接收到 IP ID 为零的 UDP 数据包:

信息安全 漏洞扫描器 UDP 指纹
2021-08-29 08:52:12

我正在使用 Nexpose 扫描我们网络中的主机,报告的漏洞之一是

接收到 IP ID 为零的 UDP 数据包

IPv4 SRC[10.0.0.5] TGT[127.0.0.1]
TOS[192] TTL[64] Flags[40] Proto[17] ID[0] FragOff[0]
HDR-LENGTH[20] TOTAL-LENGTH[76] CKSUM[45199]
UDP SRC-PORT[123] TGT-PORT[47454] CKSUM[35227]
RAW DATA [48]:
1A030AE800000C9E00001A9A6BAAE008 ...�...�...�k��.
DA15B7A195FE52CDC6F15EDB78000000 �.����R���^�x...
DA15BC9BBD4C60B5DA15BC9BBD511C4F �.���L`��.���Q.O

我看不出有什么可以解决这个问题的。我该如何解决这个问题并将其关闭?我没有看到大量缓解此问题的信息,具有讽刺意味的是,这是我见过的唯一报告此问题的主机。这不是世界末日的严重性,但它会允许攻击者对我的主机进行指纹识别。

2个回答

我不认为你能解决这个问题。这与 TCP/IP 堆栈在操作系统中的工作方式有关。

还要记住,这允许操作系统避免被用于僵尸攻击:nmap 如何进行僵尸和诱饵扫描?

RedHat 根据CVE-2002-0510的官方回应:

Red Hat 不认为这是一个安全问题,并且有很多方法可以识别或指纹 Linux 机器。

RFC 6864“IPv4 ID 字段的更新规范”进一步阐明:

本文档以三种不同的方式更新 IPv4 ID 字段的规范,如后续小节所述: 仅将 IPv4 ID 字段用于分段(...)

这意味着如果不涉及碎片,将其设置为可预测的值是预期的行为。这在安全注意事项部分得到了加强,这意味着将 IP ID 设置为明显随机的值可以用作泄露数据的隐蔽通道,这是将其归零的另一个原因:

当 IPv4 ID 在接收时被忽略(例如,对于原子数据报),
它的值变得不受约束;因此,该字段可以更
容易地用作隐蔽通道。对于某些原子数据报,
现在可以并且可能需要重写 IPv4 ID 字段以
避免将其用作这样的通道。