IP 欺骗

IP 欺骗（IP spoofing）是指构造带有伪造源 IP 地址的 Internet Protocol（IP）数据包，使这些数据包看上去来自与实际发送者不同的机器或用户。

IP 欺骗的基本操作是修改数据包 IP 头部中的源 IP 地址字段。这一手法会让接收系统误以为数据包来自所指定的、往往看似合法却并不真实的源 IP 地址。该技术利用了 IP 本身的无状态特性：数据包按目的地址路由，而不会对来源做固有校验。

IP 欺骗的工作原理

一个 IP 数据包的头部包含源 IP 地址、目的 IP 地址、协议类型和校验和等字段。系统发送数据包时，会用自身 IP 填充源 IP 地址字段。在 IP 欺骗攻击中，攻击者手工构造数据包，并在源字段中填入任意 IP 地址。

数据包构造示例（Python 配合 Scapy）

攻击者可以使用现成工具或自写脚本来构造这类数据包。例如在 Python 中使用 scapy：

from scapy.all import IP, TCP, send

# 定义伪造的源 IP 和目标 IP
spoofed_ip = "192.168.1.100" # 示例：内网中的一台主机
target_ip = "10.0.0.50"    # 示例：被攻击的服务器

# 使用伪造源地址构造 IP 数据包
ip_layer = IP(src=spoofed_ip, dst=target_ip)

# 添加 TCP 层（例如用于尝试建立连接的 SYN 包）
tcp_layer = TCP(dport=80, flags="S") # 目标端口 80，SYN 标志

# 组合各层
spoofed_packet = ip_layer / tcp_layer

# 发送数据包（需要 root/管理员权限）
send(spoofed_packet)
print(f"Sent spoofed packet from {spoofed_ip} to {target_ip}")

该示例演示了发送一个 TCP SYN 包，其源 IP 地址被设为 192.168.1.100，而非真实发送方的 IP。目标系统 10.0.0.50 会收到该包，并按其来自 192.168.1.100 来处理。

回程流量问题

对使用 IP 欺骗的攻击者而言，处理回程流量是一大难题。目标系统响应伪造数据包时，会把响应发往伪造的源 IP 地址，而不是攻击者的真实 IP。

• 盲欺骗（Blind Spoofing）：在这种场景下，攻击者收不到目标的响应。它适用于无需双向连接或会话建立的攻击，例如：
  • 拒绝服务（DoS）攻击：用伪造数据包淹没目标（例如 SYN flood、UDP flood），此类攻击的成功并不依赖回复。
  • DDoS 放大攻击：利用反射服务器（例如 DNS、NTP）向被伪造的受害者 IP 地址发送大体量响应。攻击者把受害者的 IP 伪造成源地址，向反射器发送一个很小的请求，反射器随即向受害者返回一个很大的响应。
• 非盲欺骗（Non-Blind Spoofing）：更为复杂，要求攻击者能够截获回程流量。通常只有在本地网段内（攻击者可以嗅探发往被伪造 IP 的流量），或攻击者能控制路由路径时才可行。例如：
  • ARP 欺骗（第 2 层）：相关但不同，它伪造 MAC 地址以截获本地流量。
  • 会话劫持：如果攻击者能预测序列号并把数据包注入已有会话，即使收不到全部回程流量也可能得手。

实施 IP 欺骗的动机

攻击者使用 IP 欺骗有多种原因：

• 匿名性：隐藏真实身份和来源，使溯源变得困难。
• 绕过安全控制：某些安全系统依赖 IP 地址做认证或访问控制列表（ACL）。欺骗可以让攻击者冒充受信任的主机。
• 拒绝服务（DoS）与分布式拒绝服务（DDoS）攻击：如前所述，欺骗是这类攻击中常用的技术，用于隐藏攻击者来源并放大攻击流量。
• 规避入侵检测系统（IDS）：通过更换源 IP，攻击者可尝试规避检测或分散攻击痕迹。

针对 IP 欺骗的防护

有效防护 IP 欺骗需要多层次的方法，涵盖网络基础设施、主机安全和应用层控制。

1. 入向过滤（BCP 38）

入向过滤由 RFC 2827（现为 BCP 38）定义，是互联网服务提供商（ISP）和网络运营商实施的关键防线。它在网络边界检查进入的数据包（ingress），确认其源 IP 地址确实属于其来源网络地址块。

