攻防技术-单包攻击防范：扫描、畸形、特殊（HCIP）

单包攻击类型介绍

一、扫描窥探攻击

1、地址扫描攻击防范

攻击介绍

• 运用ping程序探测目标地址，确定目标系统是否存活。也可使用TCP/UDP报文对目标系统发起探测（如TCP ping）。

防御方法

• 检测进入防火墙的ICMP、TCP和UDP报文，根据源IP地址获取统计表项的索引，如果目的IP地址与前一报文的IP地址不同，则将表项中的总报文个数增加1。如果在一定时间内报文的个数达到设置的阑值，记录日志，并根据配置决定是否将源IP地址自动加入黑名单。

2、端口扫描攻击防范

攻击介绍

• Port Scan攻击通常使用一些软件，向大范围主机的各个TCP/UDP端口发起连接，根据应答报文判断主机是否使用这些端口提供服务。

防御方法

• 检测进入防火墙的TCP报文或UDP报文，根据源IP地址获取统计表项的索引，如果目的端口与前一报文不同，将表项中的报文个数增1。如果报文的个数超过设置的闯值，记录日志，并根据配置决定是否将源IP地址加入黑名单。

二、畸形报文攻击

1、SUMRF攻击防范

攻击介绍

• Smurf攻击方法是发送ICMP请求，该请求包的目标地址设置为受害网络的广播地址，源地址为服务器地址。该网络的所有主机都回应此ICMP请求，回应报文全部发往服务器，导致服务器不能正常提供服务。

防御方法

• 检查ICMP应答请求包的目的地址是否为子网广播地址或子网的网络地址，如果是，则直接拒绝，并将攻击记录到日志。

2、LAND攻击防范

攻击介绍

• 把TCP 的源地址和目标地址都设置成某一个受害者的IP地址。这将导致受害者向它自己的地址发送SYN-ACK消息，结果这个地址又发回ACK消息并创建一个空连接，占用系统资源或使目的主机崩溃。

防御方法

• 对每一个的IP报文进行检测，若其源地址与目的地址相同，或者源地址为环回地址（127.0.0.1），则直接拒绝，并将攻击记录到日志。

3、Fraggle攻击防范

攻击介绍

• Fraggle类似于Smurf攻击，使用UDP应答消息而非ICMP。UDP端口7（ECHO）和端口19（Chargen）在收到UDP报文后，会产生大量无用的应答报文，占满网络带宽。

防御方法

• 检查进入防火墙的UDP报文，若目的端口号为7或19，则直接拒绝，并将攻击记录到日志，否则允许通过。

4、IP Fragment攻击

攻击介绍

• IP报文中有几个字段与分片有关：DF位、MF位、Fragment offsetLength 。如果上述字段的值出现矛盾，而设备处理不当，会对设备造成一定的影响，甚至瘫痪。

防御方法

• 检查IP报文中与分片有关的字段（DF位、MF位、片偏置量、总长度）是否有以下矛盾，若发现含有以下矛盾，则丢弃。将攻击记录到日志：
  • DF位为1，而MF位也为1或Fragment Offset不为0。
  • DF位为0，而Fragment Offset + Length > 65535。

DF不要分片、MF要分片偏移量。

5、IP Spoofing攻击防范

攻击介绍

• 为了获得访问权，或隐藏入侵者的身份信息，入侵者生成带有伪造源地址的报文，并使用该伪造源地址访问攻击目标，进行扫描、窥探等预备攻击。

防御方法

• 检测每个接口流入的IP报文的源地址与目的地址，并对报文的源地址反查路由表，入接口与以该IP地址为目的地址的最佳出接口不相同的IP报文被视为IP Spoofing攻击，将被拒绝，并进行日志记录。

一台主机X去访问Y，正常路由器收到报文是根据目的路由去查路由表，也就是路由表中查去往Y的路由，不关心去往源X的，启用了IP Spoofing防护之后，X去往Y的路由从Eth1口收到后，不但会查路由表去往Y怎么走，还会反向查询路由表去往X是否是从Eth1口学到，如果X路由是从其他接口学到或者是根本没有X路由就会把这个访问干掉。

