8、传输层攻击与防御：原理、扫描技术及应对策略

传输层攻击与防御：原理、扫描技术及应对策略

1. UDP 头部日志记录

UDP 头部在 RFC 768 中被定义，它仅有 8 字节长，且没有可变长度字段。由于没有特殊的命令行参数来影响 LOG 目标对 UDP 头部的表示方式，iptables 总是以相同的方式记录 UDP 头部信息。

即便在 iptables 策略的默认 LOG 规则中使用了 --log-tcp-options 参数，但当 UDP 数据包匹配到这些规则时，iptables 会正确处理，仅记录数据包中实际存在的信息，不会尝试记录不存在的 TCP 头部选项部分。UDP 校验和不会被记录，但其余三个字段（源端口 SPT、目的端口 DPT 和长度 LEN）都会被包含在内。

例如，以下命令发送 UDP 数据包：

[ext_scanner]$ echo -n "aaaa" | nc -u 71.157.X.X 5001

查看日志：

[iptablesfw]# tail /var/log/messages | grep 5001
Jul 12 16:27:08 iptablesfw kernel: DROP IN=eth0 OUT= 
MAC=00:13:d3:38:b6:e4:00:30:48:80:4e:37:08:00 SRC=144.202.X.X DST=71.157.X.X 
LEN=33 TOS=0x00 PREC=0x00 TTL=64 ID=38817 DF PROTO=UDP
SPT=4