7、网络层与传输层攻击及防御解析

网络层与传输层攻击及防御解析

1. 网络层攻击类型

1.1 可疑TTL值

在本地子网中，数据包的生存时间（TTL）值为零是可疑的。这种数据包的出现可能是由于存在严重故障的路由器将其转发到子网，或者该数据包源自同一子网内的系统。

1.2 Smurf攻击

Smurf攻击是一种古老但有效的技术。攻击者向网络广播地址伪造ICMP回显请求（Echo Requests），伪造的源地址是目标地址。其目标是让响应这些回显请求的系统向目标发送尽可能多的ICMP回显响应（Echo Response）数据包，从而淹没目标。如果网络没有对发往广播地址的ICMP回显请求进行控制（例如，Cisco路由器未使用 no ip directed-broadcast 命令），那么所有接收到回显请求的主机都会向伪造的源地址发送响应。攻击者通过使用大型网络的广播地址，希望放大针对目标生成的数据包数量。虽然与使用专用控制通道进行分布式拒绝服务（DDoS）攻击的工具相比，Smurf攻击已经过时，且没有简单的路由器配置对策，但由于其易于实施且原始源代码容易获取，仍值得关注。

1.3 利用分片和目标TTL隐藏攻击

攻击者可以利用路由路径信息，通过分片重组技巧来隐藏网络攻击。例如，攻击者发现主机前有一个路由器，并且怀疑入侵检测系统（IDS）正在监视主机子网前的子网。此时，攻击者可以将攻击分散到三个IP数据包（f1、f2和f3）中，通过以下步骤使攻击不被IDS检测到：
1. 创建第二个分片f2的副本f2’，用伪数据替换其有效负载，并将其TTL降低到一个初始值，使其到达路由器时TTL值为1。
2. 依次发送f1、