网络协议安全笔记（上）：链路层到传输层

/* MD / 富文本中的 .toc（含博客园搬家等嵌套结构）；.toc-box 在侧栏，不受影响 */
#content_views .toc,
/* 编辑器常在目录前后插入空 p（:empty 仍占 20px），一并去掉避免顶空隙 */
#content_views.markdown_views > p:empty:has(+ .toc),
#content_views.markdown_views > .toc + p:empty,
/* 富文本旧版目录标记 */
#content_views.htmledit_views #main-toc,
#content_views.htmledit_views #hr-toc,
#content_views.htmledit_views p[id*=\”-toc\”] {
display: none !important;
}
/* 目录去掉后，紧跟的首个标题不再多出一块上边距 */
#content_views.markdown_views > .toc + h1,
#content_views.markdown_views > .toc + h2,
#content_views.markdown_views > .toc + h3,
#content_views.markdown_views > .toc + h4,
#content_views.markdown_views > .toc + p:empty + h1,
#content_views.markdown_views > .toc + p:empty + h2,
#content_views.markdown_views > .toc + p:empty + h3,
#content_views.markdown_views > .toc + p:empty + h4 {
margin-top: 0 !important;
}

网络协议安全笔记（上）：链路层 → 传输层

一句话总纲：这套协议设计之初只追求「能通」，认证、完整性、机密性几乎没写进去。所以协议安全的本质就是对着每个协议问三句话：它凭什么相信对方？它拿什么证明数据没被改？它在链路上是明文还是密文？

本文按 链路层 → 网络层 → 传输层 → 应用层 逐层往下走，每个协议固定用同一个模板拆，最后统一收口到「攻击面总表 + 明文可见性 + 简答模板」。

⚠️ 本文只讨论协议原理与原生设计缺陷，用于学习、排障和防御，不包含可直接运行的攻击代码。

本篇范围：0 阅读约定、一 总览、二 链路层、三 网络层、四 传输层（TCP / UDP）。应用层协议与安全总结放在下篇。

0 阅读约定

0.1 每个协议统一按这个模板写

0.2 抓包环境与记号

• 工具：Wireshark，开启 相对序号（Relative sequence number），Seq 从 0 开始显示，不是真实原始序列号。
• Len=0 表示 TCP 载荷为 0，是纯控制报文；Win 是接收窗口；[PSH, ACK] 这类方括号是 Wireshark 的推断标记。
• 「一个以太网帧 = 一个二层包」，绝大多数 DNS 查询/响应单独占一个帧。

一、总览

1.1 TCP/IP 四层 ↔ OSI 七层

分层的一句话记忆：

• 链路层解决「同一个广播域里，这一帧交给哪块网卡」→ MAC 地址
• 网络层解决「跨网段，这个包怎么一跳跳送到」→ IP 地址 + 路由
• 传输层解决「到了这台主机，交给哪个进程」→ 端口号
• 应用层解决「这个进程要干什么」→ 业务语义

1.2 封装与解封装

发送方自上而下加头（封装），接收方自下而上剥头（解封装）。三个容易记错的点：

1.3 一次「打开网页」到底用了多少协议

1.4 全文地图

二、链路层

这一层的一句话：局域网里没有「身份」，只有「地址」。谁报出自己的 MAC，交换机就照着转发 —— 这就是后面所有二层欺骗的根。

2.1 以太网（Ethernet）

核心作用：在同一个广播域内，用 MAC 地址把数据帧从一块网卡送到另一块网卡。它只管「这一跳」，不管跨网段。

EtherType 字段（以太网头最后 2 字节，用来告诉上层「我装的是什么」）：

两种帧格式：

现代 Ethernet II（DIX）：
目的MAC(6B) | 源MAC(6B) | EtherType(2B) | 载荷(46~1500B) | FCS校验(4B)

老式 IEEE 802.3：
目的MAC(6B) | 源MAC(6B) | 长度(2B) | LLC头 | 载荷 | FCS(4B)

区分方法：第 13、14 字节 ≥ 0x0600 → 是 EtherType（Ethernet II）；
≤ 0x05DC（1500）→ 是长度字段（802.3）
载荷最小 46B：不够要填充（padding），否则连 64B 最小帧都凑不齐

