Vulnerability-wiki

网络协议类漏洞综述

网络协议类漏洞是指攻击者通过设计缺陷、实现漏洞或配置不当，利用网络通信协议本身进行攻击的一类漏洞。这些漏洞通常发生在数据链路层、网络层和传输层，攻击者可以借此发起 中间人攻击（MITM）、DNS投毒、流量劫持、拒绝服务（DoS）、IP欺骗 等多种攻击。

---

一、为何关注网络协议漏洞？

虽然现代网络大量加密传输（如 HTTPS），但协议设计的历史遗留问题依然存在：

• 许多协议设计于上世纪，无安全机制（如 ARP、DNS）
• 多数网络设备默认信任广播和基础协议
• 协议交互存在状态可预测、校验机制薄弱等缺陷

攻击者往往利用这些缺陷实施：

• 信息嗅探与窃听
• 伪造通信内容
• 劫持用户连接
• 绕过访问控制

---

二、常见网络协议漏洞类型

漏洞名称	协议	危害简述
ARP 欺骗（ARP Spoofing）	ARP	实现中间人攻击、嗅探数据
DNS 投毒（DNS Cache Poisoning）	DNS	将域名解析到恶意地址
TCP RST 注入（Reset Injection）	TCP	强制断开通信连接
DHCP 欺骗（DHCP Spoofing）	DHCP	提供伪造网关，劫持流量
BGP 劫持（BGP Hijack）	BGP	控制跨国数据流向
IPv6 漏洞	ICMPv6、RA	邻居发现欺骗、路由劫持
中间人攻击（MITM）	多协议	拦截篡改请求与响应内容

---

三、攻击模式概览

网络协议攻击大多具备以下共性：

• 链路层欺骗：利用局域网广播协议，如 ARP/DHCP
• 域名欺骗：伪造 DNS 记录影响解析结果
• 连接劫持：预测/伪造 TCP 序列号注入包
• 配置误导：DHCP/BGP 等协议中下发恶意参数
• 加密绕过：对不加密的协议实施嗅探和篡改

---

四、防御与检测思路

攻击类型	防御措施	检测方式
ARP 欺骗	静态 ARP 表，启用动态检测	ARP Watch、Snort
DNS 投毒	DNSSEC、缓存隔离	DNSviz、dnscap
TCP 注入	TCP 序列号随机化	IDS 检测异常 RST 包
DHCP 欺骗	DHCP Snooping、端口隔离	监听 DHCP 包来源
BGP 劫持	RPKI、BGP监控平台	BGPmon、RIPE RIS

---

总结

网络协议漏洞虽然通常发生在“看不见”的底层，但一旦被利用，往往可造成全网级别的影响。理解这些攻击原理，不仅对安全从业者至关重要，也有助于开发者和运维人员提升安全意识与应对能力。

下一步 👉 点击 DNS 投毒 开始深入学习 👈