가짜 UDP 패킷 식별

Question

원본 IP 주소가 위조 된 UDP 또는 TCP 패킷을 식별하고 싶습니다. 내 생각 엔 패킷이 hping 같은 프로그램으로 위조 된 경우에도 MAC src 주소는 위조 된 모든 패킷에서 여전히 동일합니다. 맞습니까?

제 아이디어가 정확하지 않은 경우, 각 패킷마다 다른 소스가있는 것처럼 보이는 위조 된 패킷을 어떻게 식별 할 수 있습니까?

감사합니다.

Answer 1

MAC 주소도 위조 될 수 있습니다.

TCP를 사용하면 쉽게 식별하고 처리 할 수 ​​있습니다. SYN-ACK로 가짜 SYN 패킷에 회신합니다. 실제 클라이언트라면 핸드 셰이크를 완료하기 위해 ACK로 응답합니다. 단,주의를 기울이면서 ACK를 기다리는 동안 & 상태를 생성하지 않도록 syn-cookies를 구현해야한다는 단점이 있습니다.

UDP를 사용하면 프로토콜이 연결이 없기 때문에 알 수있는 방법이 없습니다. 가짜 패킷에 대한 회신을 보내면 "실제"클라이언트의 응답을 보장 할 수는 없습니다. 따라서 위조 된 것을 식별 할 방법이 없습니다.

Answer 2

내가 보는 방식대로 UDP와 TCP는 아무 관련이 없습니다. 당신은 레이어 2 (MAC)와 레이어 3 (IP)에 대해서만 이야기하고 있습니다. 소스 MAC 주소는 수신자에게 가장 가까운 라우터의 패킷이어야하기 때문에 (패킷이 서브넷에서 생성되지 않았다는 가정하에) 알 수있는 방법이 없습니다. 따라서 모든 MAC 주소에 대해 동일한 MAC 주소가 표시되어야합니다 인바운드 패킷 (다시, 인터넷 트래픽 만).

이제는 패킷의 서명을 처리하는 p0f와 같은 프로파일 링 도구가 있습니다.이 정보를 기반으로 몇 가지 발견 적 방법을 시도해 볼 수는 있지만 매우 구체화 된 것은 없습니다.

Answer 3

패킷에서 가장 가까운 노드의 MAC 주소를 얻을 수 있습니다. 예, ACK 패킷을 가짜 소스 주소 (IP)로 보내고 Traceroute 명령을 사용하여 원본 패킷의 경로를 알 수 있으므로 원본 위치를 최소한으로 찾을 수 있습니다. 그것은 TCP에서 잘 작동하고 당신도 인정을받을 수 있습니다.