IP欺骗的技术.doc

IP欺骗的技术IP欺骗的技术比较复杂,不是简单地照猫画老虎就能掌握,但作为常规攻击手段,有必要理解其原理,至少有利于自己的安全防范,易守难攻嘛。假设B上的客广运行rlogin与A上的rlogind通信:B发送带有SYN标志的数据段通知A需要惣立TCP连接。并将TCP报头屮的sequencenumber设置成自己本次连接的初始值ISN。A回传给B一个带有SYS+ACK标志的数据段,告之自己的ISN,并确认B发送来的第一个数据段,将acknowledgenumber设置成B的ISN+1。B确认收到的A的数据段,将acknowledgenumber设置成A的ISN+1。B■…SYN——>ABv——SYN+ACKAB-—ACK-—>ATCP使用的sequencenumber是一个32位的计数器,从0-4294967295=TCP为每一个连接选择一个初始序号ISN,为了防止因为延迟、重传等扰乱三次握手,ISN不能随便选取,不同系统有不同算法。理解TCP如何分配ISN以及ISN随时间变化的规律,对于成功地进行IP欺骗攻击很重要。基于远程过程调用RPC的命令,比如rlogin>rep、rsh等等,根据/etc/$HOME/.rhosts文件进行安全校验,其实质是仅仅根据信源IP地址进行用八身份确认,以便允许或拒绝用户RPCo关于上述两个文件请man,不喜欢看英文就去Unix版看看我以前灌过的一瓢水。IP欺骗攻击的描述:假设Z企图攻击A,而A信任B,所谓信任指/etc/$HOME/.rhosts屮有相关设置。注意,如何才能知道A信任B呢?没有什么确切的办法。我的姥议就是平时注意搜集蛛丝马迹,厚积薄发。一次成功的攻击其实主要不是因为技术上的高明,而是因为信息搜集的广泛翔实。动用了白以为很有成就感的技术,却不比人家酒桌上的巧妙提问,攻击只以成功为终极日标,不在乎手段。假设ZLL经知道了被信任的B,应该想办法使B的网络功能暂吋瘫痪,以免对攻击造成干扰。箸名的SYNflood常常是一次IP欺骗攻击的前奏。请看一个并发服务器的框架:intinitsockid,newsockid;if((initsockid=socket(...))<0){error("can'tcreatesocket");}if(bind(initsockid,...)<0){error("binderror");}if(listen(initsockid,5)<0){error("listenerror");)for(;;){newsockid=accept(initsockid,...);/*阻塞*/if(newsockid<0){error("accepterror");}if(fork()==0){/*子进程*/close(initsockid);do(newsockid);/*处理客户方请求*/exit(O);)close(newsockid);}listen函数屮第二个参数是5,意思是在initsockid±允许的最人连接请求数目。如果某个吋刻initsockid上的连接请求数目LL经达到5,厉续到达initsockid的连接请求将被TCP丢弃。注意一旦连接通过三次握手疑立完成,accept调用己经处理这个连接,则TCP连接请求队列空出一个位置。所以这个5不是指initsockid±只能接受5个连接请求口SYNflood正是—种DenialofService,导致B的网络功能暂碧被尽?nbsp;Z向B发送多个带有SYN标志的数据段请求连接,注意将信源IP地址换成一个不存在的主机X;B向子虚乌有的X发送SYN+ACK数据段,但没有任何来白X的ACK岀现。B的IP层会报告B的TCP层,X不可达,但B的TCP层对此不予理睬,认为只是暂时的。于是B在这个initsockid上再也不能接收正常的连接请求口Z(X)■…SYN->BZ(X)■…SYN->BZ(X)■…SYN->BZ(X)SYN->BZ(X)SYN——>BX<——SYN+ACKBX<——SYN+ACKBX<——SYN+ACKBX<——SYN+ACKBX<——SYN+ACKB作者认为这样就使得B网络功能新时瘫痪,可我觉得好象不对头。因为B虽然在initsockid上无法接收TCP连接请求,但可以在anotherinitsockid±接收,这种SYNflood应该只对特定的服务(端口),不应该影响到全局。当然如果不断地发送连接请求,就和用ping发洪水包一个道理,使得B的TCP/IP忙于处理负载增人。至于SYNflood,冋头有机会我单独灌一瓢有关DoS的。如何使B的网络功能暂碧被居很多办法,根据具体情况而定,不再赘述。Z必须确定A当前的ISN。首先连向25端口(SMTP是