IP欺骗原理精解和防范手段综述

核心提示： 在时刻1时，攻击主机把大批SYN 请求发送到受攻击目标(在此阶段，IP欺骗原理精解和防范手段综述(6)，是那个被信任的主机)，使其TCP队列充满，TCP将会放弃该数据并返回一个期望获得的数据序列号，下面将要提到，在时刻2时，受攻击目标向它所相信的IP地址(虚假的IP)作出SYN/ACK反应

在时刻1时，攻击主机把大批SYN 请求发送到受攻击目标(在此阶段，是那个被信任的主机)，使其TCP队列充满。在时刻2时，受攻击目标向它所相信的IP地址(虚假的IP)作出SYN/ACK反应。在这一期间，受攻击主机的TCP模块会对所有新的请求予以忽视。不同的TCP 保持连接队列的长度是有所不同的。BSD 一般是5，Linux一般是6。使被信任主机失去处理新连接的能力，所赢得的宝贵空隙时间就是黑客进行攻击目标主机的时间，这使其伪装成被信任主机成为可能。

序列号取样和猜测

前面已经提到，要对目标主机进行攻击，必须知道目标主机使用的数据包序列号。现在，我们来讨论黑客是如何进行预测的。他们先与被攻击主机的一个端口(SMTP是一个很好的选择)建立起正常的连接。通常，这个过程被重复若干次，并将目标主机最后所发送的ISN存储起来。黑客还需要估计他的主机与被信任主机之间的RTT时间(往返时间)，这个RTT时间是通过多次统计平均求出的。RTT 对于估计下一个ISN是非常重要的。前面已经提到每秒钟ISN增加128000，每次连接增加64000。现在就不难估计出ISN的大小了，它是128000乘以RTT的一半，如果此时目标主机刚刚建立过一个连接，那么再加上一个64000。再估计出ISN大小后，立即就开始进行攻击。当黑客的虚假TCP数据包进入目标主机时，根据估计的准确度不同，会发生不同的情况:

·如果估计的序列号是准确的，进入的数据将被放置在接收缓冲器以供使用。

·如果估计的序列号小于期待的数字，那么将被放弃。

·如果估计的序列号大于期待的数字，并且在滑动窗口(前面讲的缓冲)之内，那么，该数据被认为是一个未来的数据，TCP模块将等待其它缺少的数据。如果估计的序列号大于期待的数字，并且不在滑动窗口(前面讲的缓冲)之内，那么，TCP将会放弃该数据并返回一个期望获得的数据序列号。下面将要提到，黑客的主机并不能收到返回的数据序列号。