⑴ IP偽裝ddos攻擊
IP欺騙的定義：
欺騙是指在互聯網上模仿一個用戶、設備或客戶。在網路攻擊中常用來掩蓋攻擊流量的來源。
最常見的欺騙形式包括:
DNS 伺服器欺騙 – 為了將域名重定向到不同的IP地址，對 DNS 伺服器進行修改。 它通常用於傳播病毒。
ARP欺騙 – 通過虛假的ARP信息，將一個攻擊者的MAC地址鏈接到一個合法地址。通常用於拒絕服務 (DoS) 和中間人攻擊。
IP地址欺騙 – 掩蓋攻擊者的原始地址。通常在DoS攻擊中使用。
DDOS 攻擊中的IP 地址欺騙，在 DDoS Attack 中，使用IP地址欺騙的原因有兩條：掩蓋僵屍網路設施的位置和發起反射攻擊。
攻擊者通過使用虛假IP地址，ip偽裝ddos攻擊，掩蓋他們僵屍網路設施的真實身份，其目的在於:
避免被執法機構和法庭網路調查者發現和受到牽連，阻止目標將他們正在實施的攻擊通知給設備所有者，繞開試圖通過將攻擊IP地址列入黑名單來緩解DDoS攻擊的安全腳本、設施和服務。
⑵ ip地址欺騙通常是
Ip地址欺騙是黑客攻擊的一種形式。黑客利用一台電腦上網，借用另一台機器的IP地址，從而偽裝成另一台機器來對付伺服器。防火牆可以識別這種ip欺騙。IP地址欺騙是指該操作生成的IP數據包是偽造的源IP地址，以便偽裝成另一個系統或發送者。互聯網協議或IP是通過計算機網路和互聯網發送/接收數據的基本協議。互聯網協議，發送或接收包含相關信息(如源和目的地)的數據包的操作。對於IP地址欺騙，放在源欄位中的信息並不是數據包的實際來源。通過在源域中使用具有不同地址的數據包，實際發送者可以使其看起來像數據包，並被發送到另一台計算機，從而反映目標計算機將被發送到假地址中指定的數據包——除非攻擊者想要將響應重定向到自己的計算機。影響IP地址欺騙IP地址欺騙是非常有益的，特別是在拒絕服務(DoS)攻擊的情況下，例如大量信息被發送到目標計算機或系統，而沒有肇事者的關注。這種類型的攻擊特別有效，因為攻擊數據包似乎來自不同的來源，因此很難跟蹤攻擊者。黑客使用IP地址欺騙，通常使用從整個IP地址空間頻譜中隨機選擇的IP地址，而一些更高級的黑客只使用IP地址范圍中未注冊的部分。然而，IP地址欺騙不如利用僵屍網路進行DoS攻擊有效，因為它可以被監控。互聯網主管部門可以利用散射技術，根據DoS攻擊判斷使用了多少無效IP地址。但是，它仍然是黑客攻擊的可行替代方案。IP地址欺騙也是一種非常有用的網路滲透和克服網路安全措施的工具。發生這種情況時，IP地址欺騙者使用可信的IP地址，即內部網路，從而避免了提供用戶名或密碼登錄系統的需要。這種攻擊通常基於一組特定的主機控制項(如rhosts ),這些控制項是不安全的配置。IP地址欺騙防範入侵過濾或包過濾傳入流量，使用來自系統外部的技術是防範IP地址欺騙的有效方法，因為這種技術可以判斷數據包是來自系統內部還是外部。因此，出口過濾還可以防止帶有假冒IP地址的數據包退出系統並對其他網路發起攻擊。上層協議，如TCP連接或傳輸控制協議，其中序列號用於建立與其他系統的安全連接，也是防止IP地址欺騙的有效方法。關閉到您的網路路由器的源路由(寬松和嚴格)也可以幫助防止黑客利用許多欺騙功能。路由是過去廣泛使用的一種技術，用於防止單個網路故障導致重大網路故障，但今天互聯網上的當前路由協議使這一切變得沒有必要。
⑶ DNS 系列（三）：如何免受 DNS 欺騙的侵害
互聯網上每一台設備都擁有一個由數字組成的IP地址，我們在進行網路訪問時通過IP地址進行准確請求。然而，記憶IP地址困難重重，因此我們利用更加便捷的域名進行替代。域名系統（DNS）正是將域名與IP地址聯系起來的關鍵，它通過名稱伺服器（DNS伺服器）實現域名解析，幫助客戶端建立網路連接。然而，DNS與客戶端的通信過程中存在安全風險，攻擊者可能篡改域名解析，實施DNS欺騙。DNS欺騙是指篡改DNS解析結果，讓虛假的IP地址發起欺騙性攻擊。
DNS欺騙具體操作為，攻擊者操縱DNS請求返回虛假IP地址。當客戶端與假IP地址建立連接時，用戶會錯誤地訪問到假伺服器。例如，當客戶端嘗試連接http://example.com時，DNS欺騙可能導致用戶實際訪問的並非合法伺服器。