缺陷

利用

防御：端口安全（限制每口 MAC 数量）、DAI（动态 ARP 检测）、DHCP Snooping、禁用未使用端口、显式配置 trunk、BPDU Guard。

2.2 ARP（Address Resolution Protocol，地址解析协议）

层级：介于网络层与链路层之间，封装在以太网帧里，EtherType = 0x0806。

适用范围：只在同一个广播域（同一个子网）生效。IPv4 局域网专用；IPv6 抛弃了 ARP，改用 NDP（邻居发现协议）。

核心作用：已知目标 IP，查询对应的 MAC 地址。反过来（已知 MAC 查 IP）叫 RARP，已淘汰。

报文结构（28 字节，固定）：

工作过程：

补充：免费 ARP（Gratuitous ARP） —— 主机主动广播「我的 IP 对应我的 MAC」，用于 IP 冲突检测和「我换了网卡，大家更新一下」。这一机制本身也常被攻击者用来主动刷新别人的缓存。

实拍：一次 ARP 请求 + 应答（ping 10.41.231.140 触发，过滤器 arp）

• 第 1 条 Who has 10.41.231.140? Tell 10.41.231.117：目的 MAC 是 ff:ff:ff:ff:ff:ff（广播），Target MAC 全 0（还不知道）；
• 第 2 条 10.41.231.140 is at 82:48:ed:2e:cd:4a：单播回到我的 MAC，Opcode = reply (2)；
• 下方面板里 Sender IP 10.41.231.117 / Target IP 10.41.231.140 就是这次「IP 换 MAC」的全部内容 —— 没有签名，没有校验，也没有「我没问过你别答」。这就是 ARP 欺骗的入口。

缺陷

ARP 协议无身份认证、无校验，主机收到 ARP 应答就直接更新本机 ARP 缓存，不验证这个应答是不是真的目标主机发的，也不要求「我没问过你就别答」。

利用：ARP 欺骗（ARP 中毒）

攻击者发送伪造 ARP 应答：告诉受害者「网关 IP 的 MAC 是我」，同时告诉网关「受害者 IP 的 MAC 是我」。两个方向的流量都经过攻击者主机，实现中间人：抓 HTTP 明文、篡改网页、直接断网。

配套的两个变种：

• ARP 扫描：遍历网段发 ARP 请求，快速发现存活主机（比 IP 扫描更可靠，因为 ARP 不过路由器）。
• ARP 表溢出：灌满主机/交换机 ARP 表，让正常映射被挤掉，被迫重新广播 → 配合伪造应答抢占。

防御：静态 ARP 绑定（arp -s）、ARP 防火墙、DAI（动态 ARP 检测，交换机层面）、划分 VLAN 缩小广播域、重要服务器用静态映射。

DAI 的前提是 DHCP Snooping：交换机要先知道「这个口合法的 IP-MAC 是谁」，才能判断 ARP 应答真假 —— 这是配置题里常考的依赖关系。

2.3 补充：IPv6 的 NDP（一句话）

IPv6 用 NDP（Neighbor Discovery Protocol） 取代 ARP，靠 ICMPv6 的 NS/NA（邻居请求/通告，Type 133/135/136） 实现地址解析，另外还有 RS/RA（路由器请求/通告，Type 133/134）做 SLAAC 自动配置。

安全性同样的坑：NDP 也没有认证 → NS/NA 欺骗（NDP 欺骗）= IPv6 版 ARP 欺骗，防御是 RA Guard / ND Guard。

2.4 补充：VLAN（一句话）

VLAN 在以太网帧里插 4 字节 802.1Q 标签（EtherType 0x8100，里面 12 位 VID 表示 1~4094），把一台交换机的端口逻辑切成多个广播域。

