IP Spoof技术介绍
2000年以来，互联网上黑客新闻不断，比如今年3月发生在北京的黑客攻击事件，几家较为著名的ISP相继宣称被同一站点入侵，证据是在受害主机上通过某种形式得到了属于被指控站点的IP纪录，而被指责方则宣称是有人恶意假冒该方IP，而且这种假冒非常容易实现。 双方各执一词，争论不下，一方认定攻击来自被指责方，一方则辩解说假冒IP实现极为简单，自己是被人暗算。
那么，从技术角度讲，假冒IP是否可行，实现起来是不是那么简单呢？我们今天就谈谈这个话题，IP spoof （IP 电子欺骗）。
第一部分
1.什么是IP spoof?
IP spoof即IP 电子欺骗，我们可以说是一台主机设备冒充另外一台主机的IP地址，与其它设备通信，从而达到某种目的技术。
2.IP spoof可以实现吗?
可以实现，早在1985年，贝尔实验室的一名工程师Robbert Morris在他的一篇文章A weakness in the 4.2bsd unix TCP/IP software中提出了IP spoof的概念,有兴趣的读者可参见原文： http://www.coast.net/~emv/tubed/archives/Morris_weakness_in_TCPIP.txt
但要注意的是单纯凭借IP spoof技术不可能很好的完成一次完整的攻击，因为现有IP spoof技术是属于一种“盲人”式的入侵手段，下面会解释“盲人”的概念。
3.IP spoof的实现原理
我们知道，IP是网络层的一个非面向连接的协议， IP数据包的主要内容由源IP地址，目地IP地址，所传数据构成， IP的任务就是根据每个数据报文的目的地址，路由完成报文从源地址到目的地址的传送。至于报文在传送过程中是否丢失或出现差错， IP不会考虑。对IP来讲，源设备与目的设备没有什么关系，它们是相互独立的。IP包只是根据数据报文中的目的地址发送，因此借助高层协议的应用程序来伪造IP地址是比较容易实现的。 与此同时，TCP作为保障两台通讯设备之间数据有保证的顺序传输的协议，是面向连接的，它需要连接双方?quot;同意"才能进行通讯。TCP传输双方传送的每一个字节都伴随着一个序列号（SEQ），它期待对方在接收到后产生一个应答（ACK）， 应答一方面通知对方数据成功收到，另一方面告知对方希望接收的下一个字节。同时，任何两台设备之间欲建立TCP连接都需要一个两方确认的起始过程，称三次握手，可分解如下面来表示:
第一步:请求方向服务方发送SYN，表示想发起一次TCP连接。我们假定这次的序列号是某个数值X
Trust -Target
SYN
SEQ:X
第二步:服务方产生SYN，ACK响应，并向请求方发送ACK， ACK的值为X+1，表示数据成功接收到，且告知下一次希望接收到字节的SEQ是X+1。同时， 服务方向请求方发送自己的SEQ， 我们假定它的序列号是某个数值Y。
Target - Trust
SYN，ACK
SEQ:Y
ACK:X+1
第三步: 请求方向服务方发送ACK，表示接收到服务方的回应。这次它的SEQ值为X+1，同时它的ACK值为Y+1，原理同上。
Trust -Target
ACK
SEQ:X+1
ACK:Y+1
完成这一步以后， 请求方与服务方之间的连接开放，数据可以进行传输了。
第二部分
上面是标准TCP连接建立的过程，我们来看IP Spoof状态下的三次握手会是什么一种情况。
第一步、Hack假冒Trust主机IP向服务方Target发送SYN，告诉Target 来自他所信任的Trust主机想发起一次TCP连接，序列号为数值X，这一步实现比较简单， Hack将IP包的源地址伪造为Trust主机IP地址即可。
Hack -Target
SYN
SEQ:X
要注意的是，在攻击的整个过程中，必须使Trust主机与网络的正常连接中断。因为SYN请求中IP包源地址是Trust主机的，当Target收到SYN请求时，将根据IP包中源地址反馈ACK，SYN给Trust主机， 但事实上Trust并未向Target发送SYN请求， 所以Trust收到后会认为这是一次错误的连接，从而向Target回送RST，中断连接。这可不是我们所企求的。为了解决这个问题，在整个攻击过程中我们需要设法停止Trust主机的网络功能，这一实现很简单，用现在威力很强大的tfn2k之类的分布式拒绝服务软件攻击Trust主机，使之拒绝服务即可，（可参考作者另一篇文章《分布式拒绝服务软件》见www.chinabyte.com的网络学院部分）这里就不介绍了。
第二步、服务方Target产生SYN，ACK响应，并向请求方Trust主机（注意:是Trust，不是Hack，因为Target收到的IP包的源地址是Trust）发送ACK， ACK的值为X+1，表示数据成功接收到，且告知下一次希望接收到字节的SEQ是X+1。同时，Target向请求方Trust发送自己的SEQ，注意，这个数值对Hack是不可见的！！
Target - Trust
SYN，ACK
SEQ:?
