
A：目标主机
B：对于A来说，可信任的主机
X：不能到达的主机
Z：进攻主机
1（2）：主机1化装成主机 2
图示符号定义
本文中有若干图示，它们将类比以下示例进行解释：
时间序列主机a 控制主机 b
1 A －－SYN －－＞ B
时间序列：时间流逝的单位，可以无穷细化。一般认为是很小的单位，表示事件发生的先后顺序。
主机a：参与一次TCP 对话的机器。
控制：显示有关TCP控制字段头部的控制字符和该字段的流动方向。
主机b：参与一次TCP 对话的机器。
这个图示中，在第一参考时间点上主机A发送TCP 字段给主机B，控制字段中的SYN控制位将作为该TCP字段的主要信息。除非特别说明，我们一般不关心TCP 字段中的数据部分。
信任关系
在Unix 领域中，信任关系能够很容易得到。假如您在主机A和B上各有一个帐户，您在使用当中发现，在主机A上使用时需要输入在A上的相应帐户，在主机B上使用时必须输入在B上的帐户，主机A和B把您当作两个互不相关的用户，显然有些不便。为了减少这种不便，您可以在主机A和主机B中建立起两个帐户的相互信任关系。在主机A和主机B上您的home目录中创建.rhosts 文件。从主机A上，在您的home目录中输入'echo " B username " ＞～/.rhosts' ；从主机B上，在您的home目录中输入'echo " A username " ＞～/.rhosts' 。至此，您能毫无阻碍地使用任何以r＊开头的远程调用命令,如：rlogin，rcall，rsh等，而无口令验证的烦恼。这些命令将允许以地址为基础的验证，或者允许或者拒绝以IP地址为基础的存取服务。
Rlogin
Rlogin 是一个简单的客户/服务器程序，它利用TCP传输。Rlogin 允许用户从一台主机登录到另一台主机上，并且，如果目标主机信任它，Rlogin 将允许在不应答口令的情况下使用目标主机上的资源。安全验证完全是基于源主机的IP 地址。因此，根据以上所举的例子，我们能利用Rlogin 来从B远程登录到A，而且不会被提示输入口令。
Internet 协议（IP）
IP 是TCP/IP协议组中非面向连接、非可靠传输的网络协议。它由两个32bit的头字段提供地址信息。IP数据包占TCP/IP协议网络流量中的很大部分，可以说是最为繁忙的部分。IP 的工作在于在网络环境中发送数据包，它不提供保证可靠性的任何机制，对于可靠性的要求，由上层协议来完成。IP只是发送数据包，并且保证它的完整性。如果不能收到完整的IP数据包，IP会向源地址发送一个ICMP 错误信息，希望重新处理。然而这个包也可能丢失(ICMP 是网际控制消息协议，Internet Control Message Protocol，它是用于根据网络条件保证数据传送的协议，主要是向IP层或其它层发送不同的错误信息）。由于IP是非面向连接的，所以不保持任何连接状态的信息。每个IP数据包被松散地发送出去，而不关心前一个和后一个数据包的情况。由此我们不难看出，可以对IP堆栈进行修改，在源地址和目的地址中放入任意满足要求的IP地址，也就是说，提供虚假的IP地址。
传输控制协议（TCP）
TCP 是在TCP/IP协议组中面向连接、提供可靠传输的协议。面向连接意味着参与对话的两个主机必须首先建立起连接，然后才能进行数据交换。可靠性是由数据包中的多位控制字来提供的，但是，其中仅仅有两个是与我们的讨论有关。它们是数据序列和数据确认，分别用SYN和ACK来表示。TCP 向每一个数据字节分配一个序列号，并且可以向已成功接收的、源地址所发送的数据包表示确认（目的地址ACK 所确认的数据包序列是源地址的数据包序列，而不是自己发送的数据包序列）。ACK在确认的同时，还携带了下一个期望获得的数据序列号。显然，TCP提供的这种可靠性相对于IP来说更难于愚弄。
序列编号、确认和其它标志信息
由于TCP是基于可靠性的，它能够提供处理数据包丢失，重复或是顺序紊乱等不良情况的机制。实际上，通过向所传送出的所有字节分配序列编号，并且期待接收端对发送端所发出的数据提供收讫确认，TCP 就能保证可靠的传送。接收端利用序列号确保数据的先后顺序，除去重复的数据包。TCP 序列编号可以看作是32位的计数器。它们从0至232－1 排列。每一个TCP连接（由一定的标示位来表示）交换的数据都是顺序编号的。在TCP数据包中定义序列号（SYN）的标示位位于数据段的前端。确认位（ACK）对所接收的数据进行确认，并且指出下一个期待接收的数据序列号。