• 机制：路由器检查进入本网络的数据包的源 IP 地址。如果某个数据包声称来自并未分配给该入向接口客户的 IP 地址，路由器就丢弃该包。
• 影响：这可阻止外部攻击者发送声称来自 ISP 自有地址空间或其他外部地址空间的伪造数据包，显著削弱跨网络边界的盲欺骗攻击效果。

2. 出向过滤

出向过滤在组织内部网络与外部网络的边界上实施。

• 机制：防火墙或路由器检查外发数据包（egress），确认其源 IP 地址属于本组织的内部网络。
• 影响：这可阻止被攻陷的内部系统或恶意内部人员发送声称来自外部 IP 地址的伪造数据包，也有助于防止本组织网络被当作 DDoS 放大攻击的源头。

3. TCP 序列号

对于 TCP 这类面向连接的协议，序列号用于确保数据包按正确顺序接收，并防止重放攻击。

• 机制：在 TCP 握手（SYN、SYN-ACK、ACK）过程中双方交换初始序列号（ISN），后续数据包在此基础上递增。
• 影响：如果攻击者在不知道正确序列号的情况下试图向已有 TCP 会话注入伪造数据包，接收系统通常会丢弃该包，因为它不落在预期的序列窗口内。除非攻击者能准确预测或观察到序列号，否则对活动 TCP 会话进行非盲欺骗极为困难。

4. IPsec

IPsec（Internet Protocol Security）是一套在 IP 层提供安全服务的协议。

• 机制：IPsec 可以用加密方法（例如 AH——Authentication Header）验证 IP 数据包的来源，并对数据加密（ESP——Encapsulating Security Payload）。
• 影响：正确部署 IPsec 后，可确保数据包确实来自所声称的源，且在传输中未被篡改。这有效缓解了受 IPsec 保护流量中的 IP 欺骗。

5. 代理服务

在 IP 地址这一议题上，代理服务扮演双重角色：它们本身就会改变出站连接的表面源 IP，同时也能提供针对恶意欺骗的防护。

• 匿名性／源 IP 屏蔽：客户端通过代理连接时，目标服务器看到的源地址是代理的 IP，而不是客户端的原始 IP。这是一种合法的 IP 地址变更方式，可提供匿名性或基于代理 IP 实施访问控制。由于代理是合法充当中间人，因此不同于恶意的 IP 欺骗。
• 过滤与校验：健壮的代理服务可以实现自有的过滤规则，在转发之前对客户端请求进行校验。如果客户端试图发送带有伪造源 IP 的流量（例如通过自定义请求头或应用层协议），代理可以检测并阻断。
• 认证：代理可以对客户端强制实施强认证机制（例如用户名／密码、客户端证书）才允许访问服务。这样即使攻击者成功伪造了 IP 地址，也无法绕过代理要求的认证。
• 速率限制：代理可按客户端或按目标实施速率限制，即便部分伪造流量抵达代理，也能减轻 DoS 攻击的影响。
• 应用层安全：代理运行在更高层次（例如 HTTP/HTTPS 代理），可以检查并校验应用层的请求头与内容，提供超出 IP 层过滤的防御。例如，代理可以核验 HTTP X-Forwarded-For 请求头是否一致，或剥离其中可能存在恶意的内容。

6. 其他认证机制

仅依赖 IP 地址做认证（基于 IP 的 ACL）由于存在欺骗风险，本质上并不安全。

• 机制：采用更强的认证方式，例如：
  • 用户名与密码：标准认证。
  • 多因素认证（MFA）：增加一层额外安全。
  • 数字证书：用于双向 TLS 认证的客户端证书。
  • API 密钥／令牌：用于程序化访问。
• 影响：即便攻击者伪造了 IP 地址，没有有效凭据或证书也无法获得未授权访问。

7. 防火墙与入侵检测／防御系统（IDS/IPS）

• 机制：防火墙可配置为丢弃源 IP 无效的数据包（例如出现在外部接口上的私有 IP 地址、回环地址）。IDS/IPS 系统可检测出提示欺骗行为的异常流量模式或特征，例如来自不存在或非预期源 IP 的数据包突然激增。
• 影响：这些系统提供实时监控与阻断能力，为应对各种形式的 IP 欺骗再增加一层防御。