IP 偽裝（IP Spoofing）是一種網路攻擊技術，它涉及偽造資料封包的來源 IP 位址，使其看起來像是來自不同的、通常是受信任的發送者。

什麼是 IP 偽裝（IP Spoofing）？

在數位世界中，IP 偽裝就像是寄信時在回郵地址上填寫了別人的資訊。當一個裝置向另一個裝置發送網路封包時，每個封包都包含一個來源 IP 位址和一個目的 IP 位址。來源 IP 位址通常會識別發送封包的裝置。然而，IP 偽裝技術允許攻擊者修改這些封包的來源 IP 位址，使其看起來像是來自另一個裝置。

這種技術之所以能夠實施，部分原因是網際網路最初的設計理念，即注重連通性而非嚴格的驗證。網路協定，特別是傳輸控制協定/網際網路協定（TCP/IP），對於來源 IP 位址的信任度相對較高。這為惡意行為者提供了修改封包頭部資訊的機會，從而達到隱藏真實身份或冒充他人的目的。

需要注意的是，IP 偽裝與使用代理伺服器或 VPN 來隱藏您的真實 IP 位址不同。當您使用代理伺服器或 VPN 時，您的流量會通過第三方伺服器重新路由，您的公共 IP 會變為該伺服器的 IP。而 IP 偽裝則是直接修改發送封包中的來源 IP 位址，讓接收者誤以為封包來自一個完全不同的、預設為受信任的 IP 位址。

IP 偽裝如何運作？

IP 偽裝的運作原理是操縱 IP 封包的標頭資訊。每個 IP 封包都包含一個「來源 IP 位址」欄位和一個「目的 IP 位址」欄位。正常情況下，來源 IP 位址是發送封包的裝置的真實 IP 位址。攻擊者會使用特殊的軟體或程式來繞過作業系統的正常網路堆疊，直接建立原始（raw）網路封包，並在其中手動設定來源 IP 位址。

以下是 IP 偽裝的基本步驟：

封包建立： 攻擊者使用程式設計工具或專業軟體建立自訂的 IP 封包。這些工具允許他們完全控制封包的各個欄位，包括來源 IP 位址。
修改來源 IP： 攻擊者將來源 IP 位址欄位替換為他們想要偽裝的 IP 位址。這個偽裝的 IP 位址通常屬於一個無辜的第三方，甚至是受害者的網路中的另一個裝置，以便繞過基於 IP 的安全措施。
發送封包： 修改後的封包被發送到目標網路或目標主機。由於封包的來源 IP 已被修改，目標系統會認為這個封包來自偽裝的 IP 位址。

這種方法的主要挑戰在於，雖然攻擊者可以發送一個偽造來源 IP 的封包，但任何回應都會被發送到偽造的來源 IP 位址，而不是攻擊者。這使得建立雙向通訊變得困難，並限制了 IP 偽裝在某些攻擊類型中的應用。然而，對於不需要雙向通訊的攻擊，例如單向的資料注入或反射式 DDoS 攻擊，IP 偽裝仍然非常有效。

以下圖表說明了 IP 偽裝的基本流程：

IP 偽裝的類型與應用場景

IP 偽裝本身並非一種獨立的攻擊，它更像是一種工具，可以被惡意行為者用來輔助進行更廣泛的網路攻擊。

1. 分散式阻斷服務（DDoS）攻擊

這是 IP 偽裝最常見且最具破壞性的應用之一。在 DDoS 攻擊中，攻擊者試圖透過大量無用的流量或請求淹沒目標伺服器或網路，使其癱瘓或無法為合法使用者提供服務。IP 偽裝在 DDoS 攻擊中扮演幾個關鍵角色：

隱藏攻擊者身份： 透過偽造來源 IP 位址，攻擊者可以隱藏其真實位置，使追蹤和溯源變得極其困難。這使得執法機構難以識別和逮捕攻擊者。
反射式與放大式攻擊： 攻擊者可以將受害者的 IP 位址作為偽造的來源 IP，向大量網路服務（如 DNS 伺服器、NTP 伺服器、Memcached 伺服器等）發送請求。這些服務會將大量回應發送到受害者的 IP 位址，從而放大攻擊流量並淹沒受害者。這種方法被稱為反射式或放大式攻擊。例如，在 DDoS 攻擊中，一個小的請求可以產生數倍甚至數百倍大的回應，對目標造成巨大的衝擊。