安全含义：VLAN 不是安全边界（很多人误以为是）。跨 VLAN 必须过三层设备，这时候防火墙/ACL 才真正起作用。

三、网络层

这一层的一句话：IP 只负责「尽最大努力把包送到」，所以它不保证送到、不保证顺序、不保证不重复、不保证完整。这些坑全部留给上层去补。

3.1 IP（Internet Protocol，网际协议）

核心作用：寻址 + 路由，完成「主机到主机」的任务。

首部结构（固定 20 字节 + 可变选项）：

实际抓包对照（ping 223.5.5.5）：

必须记牢的字段：

常见协议号：

分片与 MTU：

• 以太网 MTU = 1500，IP 包超过就要分片；分片可以发生在源主机，也可以发生在中途路由器。
• 接收方靠「标识 + 片偏移 + MF」重组，任一分片丢失 → 整个原始包丢弃。
• DF=1（禁止分片） 时，如果路上 MTU 太小，路由器回 ICMP Type 3 Code 4（需要分片），源主机据此调小 —— 这就是 PMTUD（路径 MTU 发现）。
• 现实中的坑：ICMP 被防火墙全禁 → PMTUD 失效 → 大包发不出去、小包正常，表现为「网页能开但图片加载卡死」。这是运维高频故障，也是考试爱问的点。

实拍：ping -l 3000 被拆成 3 个分片（过滤器 ip.flags.mf == 1 or ip.frag_offset > 0）

三条记录的 Identification 全是 0x9592（表示「我们属于同一个原始包」），Fragment Offset 依次是 0 / 1480 / 2960 字节，前两条 More fragments = 1、最后一条为 0；第 1、2 条被标成 [Reassembled in #3]，说明重组是在接收端完成的，中间路由器只负责转发碎片。

缺陷

利用

• IP 源地址伪造：用于 DDoS 反射攻击、扫描时隐藏自身。注意：伪造源 IP 只能「发出去」，收不到回包，所以只适合单向攻击（SYN Flood、反射放大），不能用作正常通信。
• IP 分片攻击：
  • Teardrop / 重叠分片：构造片偏移重叠的分片，老系统重组时崩溃；
  • 分片绕过 IDS：把攻击载荷切碎，让特征串跨分片，简单 IDS 逐包匹配就失效；
  • 微小分片（tiny fragment）：第一片只装 8 字节 TCP 头的一部分，逼防火墙无法判断端口。
• TTL 欺骗：伪造较小 TTL 让包提前丢弃，隐藏扫描源（配合 traceroute 探测拓扑）。

防御：入方向 uRPF 反向路由校验（源 IP 是否真的从这条路来）、防火墙过滤、IPsec 加密、分片重组策略（丢弃异常分片）、IDS 做流重组而不是逐包匹配。

IPv6 改善了部分，但基础依然无认证。

补充：IPv6 干了什么（对比表）

安全影响：IPv6 没有 NAT 的「伪隔离」，主机直接暴露 → 防火墙必须显式配置；NDP 欺骗、RA 欺骗是 ARP 欺骗的等价物；IPv6 首部无校验和 意味着载荷完整性完全依赖上层。

3.2 ICMP（Internet Control Message Protocol，互联网控制报文协议）

介绍：属于 网络层（IP 层）协议，依附于 IP 协议（协议号 1），封装在 IP 报文中，没有独立的传输端口。

核心作用：传递网络控制信息、差错报告、探测网络状态，不是用来传输业务数据的。

一句话概括：IP 负责送包，ICMP 负责告诉对方：包有没有送到、为什么送不到、网络是否通畅。

一个标准的 ping，链路是【以太网 → IPv4 → ICMP】，不经过传输层。

ICMP 报文结构：Type(1B) + Code(1B) + 校验和(2B) + 4B 头部（随类型变化）+ 数据。

必记的类型/代码：

ICMPv6 是另一套类型号：1 目的不可达、2 包过大、3 超时、4 参数问题、128/129 Echo、133~137 NDP 五件套。

缺陷

利用

防御：防火墙限制 ICMP 速率、禁止 ICMP 重定向（Redirect 全丢）、阻断 ICMP 隧道（限制载荷大小和频率）、但不要一刀切全禁 —— 会打断 PMTUD。

3.3 补充：IGMP（一句话）

IGMP（Internet Group Management Protocol，协议号 2）用来管理组播组成员：主机告诉本地路由器「我要加入/退出某个组播组」，路由器据此决定往这个网段转发哪些组播流。IPTV、视频会议用它。安全上关注 IGMP 报文伪造导致组播流量泛洪。

四、传输层

这一层的一句话：网络层只管把包送到主机，传输层靠端口把数据交给进程；同时只有这一层开始，才出现「可靠性」这个话题。

4.0 端口（一句话带过）

端口 0~65535，用来在同一台主机内区分不同进程；TCP 端口和 UDP 端口是两个独立的编号空间（53/UDP 和 53/TCP 是两个不同的东西，DNS 同时用）。五元组 源IP, 源端口, 目的IP, 目的端口, 协议 唯一标识一条连接。