6、Ping of Death攻击

攻击介绍

IP报文的长度字段为16位，即IP报文的最大长度为65535 B。Ping of Death利用一些长度超大的ICMP报文对系统进行攻击。

防御方法

检测ICMP请求报文长度是否超过65535 B，若超过，则丢弃报文并记录日志。

7、TCP Flag攻击

攻击介绍

• TCP报文包含6个标志位：URG、ACK、PSH、RST、SYN、FIN ，（最经典的标志位：ACK、RST、SYN、FIN）不同的系统对这些标志位组合的应答是不同的，可用于操作系统探测。

防御方法

• 检查TCP报文的各个标志位，若出现以下任意一种情况，直接丢弃该报0文并记录日志

• • 6个标志位全为1或6个标志位全为0。
  • SYN和FIN位同时为1；SYN和RST同时为1。
  • FIN和URQ同时为1，RST和FIN同时为1。

8、Teardrop攻击

攻击介绍

• 利用在TCP/IP堆栈中信任IP碎片报文头所包含的信息实现。

防御方法

• 缓存分片信息，每一个源地址、目的地址、分片ID相同的为一组，最大支持缓存10000组分片信息。

9、WinNuke攻击范围

攻击介绍

• WinNuke攻击通常向装有Windows系统的特定目标的NetBIOS端口（139）发送000B（out-of-band）数据包，引起一个NetBIOS片断重叠，致使已与其他主机建立连接的目标主机崩溃。还有一种是IGMP分片报文，一般情况下，IGMP报文是不会分片的，所以，不少系统对IGMP分片报文的处理有问题。

防御方法

• WinNuke攻击1：检测数据包目的端口是否为139，并且检查TCP-URG位是否被设0置。
• WinNuke攻击2：检测进入的IGMP报文是否为分片报文，如果是分片报文，则直接丢弃。

三、特殊报文攻击

1、超大ICMP报文攻击防范

攻击介绍

超大ICMP报文攻击是指利用长度超大的ICMP报文对目标系统进行攻击。对于有些系统，在接收到超大ICMP报文后，由于处理不当，会造成系统崩溃、死机或重启。

防御方法

用户可以根据实际网络需要配置允许通过的ICMP报文的最大长度，当实际ICMP报文的长度超过该值时，防火墙认为发生了超大ICMP报文攻击将丢弃该报文。

2、ICMP不可达报文攻击防范

攻击介绍

• 不同的系统对ICMP不可达报文的处理方式不同，有的系统在收到网络或主机不可达的ICMP报文后，对后续发往此目的地址的报文直接认为不可达，从而切断了目的地与主机的连接。攻击者利用这一点，伪造不可达ICMP报文，切断受害者与目的地的连接，造成攻击。

防御方法

• 启动ICMP不可达报文攻击防范功能，防火墙对ICMP不可达报文进行丢弃并记录攻击日志。

3、Tracert报文攻击防范

攻击介绍

• Tracert报文攻击是攻击者利用TTL为0时返回的ICMP超时报文，和达到目的地址时返回的ICMP端口不可达报文来发现报文到达目的地所经过的路径，它可以窥探网络的结构。

防御方法

• 对于检测到的超时的ICMP报文或UDP报文，或者目的端口不可达的报文给予丢弃处理。

四、URPF

1、URPF技术

URPF技术：单播逆向路径转发的简称，其主要功能是防止基于源地址欺骗的网络攻击行为。有两种模式

• 严格模式：X访问Y，路由器从ETH1口收到报文，路由表可以查到Y的路由，并且路由表反向查询也有X的路由，并且X的路由也是通过入接口ETH1口学到的。
• 松散模式：X访问Y，路由器从ETH1口收到报文，路由表可以查到Y的路由，并且路由表反向查询也有X的路由。

2、URPF处理流程图

URPF的处理流程如下：

• 如果报文的源地址在USG的FIB表中存在。
• 如果报文的源地址在USG的FIB表中不存在，则检查缺省路由及URPF的allow-default-route参数。