什么是IP欺骗？（过程和预防方法）

什么是IP欺骗？

IP欺骗，也称为“IP地址欺骗”，是指发送带有伪造源IP地址的互联网协议(IP)数据包以模仿另一台计算机系统。网络罪犯可以使用IP欺骗来进行恶意活动而不被发现。这可能会导致有人窃取您的数据、感染您的设备恶意软件或使您的服务器崩溃。

IP欺骗是一种恶意攻击，攻击者隐藏IP数据包的真实来源，使其难以确定其来源。为了模仿不同的计算机系统，隐藏发送者的身份或同时做到这两点，攻击者会生成带有新的源IP地址的数据包。欺骗数据包中源IP地址的头部字段与真实的源IP地址不同。

IP数据包是联网计算机和其他设备交互的主要手段，它们构成了现代互联网的基础。所有IP数据包都包含一个头部，它位于数据包的主体之前，并提供关键的路由信息，例如源地址。普通数据包的源IP地址是数据包发送者的地址。如果数据包被伪造，则源地址将被伪造。

攻击者向某人发送带有错误回邮地址的包裹类似于IP欺骗。如果接收包裹的人希望阻止发送者发送包裹，则阻止来自错误地址的所有包裹几乎没有用，因为回邮地址很容易更改。同样，如果收件人希望回复回邮地址，他们的回复包裹将被发送给除真实发送者以外的人。伪造数据包地址的能力是许多DDoS攻击利用的一个关键弱点。

欺骗经常用于DDoS攻击，以用流量淹没目标，同时隐藏攻击来源的身份，从而阻碍缓解措施。如果源IP地址被伪造并定期随机化，则阻止欺诈请求会变得具有挑战性。IP欺骗也使执法部门和网络安全专家难以找到攻击的罪魁祸首。

欺骗也可以用来模仿另一个设备，强制将答案发送到该设备而不是预期的接收者。NTP放大和DNS放大等容量攻击利用了这种漏洞。更改源IP的功能内置于TCP/IP中，使其成为持续存在的安全风险。

IP欺骗的过程是什么？

数据包是在互联网上传输数据的最小单位。数据包中的IP头包含有关数据包的路由信息。此信息包括源IP地址和目标IP地址。可以将数据包视为邮件中的包裹，源IP地址充当回邮地址。

在IP地址欺骗中，攻击者会更改出站数据包头中的源地址。因此，目标计算机将数据包识别为来自可靠来源（例如公司网络上的计算机）并接受它。

通过使用工具伪造并反复随机化源地址，攻击者可以创建伪造的数据包头。他们甚至可以利用现有设备的IP地址将答案重定向到伪造的数据包。

攻击者需要执行IP欺骗需要以下条件：

• 接收设备将允许可信的IP地址进入网络。设备IP可以通过多种方法找到。

• 拦截数据包并将合法IP头替换为伪造IP头的能力。要拦截网络上的数据包并获取要伪造的IP地址，可以使用网络嗅探工具或地址解析协议 (ARP) 扫描。

由于数据包通常由地理位置分散的僵尸网络（被劫持的计算机网络）发送，因此IP欺骗使执法部门和网络安全团队难以追踪攻击者。每个僵尸网络可能拥有数万台可以伪造各种源IP地址的机器。因此，无法追踪到这种自动化攻击。

如何防止IP欺骗？

为了防止伪造的数据包进入其网络，组织可以采取以下步骤：

• 正在网络上观察到异常行为。

• 最好使用可以检测异常的包过滤技术，例如源IP地址与公司网络上的IP地址不匹配的出站数据包。

• 对任何远程访问（包括公司内部网上的系统）使用严格的验证方法，以防止接受来自已渗透到公司网络上另一个系统的攻击者的伪造数据包。

• 验证入站IP数据包的IP地址。

• 最好使用网络攻击拦截器。

Web设计师提倡将网站转换为IPv6。通过添加加密和身份验证机制，IPv6使IP欺骗比IPv4更困难。但是，IPv4仍然被全球绝大多数互联网流量使用。根据西雅图互联网交换中心的IPv6流量数据，只有大约5%的流量迁移到更新、更安全的协议。

另一种方法是使用带有启用数据包过滤的防火墙等网络边缘设备来检测异常并拒绝带有伪造地址的数据包。一些重要因素如下：

• 配置设备以拒绝来自公司边界外部且带有私有IP地址的数据包（入口过滤）。

• 阻止从公司内部发出的但使用外部IP地址作为源IP地址的流量（出口过滤）。这可以防止从公司内部发起针对其他外部网络的欺骗攻击。

最后，最终用户难以区分IP欺骗和合法流量。但是，他们可以通过仅访问使用安全加密技术（如HTTPS）的网站来降低其他类型的欺骗的风险。

Ayushi Bhargava

更新于：2022年5月4日

2K+ 次查看

启动您的职业生涯

通过完成课程获得认证

开始