您当前位置：编程技术 >> 编程技术历史

这种欺骗成功后代价惨痛还原欺骗全过程

如今的网络安全越来越重要，不但要防止恶意用户的钓鱼式攻击，而且还要防止黑客通过溢出工具或IP欺骗进行非法活动。如果让黑客得手，那企业付出的代价将是惨痛的。身为企业网管或个人用户，只有在深入了解了IP欺骗原理后，才能对其进行更好的防御。

1．被信任的主机丧失工作能力

IP欺骗由多个过程进行组合分工，当黑客选择了一台远程目标信任主机，其信任机制在被创建的情况下对其下手，使目标机失去工作能力，并提取目标机发出的TCP序列号进行猜测数据序列号，成功后开始伪装被信任的远程计算机，同时建立基于地址验证的连接，连接一旦成功，黑客就会取代被信任主机的角色，使用相关命令来放置危险的后门程序，从而实现其不可告人的目的。

如著名的TCPSYN淹没就是利用客户端向服务器发送SYN请求，服务器返回一个SYN/ACK信号，如果数据超出TCP处理模块内的SYN请求上限，那超出队列长度的数据连接请求将会被拒绝，此时恶意用户就会利用这一特性，向目标机的TCP端口发送大量合法的虚拟IP地址，而目标机随即回应信号，但信号却无法连接到主机，此时IP数据包会通知受攻击的主机TCP无法到达，但主机TCP层却认为是网络连接暂时错误，并尝试再次连接，直到确信无法连接，而大量SYN请求却是一波接着一波，将其TCP队列排满。此时就给IP欺骗赢得了时间，使黑客大胆使用此IP地址进行欺骗。

2．序列号取样和猜测

要对目标主机进行攻击，必须知道目标主机使用的数据包序列号。黑客先与被攻击主机的一个端口（如SMTP对应的端口）建立起正常连接。通常，这个过程被重复若干次，并将目标主机最后所发送的ISN存储起来。黑客还需要猜测其主机与被信任主机之间的RTT时间（往返时间），这个RTT时间是通过多次统计平均求出的。RTT对于估计下一个ISN是非常重要的。每秒钟ISN增加，每次连接增加。

现在就不难估计出ISN的大小了，它是乘以RTT的一半，如果此时目标主机刚刚建立过一个连接，那么再加上一个。再估计出ISN大小后，立即就开始进行攻击。当黑客的虚假TCP数据包进入目标主机时，根据估计的准确度不同，会发生不同的情况。

●如果估计的序列号是准确的，进入的数据将被放置在接收缓冲器以供使用。

●如果估计的序列号小于期待的数字，那么将被放弃。

●如果估计序列号大于期待的数字且在滑动窗口（前面讲的缓冲）之内，该数据被认为是一个未来的数据，TCP模块将等待其他缺少的数据。如果估计序列号大于期待的数字且不在滑动窗口（前面讲的缓冲）之内，TCP将会放弃该数据并返回一个期望获得的数据序列号。

下面是一个通过传输返回的数据序列号的实例，其数据的传输过程如下：

时刻1：Z（B）－－－SYN－－－＞A

时刻2：B＜－－－SYNACK－－－A

时刻3：Z（B）－－－－ACK－－－＞A

时刻4：Z（B）－－－——PSH－－－＞A

攻击者伪装成被信任主机的IP地址，在时刻1时该主机仍然处在停顿状态，再向目标主机的端口（rlogin的端口号）发送连接请求。在时刻2目标主机对连接请求做出反应，发送SYNACK数据包给被信任主机（如果被信任主机处于正常工作状态，则会认为是错误并立即向目标主机返回RST数据包，但此时它处于停顿状态）。

按照计划，被信任主机会抛弃该SYNACK数据包。在时刻3攻击者向目标主机发送ACK数据包，该ACK使用前面估计的序列号加1（因为是在确认）。如果攻击者估计正确，目标主机将会接收该ACK。至此，将开始数据传输。一般地，攻击者将在系统中放置一个后门，以便侵入。此时就可以将“cat‘++’~/.rhosts”命令发送过去，这样在完成本次攻击之后就不用口令直接登录到目标主机上。如果达到这一步，一次完整的IP欺骗才算完成了。

一个和这种通过TCP序列号攻击相似的方法，是使用NETSTAT服务。如果目标主机上有NETSTAT，它能提供在另一端口上的必须的序列号，就可以省去所有猜测的工作。

大量工具已经测试完毕，新工具不停发布中，工具下载链接发布黑客安全VIP班的群里，记得领取使用哦！！！

想学习更多使用技术，可以看看我的课程，课程一直再更新，终身VIP不再收费。

目前已经更新的课程大纲如下：

黑客一期实战课，大纲如下：

第1堂：我是新人快速入门

第2堂：系统漏洞的攻击和防御

第3堂：系统入侵与远程控制的攻击和防守

第4堂：电脑木马的攻击和防范

第5堂：电脑病毒的攻击和防范

第6堂：电脑系统安全的攻击和防范

第7堂：电脑系统账户的攻击和防范