2. 繞過基於 IP 的安全措施

許多網路安全系統，如防火牆和存取控制列表（ACL），都依賴於 IP 位址來過濾流量或授予權限。如果攻擊者能夠成功偽造一個受信任網路內的 IP 位址，他們可能會繞過這些安全限制：

防火牆規避： 某些防火牆規則可能允許來自特定內部 IP 範圍的流量自由通過。透過偽裝成內部 IP，攻擊者可能能夠繞過這些規則，訪問通常受保護的資源。
存取控制列表（ACL）規避： ACLs 用於限制哪些 IP 位址可以存取特定服務或資源。偽造一個被 ACL 允許的 IP 位址，可以讓攻擊者在未經授權的情況下獲得存取權限。
信任關係濫用： 在一些舊系統或配置不當的網路中，可能存在基於 IP 位址的隱式信任。例如，如果某個服務被配置為只信任來自特定 IP 的連線，攻擊者可以偽裝該 IP 來發送惡意指令。

3. 欺騙網站或應用程式

雖然較為罕見，但 IP 偽裝也可以用於欺騙某些依賴 IP 位址進行初步驗證的網站或應用程式。例如，一些內容分發網路（CDN）或地理限制服務可能會根據 IP 位址來判斷使用者位置。透過偽造 IP，攻擊者可能能夠繞過這些地理限制。然而，由於大多數現代應用程式都採用更強大的驗證機制（如使用者名/密碼、Token 等），單純的 IP 偽裝很難完全欺騙一個複雜的系統。

對於某些不需要攻擊者接收回應的攻擊，IP 偽裝是有效的。例如，攻擊者可能試圖向目標系統發送一系列指令，即使他們沒有收到回應，也假設指令已經執行。這種「盲式」攻擊常用於對服務進行單向破壞，而不暴露攻擊者的真實位置。

IP 偽裝的限制：雙向通訊的挑戰

儘管 IP 偽裝在隱藏攻擊者身份方面非常有效，但它在建立雙向通訊方面存在固有的限制。當攻擊者發送一個來源 IP 被偽造的封包時，目標系統會向偽造的來源 IP 位址發送回應。這意味著攻擊者無法直接接收到目標系統的回應，因為這些回應被發送到了無辜的第三方（被偽裝的 IP 位址）或一個不存在的 IP 位址。

這種單向性限制了 IP 偽裝在許多需要建立完整會話（如 TCP 三次握手）的攻擊中的實用性，例如：

TCP 連線： 建立 TCP 連線需要客戶端和伺服器之間進行三次握手。如果來源 IP 被偽造，客戶端將無法收到伺服器的 SYN-ACK 回應，因此無法完成連線。
Web 瀏覽： 瀏覽網頁、登入服務或進行線上交易都需要雙向的資料交換。IP 偽裝無法支撐這種互動。

然而，對於某些特定類型的攻擊，特別是上述的反射式或放大式 DDoS 攻擊，以及某些盲式攻擊，IP 偽裝的單向性並不會構成實質性的阻礙。在這些情況下，攻擊者並不關心接收回應，他們只需要發送一個惡意封包來觸發目標系統的反應。

