IP 欺骗（IP Spoofing） 是一种网络攻击技术，攻击者通过伪造数据包中的源 IP 地址（Source IP Address），使数据包看起来像是来自另一个计算机系统。

简单来说，就像是你寄了一封信，但在信封背面的“寄信人地址”栏里写了别人的地址。当收信人收到信后，会以为是那个人寄的，如果收信人回信，信件也会寄给那个被冒充的人，而不是你。

以下是关于 IP 欺骗的详细解析：

1. IP 欺骗的原理

在互联网协议（IP）中，每个数据包都有一个头部（Header），其中包含两个主要地址：

• 目的 IP 地址： 数据包要去的地方。
• 源 IP 地址： 数据包发出的地方。

攻击者使用专门的软件或脚本，在发送数据包之前修改数据包头部，将“源 IP 地址”替换为一个伪造的 IP 地址。

2. 为什么要进行 IP 欺骗？（攻击目的）

攻击者使用 IP 欺骗主要有以下三个目的：

A. 发动 DDoS 攻击（分布式拒绝服务）

这是 IP 欺骗最常见的用途。

• 隐藏身份： 攻击者不想让受害者或执法机构追踪到他们的真实位置。
• 反射/放大攻击： 攻击者伪装成受害者的 IP，向大量的服务器（如 DNS 或 NTP 服务器）发送请求。这些服务器会将响应数据发送给受害者（因为源 IP 写的是受害者）。这不仅隐藏了攻击者，还能利用服务器的响应流量淹没受害者。

B. 绕过身份验证

某些旧的系统或防火墙配置可能仅基于 IP 地址来信任设备（例如：“只允许 IP 192.168.1.5 访问数据库”）。

• 攻击者如果知道受信任的 IP 地址，就可以伪装成该 IP，从而骗过防火墙或访问控制列表（ACL），获得未授权的访问权限。

C. 消耗服务器资源（SYN Flood）

在 TCP 连接中，需要三次握手。

1. 客户端发送 SYN 包。
2. 服务器回复 SYN-ACK 包，并等待客户端确认。
3. 客户端发送 ACK 包，连接建立。

攻击者发送大量伪造源 IP 的 SYN 包。服务器收到后，向伪造的 IP 回复 SYN-ACK 并等待确认。由于 IP 是假的，永远不会有 ACK 回来。服务器的资源就会被这些“半开连接”占满，导致无法服务正常用户。

3. IP 欺骗的局限性

虽然 IP 欺骗很危险，但它也有技术限制：

• 难以接收响应： 因为源 IP 是假的，服务器的回复会发送给那个假的 IP，而不是攻击者。因此，攻击者通常无法看到服务器返回的内容。这使得 IP 欺骗主要用于单向攻击（如 DoS），而在需要双向通信（如窃取文件）时较难实施，除非攻击者与受害者在同一个局域网内（非盲攻击）。

4. 如何防御 IP 欺骗？

防御 IP 欺骗通常需要在网络基础设施层面进行配置：

1. 入口/出口过滤（Ingress/Egress Filtering）：

   • ISP 层面（BCP 38 标准）： 互联网服务提供商应检查从其客户网络发出的流量。如果数据包的源 IP 不属于该客户分配的 IP 范围，则直接丢弃。这是最有效的防御手段。
   • 企业防火墙： 配置防火墙，拒绝从外部接口进入的、但源 IP 却是内部私有 IP（如 192.168.x.x）的数据包。

2. 不依赖 IP 进行身份验证：

   • 不要单纯信任 IP 地址。使用加密的身份验证机制，如 SSH 密钥、SSL/TLS 证书、VPN 等。即使攻击者伪造了 IP，没有密钥也无法通过验证。

3. 使用 TCP 序列号随机化：

   • 现代操作系统会随机化 TCP 初始序列号，这使得攻击者在无法接收响应包的情况下，很难猜对序列号来建立伪造的 TCP 连接。

4. 配置防 DDoS 设备：

   • 使用专门的硬件或云服务（如 Cloudflare, AWS Shield）来识别和清洗带有伪造特征的恶意流量。

总结

IP 欺骗就是网络世界里的“冒名顶替”。攻击者通过篡改“发件人地址”来隐藏自己、嫁祸他人或绕过安全检查。虽然它是一种古老的技术，但在现代的 DDoS 攻击中依然非常活跃。