DNS欺騙帶來的威脅主要體現在網路釣魚和域名欺騙攻擊上。攻擊者通過篡改DNS解析，意圖攔截互聯網用戶數據。DNS欺騙對客戶端建立的每條連接都會產生影響。無論是訪問網站還是發送電子郵件，如果相關伺服器的IP地址被篡改，用戶將被誘導相信訪問的是合法地址，並在此基礎上進行惡意軟體下載和系統感染，從而竊取敏感用戶數據。
DNS欺騙風險包括在疫情爆發期間，國外有路由器DNS被劫持至惡意IP地址，導致用戶在下載聲稱來自世界衛生組織的COVID-19通知應用時，實際上安裝了木馬軟體。木馬軟體會搜索本地系統，嘗試獲取敏感數據，並用於網路釣魚攻擊。
除了惡意攻擊，DNS欺騙也可能被互聯網服務提供商（ISP）用於審查或投放廣告。ISP通過操縱DNS表來實施國家審查要求，禁止用戶訪問違規網站，並將訪問請求重定向至警告頁面。DNS欺騙還可以幫助收集用戶數據或通過重定向投放廣告。例如，當用戶嘗試訪問不存在或拼寫錯誤的域名時，ISP使用DNS欺騙將用戶重定向至特定頁面，該頁面可能展示廣告或創建用戶配置文件。
為防止DNS欺騙，需要採取加密措施。網站管理員可以通過開啟HTTPS、配置TLS和SSL協議來保護數據傳輸安全，防止攻擊者冒充正常主機時出現證書錯誤提示。DNS伺服器間連接可通過DNSCrypt、DNS over HTTPS（DoH）和DNS over TLS（DoT）等技術減少中間人攻擊風險。同時，使用公共DNS服務可以避免DNS欺騙，提高解析響應速度並使用DNSSEC、DoH、DoT和DNSCrypt等先進安全技術。
綜上所述，了解DNS欺騙及其防範措施對於保護網路安全至關重要。遵循上述建議，可以有效防止DNS欺騙帶來的風險，確保網路連接安全與數據隱私。
⑷ 如何利用「IP地址欺騙」
深入分析研究防火牆技術，利用防火牆配置和實現 的漏洞，可以對它實施攻擊。通常情況下，有效的攻擊都是從相關的子網進行的，因為這些網址得到了防火牆的信賴，雖說成功與否尚取決於機遇等其他因素，但對攻擊者而言很值得一試。
突破防火牆系統最常用的方法是IP地址欺騙，它同時也是其他一系列攻擊方法的基礎。之所以使用這個方法，是因為IP自身的缺點。IP協議依據IP頭中的目的地址項來發送IP數據包。如果目的地址是本地網路內的地址，該IP包就被直接發送到目的地。如果目的地址不在本地網路內，該IP包就會被發送到網關，再由網關決定將其發送到何處。這是IP路由IP包的方法。IP路由IP包時對IP頭中提供的IP源地址不做任何檢查，並且認為IP頭中的IP源地址即為發送該包的機器的IP地址。當接收到該包的目的主機要與源主機進行通訊時，它以接收到的IP包的IP頭中IP源地址作為其發送的IP包的目的地址，來與源主機進行數據通訊。IP的這種數據通訊方式雖然非常簡單和高效，但它同時也是IP的一個安全隱患，很多網路安全事故都是因為IP這個的缺點而引發的。
黑客或入侵者利用偽造的IP發送地址產生虛假的數據分組，喬裝成來自內部站的分組過濾器，這種類型的攻擊是非常危險的。關於涉及到的分組真正是內部的還是外部的分組被包裝得看起來象內部的種種跡象都已喪失殆盡。只要系統發現發送地址在其自己的范圍之內，則它就把該分組按內部通信對待並讓其通過。
通常主機A與主機B的TCP連接(中間有或無防火牆)是通過主機A向主機B提出請求建立起來的，而其間A和B的確認僅僅根據由主機A產生並經主機B驗證的初始序列號ISN。具體分三個步驟：
主機A產生它的ISN，傳送給主機B，請求建立連接；B接收到來自A的帶有SYN標志的ISN後，將自己本身的ISN連同應答信息ACK一同返回給A；A再將B傳送來ISN及應答信息ACK返回給B。至此，正常情況，主機A與B的TCP連接就建立起來了。
B ---- SYN ----> A
B <---- SYN+ACK ---- A
B ---- ACK ----> A
