識別僞造的UDP數據包

Question

我想識別僞造源IP地址的UDP或TCP數據包。我的猜測是，即使數據包僞造了一個類似hping的程序，MAC src地址在所有僞造的數據包中仍然是相同的，這是正確的嗎？

如果我的想法是不正確的，我怎麼能確定被僞造和看起來像它具有爲每個分組的不同來源，例如包？

謝謝。

Answer 1

MAC地址也可以僞造。

有了TCP，它很容易識別/處理這個。您將用SYN-ACK回覆僞造的SYN數據包。如果它是一個真正的客戶端，它會回覆一個ACK來完成握手。唯一需要注意的是，您必須實施syn-cookies，以便在等待ACK時不會創建狀態&耗盡資源。

使用UDP，也沒有辦法知道，因爲該協議是無連接的。如果您發送了對虛假數據包的回覆，則無法保證來自「真實」客戶端的回覆。所以沒有辦法確定一個假的。

Answer 2

我看到它的方式，UDP和TCP無關與此有關。你只談論第2層（MAC）和第3層（IP）。即使如此，你也無法知道，因爲源MAC地址應該是距離接收者最近的路由器的源MAC地址（假設該數據包不是源自你的子網）。所以你應該看到大多數所有的MAC地址入站數據包（僅限於互聯網流量）。

現在有分析工具一樣p0f上的數據包的簽名工作，你可以嘗試做基於該信息的一些啓發，但沒有很澆築可確定。

Answer 3

從數據包中可以得到最近節點的MAC地址。是的，您可以將ACK數據包發送到僞造的源地址（IP），然後使用Traceroute命令知道源數據包的路徑，以便您至少可以找到始發的位置。它在TCP中運行良好，您也可以確認。