详细内容（知名端口划分、Socket、C/S 模型）见同目录《Web安全基础.md》的「前置知识」一节，这里不重复。

4.1 TCP（Transmission Control Protocol，传输控制协议）

核心作用：在不可靠的 IP 之上，提供面向连接、可靠、有序、有流量控制和拥塞控制的字节流服务。

首部结构（固定 20 字节 + 最多 40 字节选项）：

关键字段：

三次握手 / 四次挥手（实拍抓包）

TCP 抓包分析（HTTP GET 示例）

环境：Wireshark，开启相对序号，Seq 从 0 开始显示，不是真实原始序列号

• 客户端：192.168.1.59:1896（本机，随机端口）
• 服务端：44.206.195.5:80（httpbin，HTTP 80 端口）
• 浏览器访问 http://httpbin.org/get 的包

核心规则：

Ack 号 = 对方上一个 Seq + 对方报文携带的数据长度
✅ SYN / FIN 标志本身占用 1 个序号，即使载荷 Len=0

一、TCP 三次握手（建立连接）

✅ 三次握手完成，TCP 通道就绪，可以传输上层 HTTP 数据。

二、HTTP 业务数据传输

✅ HTTP 一问一答交互完成。

三、TCP 挥手断开连接（客户端主动关闭）

教材标准是四次挥手；真实网络中，服务端的 ACK 和 FIN 经常合并成一个报文，抓包只看到 3 个包属于正常优化，考试答题仍写四次挥手。

✅ 双向连接全部释放。

四、字段释义

五、序号校验示例

TCP 状态机

排障口诀：TIME_WAIT 多 = 连接被主动关闭得太多，端口可能不够用；CLOSE_WAIT 多 = 应用没关连接，是 bug；SYN_RCVD 多 = 有人在打 SYN Flood。

流量控制 vs 拥塞控制（一句话区分）

缺陷

利用

防御：SYN Cookie、SYN 队列调大 + 首包丢弃、防火墙/清洗设备、随机强初始序列号（现代 OS 用加密随机 ISN）、连接跟踪、限制单 IP 并发。

4.2 UDP（User Datagram Protocol，用户数据报协议）

这一节是原笔记缺失的部分，也是「为什么 DDoS 反射放大几乎都走 UDP」的答案所在。

4.2.1 是什么

它的设计哲学：把 IP 的能力几乎原样交给应用，只补两件事 —— 端口（进程寻址）和校验和（最基本的差错检测）。所以 UDP 的所有「缺点」，本质都是「故意不做」。

4.2.2 报文结构

首部只有 8 字节，4 个字段：

对比一下就知道差距：

4.2.3 校验和与伪首部

UDP 校验和的计算范围是：

伪首部（12B） + UDP 首部（8B） + UDP 数据
伪首部 = 源 IP(4B) + 目的 IP(4B) + 全 0(1B) + 协议号 17(1B) + UDP 长度(2B)

伪首部不真的发到线路上，只在计算校验和时临时拼出来。为什么要这么麻烦？因为要把 IP 层的源/目的地址也拉进校验 —— 否则一个包被错误投递（NAT 改写地址后没重算校验和）也检测不出来。

三个必须知道的点：

4.2.4 「8 字节首部」意味着什么

第 1 片 off=0 带 More fragments，第 2 片 off=185（185×8 = 1480 字节偏移）收尾；点开第 2 片看 UDP 长度字段写的是 Length: 2008，可这一帧只有 562 字节 —— 差的那 1480 字节在第 1 片里。中间丢任何一片，接收端都拼不出这条数据报，而 UDP 自己不会重传，只能靠应用层超时重发。

4.2.5 UDP 抓包：一次 DNS 查询

想看 UDP，最方便的例子就是 DNS。一条命令就够：

nslookup example.com # 触发一次 UDP 53 查询

Wireshark 过滤器：

udp.port == 53

抓到的应该是这样两个包（一往一返，没有任何握手和确认）：

上图左半是 4.1 节那条 HTTP 连接的完整过程（握手 3 包 + 数据 2 包 + 挥手 3 包），右半是这条 DNS 查询 —— 总共就 2 个包，问和答，完了。这就是「无连接」最直观的样子。

