Протокол ip

Протокол IP описан в документе RFC 791. Протокол IP не ориентирован на установку соеди­нений. Это означает, что каждый пакет передается по сети независимо от других. То есть не га­рантируется, что пакеты придут в пункт назначения и сохранится порядок, в котором они бы­ли отправлены.

Рассмотрим заголовок IP-пакета. Обратите внимание, что размер полей адресов отправителя и получателя равен 32 битам. При отправке пакета адрес узла-отправителя не про­веряется.

Таким образом, злонамеренный пользователь может подменить действительный ад­рес в поле адреса отправителя любым другим адресом. Об этом следует помнить всякий раз, определяя адрес отправителя полученного пакета.

Поле TTL (time-to-live — время жизни) предотвращает создание замкнутых маршрутов пе­редачи пакетов. При прохождении пакета через сетевое устройство (маршрутизатор) значение этого поля уменьшается на единицу. Когда значение поля достигнет нуля, пакет будет отбро­шен и источнику пакета будет отправлено сообщение «время истекло» («time exceded»). Поле TTL может использоваться для определения маршрута передачи сообщения. Программа tracerote отправляет пакет с установленным полем TTL, равным 1. Первый маршрутизатор ответит сообщением «время истекло». Затем один за другим будут отправлены пакеты, в каж­дом из которых значение поля TTL будет увеличиваться на единицу до тех пор, пока пакет не достигнет пункта назначения. Таким образом собирается информация обо всех промежуточных узлах трансляции пакета.

Если пакеты передаются по сетям, в которых размер IP-пакетов превышает максимально допустимое значение размера кадра, то выполняется фрагментация пакетов. Эта операция необходима для передачи информации в различных физических сетях, но она также может быть использована в незаконных целях. Поле MF указывает, является (MF=0) или нет (MF=l) дан­ный пакет последним фрагментом последовательности. Поле «fragment onset» («смещение фраг­мента») указывает на положение фрагмента в исходном пакете. Фрагменты могут быть использо­ваны для попытки обмануть брандмауэр. Например, первый фрагмент отправляется с вполне «невинным» TCP-заголовком (в блоке данных IP-пакета). Второй фрагмент «затеняет» данные первого и заменяет TCP-заголовок. В результате можно провести атаку в обход брандмауэра.

В современных IP-сетях фрагментация пакетов выполняется довольно редко. Поэтому присутствие фрагментированных пакетов, скорее всего, оз­начает или наличие каких-либо проблем в сети, либо попытку проведения атаки, например, атаки в обход брандмауэра (в результате различной сборки пакетов на брендмауэре и на компьютере-получатале) или атаки от­каза в обслуживании.

Блок данных IP-пакета содержит заголовок протокола более высокого уровня (TCP, UDP и т.д.), а также непосредственно сами данные.

Протокол tcp

Формат заголовка TCP-пакета также определен в документе RFC 793. В отличие от IP, протокол TCP являетсяориентированным на установление соединений.

То есть TCP гаран­тирует доставку и сохранение порядка отправленных пакетов. Это достигается за счет использо­вания порядковых номеров и номеров подтверждения. В то время как протокол IP использует IP-адреса для доставки пакетов указанному компьютеру, протокол TCP использует номера пор­тов для отправки пакета нужному процессу на компьютере-получателе и идентификации про­цесса-отправителя на компьютере-отправителе. Как и IP-адрес, порт отправителя не проверя­ется и поэтому может быть подменен нарушителем.

По заголовку TCP можно определить тип отправленного пакета. Тип пакета зависит от на­бора установленных флагов, которых всего шесть: Urgent, Ack, Push, Reset, Syn и Fin. Флаги Urgent и Push используются довольно редко. Большинство флагов и их комбинаций использу­ются при установлении и разрыве соединений.

Другие наборы флагов могут приме­няться хакерами для выявления работающих компьютеров или определения типа операционной систе­мы удаленного компьютера.