ACK:X+1
第三步、Hack再次向服务方发送ACK，表示接收到服务方的回应――虽然实际上他并没有收到服务方Targe的SYN，ACK响应。这次它的SEQ值为X+1，同时它必须猜出ACK的值！！并加一后回馈给Target。
Hack -Target
ACK
SEQ:X+1
ACK:?+1
如果Hack能成功的猜出Target 的ACK值，那么TCP的三次握手就宣告成功， Target会将Hack看作Trust主机，IP spoof最关键的技术部分得到解决！ 但有一点要清楚， Hack 主机这种连接是“盲人”式的，Hack永远不会收到来自Target的包，因为这些反馈包都被路由到Trust主机那里了(除非黑客能将相关骨干点的路由表内容做改动，记住：IP是独立的，它只是根据源地址，目的地址在互联网上路由传送。而在Hack向Target发送的三次握手IP包中源地址是宣称为Trust主机的) 我们可以不恰当的举个简单例子， Hack在Target上执行ls -l /，在Hack的屏幕上不会看到任何反馈，尽管事实上Target列出了根目录下的所有内容――Target将ls -l /结果送到了Trust主机。
由上我们可以看出， IP spoof成功的关键在于猜出在第二步服务方所回应的SEQ值，有了这个值，TCP连接方可成功的建立。在早期，这是个令人头疼的问题，但随着IP spoof攻击手段的研究日益深入，一些专用的算法，技术得到应用，并产生了一些专用的c程序，如SEQ-scan,yaas等。当黑客得到这些c程序时， 一切问题都将迎刃而解。
第三部分
在现实中投入应用的IP spoof一般被用于有信任关系的服务器之间的欺骗。假设网上有Target， Trust， Hack三台主机， Target为我们打算愚弄的主机， Trust和Target有基于IP地址的信任关系，也就是说拥有Trust主机IP地址的设备上的用户不需要账号及密码即可进入Target。（使用window操作系统比较习惯的读者可以把这种信任理解为局域网环境下的PC间无需密码的硬盘共享）既然如此，那么我们就可以在Hack上做手脚假冒Trust主机IP地址从而骗取Target的信任。 这种信任在unix中体现为r服务，比如一个大型网站的管理员除了自己的一台IP为11.22.33.44工作站外还拥有几打的sun 服务器，他厌倦了一次次在各个服务器上登录时等待并输入username，passwd，那么他可以在每台服务器的根目录下生成.rhosts文件，内容为11.22.33.44 +，这表示如果11.22.33.44这个IP有要求，服务器都无条件的提供可信的r服务。举例来讲，在11.22.33.44上执行rsh -l root server1.Yiming.com csh -i，则该管理员即直接进入server1.Yiming.com，不需要任何账号密码。除了这种为了省事的偷懒用途， r服务在目前的网络最多的被用来远程备份，远程磁带设备和需备份文件必须有信任关系。
好了，在上例中如果我们能假冒11.22.33.44这个IP，那么将会是什么样子?每一台信任它的服务器都会被控制！这才是管理员需要引起的注意的。
由上我们看到，因为TCP/IP本身的漏洞，IP spoof是有实现条件的，但在目前的互联网中，假冒它人IP，然后利用这个IP去攻击和这个IP无信任的关系的主机从理论上依然很难行的通。
