面试：常见的攻击方式及防范方法

在HCIE-R&S面试中有一道针对网络攻击做分析的题目，今天就分析一下网络中常见的几种攻击。

01

单包攻击

单包攻击属于拒绝服务攻击的一种，单包攻击分类

扫描探测攻击：扫描型攻击是一种潜在的攻击行为，并不具备直接的破坏行为，通常是攻击者发动真正攻击前的网络探测行为。如 IP 地址扫描攻击、端口扫描攻击。

畸形报文攻击：畸形报文攻击通常指攻击者发送大量有缺陷的报文，从而造成主机或服务器在处理这类报文时系统崩溃。如 LAND 攻击，Smurf 攻击。

特殊控制报文攻击：特殊控制报文攻击通常使用正常的报文对系统或网络进行攻击， 通常会导致系统崩溃、网络中断，或者用于刺探网络结构。如超大 ICMP 报文攻击、ICMP不可达报文攻击。

LAND 攻击原理 ：攻击者利用 TCP 连接三次握手机制中的缺陷，向目标主机发送一个源地址和目的地址均为目标主机、源端口和目的端口相同的 SYN 报文，目标主机接收到该报文后，将创建一个源地址和目的地址均为自己的 TCP 空连接，直至连接超时。在这种攻击方式下， 目标主机将会创建大量无用的 TCP 空连接，耗费大量资源，直至设备瘫痪。

Smurf 攻击原理 ：Smurf 攻击方法是发 ICMP 应答请求，该请求包的目标地址设置为受害网络的广播地址，这样该网络的所有主机都对此 ICMP 应答请求作出答复，导致网络阻塞。高级的 Smurf 攻击，主要用来攻击目标主机。方法是将上述 ICMP 应答请求包的源地址改为受害主机的地址，最终导致受害主机雪崩。攻击报文的发送需要一定的流量和持续时间，才能真正构成攻击。理论上讲，网络的主机越多，攻击的效果越明显。

解决方法：

1）扫描攻击：防火墙上开启目的 IP 或目的端口检测功能，收到同种报文的目的 IP 或 目的端口改变一次则计数加一，数值达到一定范围则把源主机加入黑名单。

2）畸形报文攻击：启用畸形报文攻击防范功能，对收到的畸形报文丢弃处理。

3）特殊控制报文：主机对不同控制报文不予处理，如对 ICMP 重定向和不可达报文的处理方法，对收到的 ICMP 重定向和不可达报文直接丢弃。

02

泛洪攻击

泛洪攻击也是拒绝服务攻击的一种

攻击原理：为短时间内发送大量同种报文，导致目主机 CPU 超负荷处理报文，从而引发宕机等行为。

解决方法：防洪攻击主要解决方法就是在中间设备上进行限速处理，同种报文，一定时间内只处理一定次数，超过则不处理。

03

源 IP 地址欺骗攻击

攻击原理：网络中经常基于 IP 地址信任主机，而源 IP 地址欺骗就通过伪造源地址获得信任，从而窃取网络信息或破坏系统通信。

解决方法：

1）URPF（单播逆向路径转发），防止基于源 IP 地址欺骗的攻击行为，主要针对伪 造源 IP 地址的 DoS 攻击。其工作模式两种，严格模式和松散模式，严格模式下，收到的 IP 报文，不仅检测源地址路由表中有无，还检测去往源的出入接口是否一致；而松散模式下只检测路由表中是否有源地址的表项。

2）IPSG（IP 源防护），基于绑定表（DHCP 动态和静态绑定表）对 IP 报文进行匹 配检查。当设备在转发 IP 报文时，将此 IP 报文中的源 IP、源 MAC、端口、VLAN 信息和绑定表的信息进行比较，如果信息匹配，表明是合法用户，则允许此报文正常转发，否则认为是攻击报文，并丢弃该 IP 报文。

04

中间人攻击

攻击原理：攻击者位于客户端和服务器中间，对客户端，攻击者假冒为服务器，对服务器，攻击者假冒为客户端。举例 ARP 欺骗攻击。

解决方法：针对 ARP 欺骗攻击，采用 DAI（动态 ARP 检测），当设备收到 ARP 报文时，将此 ARP 报文对应的源 IP、源 MAC、VLAN 以及接口信息和 DHCP Snooping 绑定表的信息进行比较，如果信息匹配，说明发送该 ARP 报文的用户是合法用户，允许此 用户的 ARP 报文通过，否则就认为是攻击，丢弃该 ARP 报文。