理解 TCP/IP 的運作方式有助於更深入地理解 IP 偽裝的局限性。

如何防禦 IP 偽裝？

防禦 IP 偽裝是一項涉及網路基礎設施、協定和安全策略的多層次任務。以下是主要的防禦機制：

1. 入口過濾（Ingress Filtering - BCP38）

入口過濾是抵禦 IP 偽裝最重要且最有效的防禦措施之一。它由網際網路工程任務組（IETF）在 RFC 2827（後來的 BCP 38）中提出。

原理： 入口過濾要求網路邊緣的路由器檢查所有從其內部網路發出的 IP 封包。如果封包的來源 IP 位址不屬於該路由器所連接的內部網路，那麼該封包將被阻擋，不允許離開該網路。
重要性： 透過實施 BCP38，網際網路服務供應商（ISP）和企業可以防止其網路內的用戶發送來源 IP 被偽造的封包。這意味著，即使攻擊者試圖從該網路發動 IP 偽裝攻擊，他們的惡意流量也會在到達網際網路之前就被攔截。
影響： 如果廣泛部署，BCP38 可以顯著減少網路中偽造 IP 封包的數量，從而大大降低反射式和放大式 DDoS 攻擊的有效性。然而，由於其部署並非強制性，許多網路仍然未完全實施。

2. 出口過濾（Egress Filtering）

出口過濾是入口過濾的補充。

原理： 出口過濾在網路的入口點（靠近網路內部）執行，它檢查所有進入網路的流量。它會丟棄任何來源 IP 位址看起來像是來自外部網路但卻在內部網路中出現的封包（例如，一個外部封包卻攜帶了一個內部 IP 作為來源）。
重要性： 雖然出口過濾不能直接阻止從你的網路內部發出的偽造封包，但它可以防止來自外部的 IP 偽裝流量滲透到你的內部網路，從而保護你的內部資源。

3. TCP 序號隨機化（TCP Sequence Number Randomization）

原理： 在 TCP 連線建立時，客戶端和伺服器會交換初始序號（Initial Sequence Number, ISN）。這些序號用於追蹤資料包的順序和確保可靠性。如果攻擊者試圖劫持一個已建立的 TCP 會話，他們需要猜測正確的序號。
防禦： 現代作業系統和網路設備會對 TCP 序號進行高度隨機化，使其難以預測。這使得攻擊者難以在不接收回應的情況下猜測正確的序號，從而難以劫持或注入到現有的 TCP 會話中。

4. 強化認證機制

原理： 許多舊系統或簡單的服務可能會基於 IP 位址對使用者進行身份驗證或授權。例如，「如果來自 IP X，就允許存取」。
防禦： 現代應用程式和服務應採用更強大的多因素認證（MFA）、基於憑證的驗證、一次性密碼或基於會話令牌的身份驗證，而不是單純依賴 IP 位址。這樣，即使攻擊者成功偽造了 IP，也無法通過身份驗證層。

5. 網路監控與異常檢測

原理： 持續監控網路流量可以幫助發現異常模式。
防禦： 部署入侵檢測系統（IDS）或入侵防禦系統（IPS）可以檢測和警報那些來源 IP 位址不屬於本地網路但卻試圖通過的封包。分析流量模式也有助於發現 DDoS 攻擊或不尋常的網路活動，即使來源 IP 已被偽造。

6. RPF（Reverse Path Forwarding）檢查

原理： RPF 是一種路由器功能，它會檢查傳入封包的來源 IP 位址是否可以通過相同的介面被路由回該來源。如果不能，這個封包就會被丟棄。
防禦： RPF 主要用於防止 IP 偽裝，尤其是在路由不對稱的網路環境中。如果一個封包的來源 IP 在路由表中沒有相應的正確反向路徑，那麼它很可能是偽造的。

結論

IP 偽裝是一種強大的網路攻擊工具，它允許攻擊者在一定程度上隱藏自己的身份，並繞過基於 IP 的初步安全檢查。它在 DDoS 攻擊中扮演著關鍵角色，尤其是在反射式和放大式攻擊中。儘管其單向性限制了在建立雙向通訊方面的應用，但對於不需要回應的惡意活動，它仍然是一個嚴重的威脅。

透過廣泛部署 BCP38 入口過濾、強化認證機制、實施有效的網路監控以及利用 RPF 等技術，我們可以顯著提高網路對 IP 偽裝威脅的抵抗力。作為網路管理員，了解這些防禦策略並將其應用於您的網路基礎設施至關重要；作為一般使用者，雖然您無法直接阻止 IP 偽裝攻擊，但了解其原理有助於您更好地理解網路安全的重要性。

什麼是 IP 偽裝（IP Spoofing）？原理、攻擊類型與防禦之道