文档传输软件IP及其安全缺陷

　　1. 文档传输软件IP数据报格式
　　IP数据报首部的固定部分中的各字段的含义如下。
　　(1) 文档传输软件版本：指IP协议的版本，其值为4表示IPv4，其值为6表示IPv6。
　　(2) 文档传输软件首部长度：可表示的最大数值是1 5个单位（一个单位为4 B），因此IP的首部长度的最大值是60 Bo当IP分组的首部长度不是4B的整数倍时，必须利用最后一个填充字段加以填充。最常用的首部（固定首部）长度就是20B，即不使用任何选项。
　　(3) 文档传输软件服务类型：用来获得更好的服务，其意义见图1-2的上面部分所示。其中，D比特表示要求有更低的时延；T比特表示要求有更高的吞吐量；R比特表示要求有更高的可靠性（即在数据报传送的过程中，被路由器丢弃的概率要更小些）；c比特是新增加的，表示要求选择费用更低廉的路由。在相当长一段时期内并没有什么人使用服务类型( Type of Service，TOS)字段。直到最近，当需要将实时多媒体信息在互联网上传送时，服务类型字段才引起人们的重视。
　　(4) 文档传输软件总长度：指首部和数据之和的长度，单位为B o总长度字段为1 6 bit，因此数据报的最大长度为65535 B（即64 KB）。
　　在IP层下面的每一种数据链路层协议都有其自己的帧格式，其中包括数据字段的最大长度，称为最大传送单元( Maximum Transfer Unit, MTU)。当一个IP数据报封装成链路层的帧时，此数据报的总长度（即首部加上数据部分）一定不能超过MTU的值。当数据报长度超过网络所容许的MTU时，就必须将过长的数据报进行分片后才能在网络上传送。这时'数据报首部中的“总长度”字段不是指未分片前的数据报长度，而是指分片后每片的首部长度与数据长度的总和。
　　(5) 文档传输软件标识( Identification)：它是一个计数器，用来产生数据报的标识。当IP发MTU据报时，它就将这个计数器的当前值复制到标识字段中。当数据报由于长度超过网络的MT而必须分片时，这个标识字段的值就被复制到所有的数据报片的标识字段中。相同的标识字段的值使分片后的各数据报片最后能正确地重装成为原来的数据报。
　　(6) 文档传输软件标志( Flag)：目前标志中只有前两位有意义。
　　标志字段中的最低位记为MF(More Fragment)o当MF=1时，表示后面“还有分片”的数据报；当MF =O时，表示这已是若干数据报片中的最后一个。
　　标志字段中间的一位记为DF（Don't Fragment），意思是“不能分片”。只有当DF =O时才允许分片。
　　(7) 文档传输软件片偏移：指出较长的分组在分片后，某片在原分组中的相对位置。也就是说’相对于用户数据字段的起点，该片从何处开始。片偏移以8 B为偏移单位。片偏移等于5就表明偏移量为40B。每个分片的长度一定是8B(64bit)的整数倍。
　　(8) 文档传输软件生存时间：记为TTL(Time to LiVe)，用来控制数据报所通过路由器的最大跳数。当源站发送数据报时，它在此字段写入一个数值。这个数值约为任何两个主机之间的路由器数的两倍。当路由器收到一个数据报时，它先将此字段的值减1 0若在减1之后此字段的值是0，路由器就丢弃该数据报。
　　(9) 文档传输软件协议：指出此数据报携带的数据是使用何种协议，以便使目的主机的IP层知道应将此数据报上交给哪个进程。
　　(10) 文档传输软件首部检验和：只检验数据报的首部，不检验数据部分。这是因为数据报每经过一个节点，节点处理机就要重新计算一下首部检验和（一些字段，如生存时间、标志、片偏移等都可能发生变化）。如果将数据部分一起检验，计算的工作量就太大了。
　　(11) 文档传输软件源地址：数据报的源IP地址。
　　(12) 文档传输软件目的地址：数据报的目的IP地址。
　　2.IP缺陷
　　IP是无状态、无认证协议，其自身有很多特性易被攻击者利用。
　　(1) 文档传输软件IP协议没有认证机制。
　　由于IP没有来源认证，所以IP包中的所有字段几乎都可以伪造。例如，IP中没有相应的控制以防止数据包被篡改，攻击者可以伪造首部检验和字段，或者重新计算检验和以使网络节点不会丢弃数据包；由于IP本身对IP数据包是否来自真正的源地址不提供任何保障，因此攻击者可以进行IP源地址假冒。很多需要重写IP首部的攻击都要用到IP欺骗，主要的攻击包括：拒绝服务攻击、中间人攻击、源路由攻击、客户端攻击和服务器端攻击等。
　　(2) 文档传输软件数据报分片。
　　如前所述，因为低层协议MTU的限制，IP数据报可能需要分片，到达目的地后再重组。这一机制可以被攻击者利用。例如，用于攻击那些不能正确处理数据报分片异常（如分片重叠）的主机；用于绕过防火墙，或逃避入侵检测系统的检查。
　　(3) 文档传输软件寻址与协议选项。
　　数据报的寻址信息以及协议选项的信息泄露了部分网络拓扑信息。记录路由或时间戳的协议选项可能被攻击者用于网络侦察。
　　(4) 文档传输软件访问控制与带宽控制。
IP没有访问控制机制，使得攻击者可以查看上层协议（如TCP.UDP等）的内容；攻击者还可以利用IP没有带宽控制的缺陷，进行包风暴攻击来消耗带宽、系统资源，从而导致拒绝服务攻击。