再补一张真正抓下来的（本机 10.41.231.117，校园网 DNS 10.41.231.140:53，nslookup www.hust.edu.cn）：

第 3 条是查询、第 4 条是响应，时间差只有 0.7 ms；下方面板把 UDP 首部 4 个字段和 DNS 头都展开了，和 4.2.2 的结构图一一对应：

三个值得注意的点：① 整条交互只有 2 个包，没有建立/确认/释放；② 响应比请求大（91B vs 75B），这个比例到了反射放大里会被放大到成千上万倍；③ 列表里第 1~24 条都是同一时段的其它 DNS 查询，只有第 3、4 条是这次 nslookup。

4.2.6 跑在 UDP 上的常见协议

4.2.7 缺陷

4.2.8 利用

① UDP Flood（直接洪泛）

伪造源 IP 向目标的大量端口发送 UDP 包 → 目标主机要么处理，要么回 ICMP 端口不可达（这又消耗一份资源）→ 带宽和 pps 被打满。

变种 Fraggle：把 UDP 包发到广播地址的 echo(7) / chargen(19) 端口，整个子网的主机都回包 → 1 个包变 N 个（和 ICMP 的 Smurf 是同一个思路）。

② 反射放大（Reflection & Amplification）—— UDP 最危险的用法

三步链条：

① 攻击者伪造源 IP = 受害者地址
② 向大量「开放服务」发送小请求（这些服务的响应很大）
③ 所有响应都打到受害者身上 → 放大倍数 = 响应大小 / 请求大小

⚠️ 上表的倍数随配置、响应内容、请求构造变化很大，写论文/答题时应表述为「量级」而非精确值。

为什么必须是 UDP？ 因为 TCP 要三次握手 —— 伪造源 IP 就收不到 SYN+ACK，连接根本建不起来，无法形成放大。UDP 无连接，一个包就能触发一个大响应。 这一句是这类题的标准答案。

③ UDP 分片攻击

• 构造总长 > 65535 或分片偏移重叠的 UDP 包，打老系统重组逻辑（Teardrop 的 UDP 版本）；
• 把攻击载荷拆到多个分片，让只做逐包匹配的 IDS 漏检。

④ UDP 隧道 / 数据渗出

把其他协议封装进 UDP 载荷（DNS over UDP 53、NTP、甚至 53 端口跑自定义协议），穿出防火墙。因为「53 端口必须放行」是很多内网的做法。

⑤ UDP 扫描

UDP 没有握手，扫描器发一个空包，等 ICMP 端口不可达（Type 3 Code 3）：收到 → 端口关闭；没收到 → 端口可能开着（也可能被防火墙静默丢弃，所以 UDP 扫描又慢又不准，nmap -sU 需要重试）。

⑥ QUIC 带来的新问题

HTTP/3 跑在 UDP 443 上，载荷全程 TLS 1.3 加密，中间设备看不到 SNI 之外的任何东西，传统基于 TCP 明文特征的 IDS 直接失效 → 只能靠流量行为特征（包长分布、时序）识别。这和你做流量分类是直接相关的点。

4.2.9 防御

一句话：UDP 的防御重点不在「协议内部」（它什么都没有），而在边界过滤 + 服务配置 + 速率限制。

4.2.10 TCP 与 UDP 逐项对比

4.2.11 为什么 DNS 用 UDP、HTTP 用 TCP

DNS 的「必要时走 TCP」有三个触发条件，考试常考：

下一篇：应用层与安全视角

《网络协议安全笔记（下）：应用层与安全视角》接着讲：

• HTTP / DNS / TLS / HTTPS / DHCP / SSH 的报文结构与原生缺陷（TLS 的 SNI 为什么是明文、DNS 投毒怎么发生、伪造 DHCP 服务器为什么能一次劫持整个网段）
• 一张「攻击面总表」，把 10 个协议的缺陷、典型攻击、防御对上号
• 「明文与密文边界」：普通链路 / HTTPS / IPSec 隧道 / GRE 隧道 四种情况，链路上到底谁看得见什么
• 「抓包排错清单」：看到 Retransmission、Port unreachable、Fragmented IP protocol 分别说明什么问题，以及每张图的复现命令