是否可以找到带有欺骗性 IP 标头的数据包的实际源 IP？

Question

我最近受到了 DDoS 攻击。这是使用欺骗 IP 的 SYN 泛洪。是否有可能将攻击追溯到实际的发送服务器？

Answer 1

否是有效的答案。这不是绝对的答案，因为存在一种理论条件，即可以连续询问每个上游连接到下一个以查看其完整的流量转储并告诉您数据包来自何处。在来自单一来源的大量数据的持续攻击中，在每个连续的上游系统所有者的帮助下，人们可能能够使用实时数据并在一段时间内进行过滤来做到这一点。

但是对于所有现实和可能的场景，您永远不会找到某些单个欺骗数据包的来源，甚至其中许多。

Answer 2

IP 数据包不包含有关它们所经过的路径的任何信息（TTL 标头除外，但这不会告诉您它最初是什么）。

所以没有实际的方法来做到这一点。您可以联系您的上游供应商，如果他们拥有庞大的网络，他们可能会大致知道它的来源。但除非这是一个严重的反复出现的问题，否则你就不走运了。

如果您对更学术的方面或互联网提供商可能会做的事情感兴趣，请阅读这篇文章。