TCP通过滑动窗口的概念来进行流量控制。设想在发送端发送数据的速度很快而接收端接收速度却很慢的情况下，为了保证数据不丢失，显然需要进行流量控制，协调好通信双方的工作节奏。所谓滑动窗口，可以理解成接收端所能提供的缓冲区大小。TCP利用一个滑动的窗口来告诉发送端对它所发送的数据能提供多大的缓冲区。由于窗口由16位BIT所定义，所以接收端TCP 能最大提供65535个字节的缓冲。由此，可以利用窗口大小和第一个数据的序列号计算出最大可接收的数据序列号。
其它TCP标示位有RST（连接复位，Reset the connection）、PSH（压入功能，Push function）和FIN （发送者无数据，No more data from sender）。如果RST 被接收，TCP连接将立即断开。RST 通常在接收端接收到一个与当前连接不相关的数据包时被发送。有些时候，TCP模块需要立即传送数据而不能等整段都充满时再传。一个高层的进程将会触发在TCP头部的PSH标示，并且告诉TCP模块立即将所有排列好的数据发给数据接收端。FIN 表示一个应用连接结束。当接收端接收到FIN时，确认它，认为将接收不到任何数据了。
TCP连接的建立
为了利用TCP 连接交换数据，主机间首先必须建立一个连接。TCP 建立连接时可以分为3个步骤，称为三步握手法。如果主机A运行rlogin客户程序，并且希望连接到主机B上的 rlogin daemon服务器程序上，连接过程如图1所示。
1 A －－－SYN－－－ > B
2 A ＜－－SYN/ACK－－ B
3 A －－－ACK－－－＞ B 图 1
需要提醒读者的是，主机A和B的TCP模块分别使用自己的序列编号。在时刻1时，客户端通过设置标志位SYN=1告诉服务器它需要建立连接。同时，客户端在其TCP头中的序列号领域SEQ放置了它的初始序列号（ISN），并且告诉服务器序列号标示域是有效的，应该被检查。在时刻2时，服务器端在接收了上面的SYN后，作出的反应是将自己的ISN 和对客户端的ACK发向客户端并且告知下一个期待获得的数据序列号是（ISN＋1）。客户端在第3时刻，对服务器的ISN进行确认。这时，数据传输就可以进行了。
ISN与序列号的递增
了解序数编号如何选择初始序列号和如何根据时间变化是很重要的。似乎应该有这种情况，当主机启动后序列编号初始化为1，但实际上并非如此。初始序列号是由tcp_init函数确定的。ISN每秒增加128000，如果有连接出现，每次连接将把计数器的数值增加64000。很显然，这使得用于表示ISN的32位计数器在没有连接的情况下每9.32 小时复位一次。之所以这样，是因为这样有利于最大限度地减少旧有连接的信息干扰当前连接的机会。这里运用了2MSL 等待时间的概念（不在本文讨论的范围之内）。如果初始序列号是随意选择的，那么不能保证现有序列号是不同于先前的。假设有这样一种情况，在一个路由回路中的数据包最终跳出了循环，回到了“旧有”的连接（此时其实是不同于前者的现有连接），显然会发生对现有连接的干扰。
端口号
为了提供对TCP 模块的并行访问，TCP 提供了叫做端口的用户接口。端口被操作系统内核利用来标示不同的网络进程，也就是严格区分传输层入口的标示（就是说，IP 不关心他们的存在）。TCP端口与IP 地址一起提供网络端到端的通信。事实上，在任何时刻任何Internet连接都能由4个要素来描述：源IP 地址、源地址端口号、目的IP 地址和目的地址端口号。服务器程序一般被绑定在标准的端口号上。例如， rlogin daemon被绑定在TCP 513端口。
IP欺骗
IP欺骗由若干步骤组成，这里先简要地描述一下，随后再做详尽地解释。先做以下假定：首先，目标主机已经选定。其次，信任模式已被发现，并找到了一个被目标主机信任的主机。黑客为了进行IP欺骗，进行以下工作：使得被信任的主机丧失工作能力，同时采样目标主机发出的TCP 序列号，猜测出它的数据序列号。然后，伪装成被信任的主机，同时建立起与目标主机基于地址验证的应用连接。如果成功，黑客可以使用一种简单的命令放置一个系统后门，以进行非授权操作。
