다른 많은 사람들이 언급했듯이 IP 헤더는 응답 수신에 신경 쓰지 않는 한 간단합니다. TCP가 3 방향 핸드 셰이크를 요구하기 때문에 UDP에서 주로 볼 수 있습니다. 주목할만한 예외 중 하나 는 TCP를 사용하고 수신 호스트에서 리소스를 연결하려는 SYN 서비스 장애입니다 . 응답이 삭제 될 때 소스 주소는 중요하지 않습니다.

공격자가 소스 주소를 스푸핑 할 수있는 능력의 특히 부작용은 백스 캐터 공격입니다. 이 훌륭한 설명은 여기에 있지만, 간단하게, 그것은 기존의 DDoS 공격의 역이다 :

1. 봇넷을 제어하십시오.
2. 악성 패킷에 대해 동일한 소스 IP 주소 를 사용하도록 모든 노드를 구성하십시오 . 이 IP 주소는 최종 피해자가됩니다.
3. 모든 제어 노드에서 인터넷을 통해 다양한 주소로 패킷을 보내거나 일반적으로 열려 있지 않은 포트를 대상으로하거나 이미 존재하는 트랜잭션의 일부라고 주장하는 유효한 포트 (TCP / 80)에 연결합니다.

(3)에 언급 된 경우 중 하나에서, 많은 호스트는 악의적 인 패킷 의 소스 주소를 목표로하여 도달 할 수없는 ICMP 또는 TCP 재설정으로 응답 합니다. 공격자는 이제 스푸핑 된 소스 IP 주소를 사용하여 선택한 희생자에 대해 DDoS 공격을 수행하는 네트워크에 손상되지 않은 수천 대의 시스템을 보유하고 있습니다.

완화 측면에서이 위험은 실제로 ISP (특히 운송 대신 고객 액세스를 제공하는 ISP) 만 해결할 수있는 위험입니다. 이를 수행하는 두 가지 주요 방법이 있습니다.

1. 수신 필터링 -네트워크로 들어오는 패킷이 들어오는 인터페이스의 반대쪽에있는 주소 범위에서 제공됩니다. 많은 라우터 공급 업체 는 라우터의 라우팅 및 전달 테이블을 사용하여 들어오는 패킷의 소스 주소의 다음 홉이 들어오는 인터페이스인지 확인하는 유니 캐스트 역방향 경로 전달 과 같은 기능을 구현합니다 . 이는 네트워크의 첫 번째 계층 3 홉 (예 : 기본 게이트웨이)에서 가장 잘 수행됩니다.

2. 송신 필터링 -네트워크에서 나가는 패킷이 사용자가 소유 한 주소 범위에서만 소스를 확보하도록합니다. 이는 자연스럽게 필터링을 보완하는 것이며 보완 적으로 ‘좋은 이웃’의 일부입니다. 악의적 인 트래픽으로 인해 네트워크가 손상 되더라도 해당 트래픽은 동료 네트워크로 전달되지 않습니다.

이러한 기술은 클라이언트가 공급자와 인터페이스하는 ‘에지’또는 ‘액세스’네트워크에서 수행 할 때 가장 효과적이고 쉽게 구현됩니다. 다중 경로 및 비대칭 라우팅의 복잡성으로 인해 액세스 계층 위에서 수신 / 탈출 필터링을 구현하는 것이 더 어려워집니다.

이러한 기술 (특히 수신 필터링)이 엔터프라이즈 네트워크 내에서 큰 영향을 미치는 것으로 나타났습니다. 더 많은 서비스 제공 업체 경험이있는 사람은 인터넷에서 수신 / 탈출 필터링을 배포하는 문제에 대해 더 많은 통찰력을 제공 할 수 있습니다. 하드웨어 / 펌웨어 지원이 큰 과제 일뿐만 아니라 다른 국가의 업스트림 제공 업체가 유사한 정책을 시행하도록 강요 할 수 없다고 생각합니다 …

답변

$ sudo apt-get install hping3
$ sudo hping3 -1 --spoof 11.10.10.20 www.google.com
HPING www.google.com (eth0 64.233.169.105): icmp mode set, 28 headers + 0 data bytes

$ sudo tcpdump -i eth0 'icmp'
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
13:30:19.439737 IP 11.10.10.20 > yo-in-f105.1e100.net: ICMP echo request, id 31297, seq 0, length 8