假設C企圖攻擊A，因為A和B是相互信任的，如果C已經知道了被A信任的B，那麼就要相辦法使得B的網路功能癱瘓，防止別的東西干擾自己的攻擊。在這里普遍使用的是SYN flood。攻擊者向被攻擊主機發送許多TCP- SYN包。這些TCP-SYN包的源地址並不是攻擊者所在主機的IP地址，而是攻擊者自己填入的IP地址。當被攻擊主機接收到攻擊者發送來的TCP-SYN包後，會為一個TCP連接分配一定的資源，並且會以接收到的數據包中的源地址（即攻擊者自己偽造的IP地址）為目的地址向目的主機發送TCP-（SYN+ACK）應答包。由於攻擊者自己偽造的IP地址一定是精心選擇的不存在的地址，所以被攻擊主機永遠也不可能收到它發送出去的TCP-（SYN+ACK）包的應答包，因而被攻擊主機的TCP狀態機會處於等待狀態。如果被攻擊主機的TCP狀態機有超時控制的話，直到超時，為該連接分配的資源才會被回收。因此如果攻擊者向被攻擊主機發送足夠多的TCP-SYN包，並且足夠快，被攻擊主機的TCP模塊肯定會因為無法為新的TCP連接分配到系統資源而處於服務拒絕狀態。並且即使被攻擊主機所在網路的管理員監聽到了攻擊者的數據包也無法依據IP頭的源地址信息判定攻擊者是誰。
當B的網路功能暫時癱瘓，現在C必須想方設法確定A當前的ISN。首先連向25埠，因為SMTP是沒有安全校驗機制的，與前面類似，不過這次需要記錄A的ISN，以及C到A的大致的RTT(round trip time)。這個步驟要重復多次以便求出RTT的平均值。一旦C知道了A的ISN基值和增加規律，就可以計算出從C到A需要RTT/2 的時間。然後立即進入攻擊，否則在這之間有其他主機與A連接，ISN將比預料的多。
C向A發送帶有SYN標志的數據段請求連接，只是信源IP改成了B。A向B回送SYN+ACK數據段，B已經無法響應，B的TCP層只是簡單地丟棄A的回送數據段。這個時候C需要暫停一小會兒，讓A有足夠時間發送SYN+ACK，因為C看不到這個包。然後C再次偽裝成B向A發送ACK，此時發送的數據段帶有Z預測的A的ISN+1。如果預測准確，連接建立，數據傳送開始。問題在於即使連接建立，A仍然會向B發送數據，而不是C，C仍然無法看到A發往B的數據段，C必須蒙著頭按照協議標准假冒B向A發送命令，於是攻擊完成。如果預測不準確，A將發送一個帶有RST標志的數據段異常終止連接，C只有從頭再來。隨著不斷地糾正預測的ISN，攻擊者最終會與目標主機建立一個會晤。通過這種方式，攻擊者以合法用戶的身份登錄到目標主機而不需進一步的確認。如果反復試驗使得目標主機能夠接收對網路的ROOT登錄，那麼就可以完全控制整個網路。
C(B) ---- SYN ----> A
B <---- SYN+ACK ---- A
C(B) ---- ACK ----> A
C(B) ---- PSH ----> A
IP欺騙攻擊利用了RPC伺服器僅僅依賴於信源IP地址進行安全校驗的特性，攻擊最困難的地方在於預測A的ISN。攻擊難度比較大，但成功的可能性也很大。C必須精確地預見可能從A發往B的信息，以及A期待來自B的什麼應答信息，這要求攻擊者對協議本身相當熟悉。同時需要明白，這種攻擊根本不可能在交互狀態下完成，必須寫程序完成。當然在准備階段可以用netxray之類的工具進行協議分析。
雖然IP欺騙攻擊有著相當難度，但我們應該清醒地意識到，這種攻擊非常廣泛，入侵往往由這里開始。預防這種攻擊還是比較容易的。IP本身的缺陷造成的安全隱患目前是無法從根本上消除的。我們只能採取一些彌補措施來使其造成的危害減少到最小的程度。防禦這種攻擊的最理想的方法是：每一個連接區域網的網關或路由器在決定是否允許外部的IP數據包進入區域網之前，先對來自外部的IP數據包進行檢驗。如果該IP包的IP源地址是其要進入的區域網內的IP地址，該IP包就被網關或路由器拒絕，不允許進入該區域網。這種方法雖然能夠很好的解決問題，但是考慮到一些乙太網卡接收它們自己發出的數據包，並且在實際應用中區域網與區域網之間也常常需要有相互的信任關系以共享資源，這種方案不具備較好的實際價值。另外一種防禦這種攻擊的較為理想的方法是當IP數據包出區域網時檢驗其IP源地址。即每一個連接區域網的網關或路由器在決定是否允許本區域網內部的IP數據包發出區域網之前，先對來自該IP數據包的IP源地址進行檢驗。如果該IP包的IP源地址不是其所在區域網內部的IP地址，該IP包就被網關或路由器拒絕，不允許該包離開區域網。這樣一來，攻擊者至少需要使用其所在區域網內的IP地址才能通過連接該區域網的網關或路由器。如果攻擊者要進行攻擊，根據其發出的IP數據包的IP源地址就會很容易找到誰實施了攻擊。因此建議每一個ISP或區域網的網關路由器都對出去的IP數據包進行IP源地址的檢驗和過濾。如果每一個網關路由器都做到了這一點，IP源地址欺騙將基本上無法奏效。