IP欺骗是一种不光彩的进攻
一个经常被忽略，但却是非常关键的事实就是IP欺骗是不光彩的进攻。进攻者将取代真正被信任的主机，从而破坏目标主机的安全体系。黑客常常利用如下所描述的方法使得真正被信任的主机丧失工作能力。安全防范程度不高的主机在它正在和一个可以信赖的主机通信时，处于Internet某个阴暗角落的一个攻击者实际上是可以使真正被信任的主机处于停顿状态，而自己大量模仿它的数据包，将之发向目标主机。可悲的是目标主机全然没有感觉。由攻击者模仿的TCP数据包到达了目标地址，而由目标地址发往真正被信任主机的TCP数据包却永远到达不了攻击者的主机（两者的真实IP地址不同）。当然，一旦目标地址发送的TCP数据包到达了真正被信任的主机时，信息虽然进入协议堆栈，到达TCP处理模块，但是会被取消。所以，攻击者需要知道目标主机发送了什么，期待什么样的反应。攻击者虽然不能看到目标主机发送的内容，但是它能预料到将发送的内容。围绕着这些内容，攻击者将展开它不光彩的进攻。
信任模式
在选择好进攻目标后，黑客需要确定该主机的信任模式。为了讨论起见，我们假设目标主机确实信任某个主机。找出某个主机信任谁或不信任谁是不容易的。 ′showmount
你也许想了解以下主题：ip欺骗攻击，ip攻击原理，如何利用ip进行攻击，如何进行ip攻击，arp欺骗原理，dns欺骗原理，ip欺骗，ip地址欺骗，ip欺骗工具，什么是ip欺骗，ip欺骗软件，如何防范ip欺骗，ip欺骗定义，ip欺骗防范，ip欺骗的防范，防止ip欺骗，什么叫ip欺骗，ip欺骗病毒，防ip欺骗工具，ip欺骗如何防备。
本文的目的在于向读者解释IP 欺骗的实现方法和预防措施。它要求您掌握有关Unix 和TCP/IP 的少量知识。如果您没有，也没有关系，相信下面的说明能给您以足够的背景知识。
IP欺骗是适用于TCP/IP环境的一种复杂的技术攻击，它由若干部分组成。目前，在Internet领域中，它成为黑客攻击时采用的一种重要手段，因此有必要充分了解它的工作原理和防范措施，以充分保护自己的合法权益。
实际上，IP 欺骗不是进攻的结果，而是进攻的手段。进攻实际上是信任关系的破坏。然而，在本文中，IP 欺骗将被看作是涉及到的整个攻击，对于利用IP欺骗建立起来的虚假信任关系进行破坏的其它行为不作为我们讨论的内容。本文将详尽地解释攻击的全过程，包括有关的操作系统与网络信息。
背景知识
有关主机定义
A：目标主机
B：对于A来说，可信任的主机
X：不能到达的主机
Z：进攻主机
1（2）：主机1化装成主机 2
图示符号定义
本文中有若干图示，它们将类比以下示例进行解释：
时间序列主机a 控制主机 b
1 A －－SYN －－＞ B
时间序列：时间流逝的单位，可以无穷细化。一般认为是很小的单位，表示事件发生的先后顺序。
主机a：参与一次TCP 对话的机器。
控制：显示有关TCP控制字段头部的控制字符和该字段的流动方向。
主机b：参与一次TCP 对话的机器。
这个图示中，在第一参考时间点上主机A发送TCP 字段给主机B，控制字段中的SYN控制位将作为该TCP字段的主要信息。除非特别说明，我们一般不关心TCP 字段中的数据部分。
信任关系
在Unix 领域中，信任关系能够很容易得到。假如您在主机A和B上各有一个帐户，您在使用当中发现，在主机A上使用时需要输入在A上的相应帐户，在主机B上使用时必须输入在B上的帐户，主机A和B把您当作两个互不相关的用户，显然有些不便。为了减少这种不便，您可以在主机A和主机B中建立起两个帐户的相互信任关系。在主机A和主机B上您的home目录中创建.rhosts 文件。从主机A上，在您的home目录中输入'echo " B username " ＞～/.rhosts' ；从主机B上，在您的home目录中输入'echo " A username " ＞～/.rhosts' 。至此，您能毫无阻碍地使用任何以r＊开头的远程调用命令,如：rlogin，rcall，rsh等，而无口令验证的烦恼。这些命令将允许以地址为基础的验证，或者允许或者拒绝以IP地址为基础的存取服务。
Rlogin
