32、网络攻击欺骗与防御脚本详解

网络攻击欺骗与防御脚本详解

1. 攻击欺骗技术

攻击欺骗是一种试图误导入侵检测系统（IDS）的技术。攻击者可以利用IDS的规则集来创建看似恶意的流量，从而迫使IDS产生误报。

1.1 使用snortspoof.pl脚本进行攻击欺骗

可以使用 snortspoof.pl 脚本来发送由 exploit.rules 文件描述的攻击。以下是一个使用 tcpdump 捕获数据包的示例：

[spoofer]#  tcpdump -i eth1 -l -nn -s 0 -X -c 1 port 635

执行该命令后， tcpdump 会捕获一个UDP数据包，该数据包目标是IP地址 44.44.55.55 的635端口。数据包的应用层数据与Snort规则ID 315期望看到的内容完全一致。Snort和fwsnort在监测到这样的数据包后都会生成一个事件，而IP地址 11.11.22.22 看起来像是攻击者。

snortspoof.pl 脚本通过解析Snort规则集，并使用原始套接字向目标IP地址发送匹配的流量，从而实现攻击欺骗的自动化。虽然该脚本仅适用于Snort IDS，但类似的策略可以应用于任何使用签名来检测可疑流量的IDS，只需要一份签名集和一个经过略微修改的 snortspoof.pl 脚本即可。