常見ip碎片攻擊詳解

1、常見IP碎片攻擊詳解作者Sinbad原作者姓名Sinbad正文本文簡單介紹了IP分片原理，并結合Snt抓包結果詳細分析常見IP碎片攻擊的原理和特征，最后對阻止IP碎片攻擊給出一些建議。希望對加深理解IP協(xié)議和一些DoS攻擊手段有所幫助。1.為什么存在IP碎片===========鏈路層具有最大傳輸單元MTU這個特性，它限制了數(shù)據幀的最大長度，不同的網絡類型都有一個上限值。以太網的MTU是1500，你可以用stati命令查看這個值。如果I

2、P層有數(shù)據包要傳，而且數(shù)據包的長度超過了MTU，那么IP層就要對數(shù)據包進行分片（fragmentation）操作，使每一片的長度都小于或等于MTU。我們假設要傳輸一個UDP數(shù)據包，以太網的MTU為1500字節(jié)，一般IP首部為20字節(jié)，UDP首部為8字節(jié)，數(shù)據的凈荷（payload）部分預留是1500208=1472字節(jié)。如果數(shù)據部分大于1472字節(jié)，就會出現(xiàn)分片現(xiàn)象。IP首部包含了分片和重組所需的信息：|Identification|R

3、|DF|MF|FragmentOffset|||||Identification：發(fā)送端發(fā)送的IP數(shù)據包標識字段都是一個唯一值，該值在分片時被復制到每個片中。R：保留未用。DF：DontFragment，“不分片”位，如果將這一比特置1，IP層將不對數(shù)據報進行分片。MF：MeFragment，“更多的片”，除了最后一片外，其他每個組成數(shù)據報的片都要把比特置1。FragmentOffset：該片偏移原始數(shù)據包開始處的位置。偏移的字節(jié)數(shù)是該

4、值乘以8。另外，當數(shù)據報被分片后，每個片的總長度值要改為該片的長度值。每一IP分片都各自路由，到達目的主機后在IP層重組，請放心，首部中的數(shù)據能夠正確完成分片的重組。你不禁要問，既然分片可以被重組，那么所謂的碎片攻擊是如何產生的呢？2.IP碎片攻擊===========IP首部有兩個字節(jié)表示整個IP數(shù)據包的長度，所以IP數(shù)據包最長只能為0xFFFF，就是65535字發(fā)送的UDP包：011014:21:00.298282192.168.0

5、.9192.168.0.1UDPTTL:255TOS:0x0ID:1109IpLen:20DgmLen:29FragOffset:0x1FFEFragSize:0x904D304D20009000061........a從上面的結果可以看出：分片標志位MF=0，說明是最后一個分片。偏移量為0x1FFE，計算重組后的長度為(0x1FFE8)29=6554965535，溢出。IP包的ID為1109，可以作為IDS檢測的一個特征。ICMP包：

6、類型為8、代碼為0，是EchoRequest；校驗和為0x0000，程序沒有計算校驗，所以確切的說這個ICMP包是非法的。UDP包：目的端口由用戶在命令參數(shù)中指定；源端口是目的端口和1235進行的結果；校驗和為0x0000，和ICMP的一樣，沒有計算，非法的UDP。凈荷部分只有一個字符a。jolt2.c應該可以偽造源IP地址，但是源程序中并沒有把用戶試圖偽裝的IP地址賦值給src_addr，不知道作者是不是故意的。jolt2的影響相當大

7、，通過不停的發(fā)送這個偏移量很大的數(shù)據包，不僅死鎖未打補丁的Windows系統(tǒng)，同時也大大增加了網絡流量。曾經有人利用jolt2模擬網絡流量，測試IDS在高負載流量下的攻擊檢測效率，就是利用這個特性。5.tear===========tear也比較簡單，默認發(fā)送兩個UDP數(shù)據包，就能使某些Linux內核崩潰。Snt抓取的結果如下：第一個：010811:42:21.985853192.168.0.9192.168.0.1UDPTTL:64T