Rlogin 是一个简单的客户/服务器程序，它利用TCP传输。Rlogin 允许用户从一台主机登录到另一台主机上，并且，如果目标主机信任它，Rlogin 将允许在不应答口令的情况下使用目标主机上的资源。安全验证完全是基于源主机的IP 地址。因此，根据以上所举的例子，我们能利用Rlogin 来从B远程登录到A，而且不会被提示输入口令。
Internet 协议（IP）
IP 是TCP/IP协议组中非面向连接、非可靠传输的网络协议。它由两个32bit的头字段提供地址信息。IP数据包占TCP/IP协议网络流量中的很大部分，可以说是最为繁忙的部分。IP 的工作在于在网络环境中发送数据包，它不提供保证可靠性的任何机制，对于可靠性的要求，由上层协议来完成。IP只是发送数据包，并且保证它的完整性。如果不能收到完整的IP数据包，IP会向源地址发送一个ICMP 错误信息，希望重新处理。然而这个包也可能丢失(ICMP 是网际控制消息协议，Internet Control Message Protocol，它是用于根据网络条件保证数据传送的协议，主要是向IP层或其它层发送不同的错误信息）。由于IP是非面向连接的，所以不保持任何连接状态的信息。每个IP数据包被松散地发送出去，而不关心前一个和后一个数据包的情况。由此我们不难看出，可以对IP堆栈进行修改，在源地址和目的地址中放入任意满足要求的IP地址，也就是说，提供虚假的IP地址。
传输控制协议（TCP）
TCP 是在TCP/IP协议组中面向连接、提供可靠传输的协议。面向连接意味着参与对话的两个主机必须首先建立起连接，然后才能进行数据交换。可靠性是由数据包中的多位控制字来提供的，但是，其中仅仅有两个是与我们的讨论有关。它们是数据序列和数据确认，分别用SYN和ACK来表示。TCP 向每一个数据字节分配一个序列号，并且可以向已成功接收的、源地址所发送的数据包表示确认（目的地址ACK 所确认的数据包序列是源地址的数据包序列，而不是自己发送的数据包序列）。ACK在确认的同时，还携带了下一个期望获得的数据序列号。显然，TCP提供的这种可靠性相对于IP来说更难于愚弄。
序列编号、确认和其它标志信息
由于TCP是基于可靠性的，它能够提供处理数据包丢失，重复或是顺序紊乱等不良情况的机制。实际上，通过向所传送出的所有字节分配序列编号，并且期待接收端对发送端所发出的数据提供收讫确认，TCP 就能保证可靠的传送。接收端利用序列号确保数据的先后顺序，除去重复的数据包。TCP 序列编号可以看作是32位的计数器。它们从0至232－1 排列。每一个TCP连接（由一定的标示位来表示）交换的数据都是顺序编号的。在TCP数据包中定义序列号（SYN）的标示位位于数据段的前端。确认位（ACK）对所接收的数据进行确认，并且指出下一个期待接收的数据序列号。
TCP通过滑动窗口的概念来进行流量控制。设想在发送端发送数据的速度很快而接收端接收速度却很慢的情况下，为了保证数据不丢失，显然需要进行流量控制，协调好通信双方的工作节奏。所谓滑动窗口，可以理解成接收端所能提供的缓冲区大小。TCP利用一个滑动的窗口来告诉发送端对它所发送的数据能提供多大的缓冲区。由于窗口由16位BIT所定义，所以接收端TCP 能最大提供65535个字节的缓冲。由此，可以利用窗口大小和第一个数据的序列号计算出最大可接收的数据序列号。
其它TCP标示位有RST（连接复位，Reset the connection）、PSH（压入功能，Push function）和FIN （发送者无数据，No more data from sender）。如果RST 被接收，TCP连接将立即断开。RST 通常在接收端接收到一个与当前连接不相关的数据包时被发送。有些时候，TCP模块需要立即传送数据而不能等整段都充满时再传。一个高层的进程将会触发在TCP头部的PSH标示，并且告诉TCP模块立即将所有排列好的数据发给数据接收端。FIN 表示一个应用连接结束。当接收端接收到FIN时，确认它，认为将接收不到任何数据了。
TCP连接的建立
为了利用TCP 连接交换数据，主机间首先必须建立一个连接。TCP 建立连接时可以分为3个步骤，称为三步握手法。如果主机A运行rlogin客户程序，并且希望连接到主机B上的 rlogin daemon服务器程序上，连接过程如图1所示。
1 A －－－SYN－－－ > B
2 A ＜－－SYN/ACK－－ B
3 A －－－ACK－－－＞ B 图 1
需要提醒读者的是，主机A和B的TCP模块分别使用自己的序列编号。在时刻1时，客户端通过设置标志位SYN=1告诉服务器它需要建立连接。同时，客户端在其TCP头中的序列号领域SEQ放置了它的初始序列号（ISN），并且告诉服务器序列号标示域是有效的，应该被检查。在时刻2时，服务器端在接收了上面的SYN后，作出的反应是将自己的ISN 和对客户端的ACK发向客户端并且告知下一个期待获得的数据序列号是（ISN＋1）。客户端在第3时刻，对服务器的ISN进行确认。这时，数据传输就可以进行了。
ISN与序列号的递增
了解序数编号如何选择初始序列号和如何根据时间变化是很重要的。似乎应该有这种情况，当主机启动后序列编号初始化为1，但实际上并非如此。初始序列号是由tcp_init函数确定的。ISN每秒增加128000，如果有连接出现，每次连接将把计数器的数值增加64000。很显然，这使得用于表示ISN的32位计数器在没有连接的情况下每9.32 小时复位一次。之所以这样，是因为这样有利于最大限度地减少旧有连接的信息干扰当前连接的机会。这里运用了2MSL 等待时间的概念（不在本文讨论的范围之内）。如果初始序列号是随意选择的，那么不能保证现有序列号是不同于先前的。假设有这样一种情况，在一个路由回路中的数据包最终跳出了循环，回到了“旧有”的连接（此时其实是不同于前者的现有连接），显然会发生对现有连接的干扰。
端口号
为了提供对TCP 模块的并行访问，TCP 提供了叫做端口的用户接口。端口被操作系统内核利用来标示不同的网络进程，也就是严格区分传输层入口的标示（就是说，IP 不关心他们的存在）。TCP端口与IP 地址一起提供网络端到端的通信。事实上，在任何时刻任何Internet连接都能由4个要素来描述：源IP 地址、源地址端口号、目的IP 地址和目的地址端口号。服务器程序一般被绑定在标准的端口号上。例如， rlogin daemon被绑定在TCP 513端口。
IP欺骗
IP欺骗由若干步骤组成，这里先简要地描述一下，随后再做详尽地解释。先做以下假定：首先，目标主机已经选定。其次，信任模式已被发现，并找到了一个被目标主机信任的主机。黑客为了进行IP欺骗，进行以下工作：使得被信任的主机丧失工作能力，同时采样目标主机发出的TCP 序列号，猜测出它的数据序列号。然后，伪装成被信任的主机，同时建立起与目标主机基于地址验证的应用连接。如果成功，黑客可以使用一种简单的命令放置一个系统后门，以进行非授权操作。
IP欺骗是一种不光彩的进攻
一个经常被忽略，但却是非常关键的事实就是IP欺骗是不光彩的进攻。进攻者将取代真正被信任的主机，从而破坏目标主机的安全体系。黑客常常利用如下所描述的方法使得真正被信任的主机丧失工作能力。安全防范程度不高的主机在它正在和一个可以信赖的主机通信时，处于Internet某个阴暗角落的一个攻击者实际上是可以使真正被信任的主机处于停顿状态，而自己大量模仿它的数据包，将之发向目标主机。可悲的是目标主机全然没有感觉。由攻击者模仿的TCP数据包到达了目标地址，而由目标地址发往真正被信任主机的TCP数据包却永远到达不了攻击者的主机（两者的真实IP地址不同）。当然，一旦目标地址发送的TCP数据包到达了真正被信任的主机时，信息虽然进入协议堆栈，到达TCP处理模块，但是会被取消。所以，攻击者需要知道目标主机发送了什么，期待什么样的反应。攻击者虽然不能看到目标主机发送的内容，但是它能预料到将发送的内容。围绕着这些内容，攻击者将展开它不光彩的进攻。
信任模式
在选择好进攻目标后，黑客需要确定该主机的信任模式。为了讨论起见，我们假设目标主机确实信任某个主机。找出某个主机信任谁或不信任谁是不容易的。 ′showmount
你也许想了解以下主题：ip欺骗攻击，ip攻击原理，如何利用ip进行攻击，如何进行ip攻击，arp欺骗原理，dns欺骗原理，ip欺骗，ip地址欺骗，ip欺骗工具，什么是ip欺骗，ip欺骗软件，如何防范ip欺骗，ip欺骗定义，ip欺骗防范，ip欺骗的防范，防止ip欺骗，什么叫ip欺骗，ip欺骗病毒，防ip欺骗工具，ip欺骗如何防备。
881
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
