Faking dell'indirizzo IP senza essere consapevole della risposta di risposta

Question

Faking dell'indirizzo IP senza essere consapevole della risposta di risposta

#1 da (1 voti)
#2 da (-2 voti)

0

Ho letto diversi articoli sull'argomento (Spoofing IP address), qualcuno ha detto :

Spoofing an IP is usually better suited to "fire-an-forget" scenarios like DDoS.

dovuto alla comunicazione bidirezionale TCP e alla sua stretta di mano a tre vie. Va bene, ma ho uno scenario che penso sia simile a questo. Eccolo:

Recentemente è stato trovato un bug sul mio sito web in cui un utente può rubare i miei contenuti a pagamento inviando una richiesta di POST a un URL specifico con informazioni di acquisto vecchie e di successo (l'utente doveva comprare un prodotto una volta / doveva avere una corretta informazione di pagamento) quindi ha avuto accesso al contenuto in quanto il sistema non ha verificato se le informazioni di fatturazione correnti sono esistite o meno (è stato verificato solo se un acquisto con tali informazioni è stato effettuato correttamente o meno).

Dopo aver trovato questo bug ho ristretto le richieste di POST per essere processato da un solo IP specifico (che è IP del sito web della banca) (e non ho ancora risolto la logica di controllare le informazioni di acquisto).

Ora mi è venuto in mente che se qualcuno può falsificare il suo indirizzo IP come indirizzo IP della banca e ottenere l'accesso ai miei contenuti a pagamento come prima o no.

C'è qualche modo in cui qualcuno spoofa l'indirizzo IP della richiesta qui? se sì come?

websites ip man-in-the-middle ip-spoofing

posta revo 13.06.2015 - 16:50

fonte

2 risposte

-2

Sì, lo è! Ogni REQ di rete [SYN] è attribuito con un PID [ID pacchetto] Dest e SRC, In alcuni modi le persone possono creare un PID e spoofare con un altro IP che ha visitato il tuo sito Web prima, Se la richiesta è stata memorizzata sul tuo server, Qualcuno puo ' Ottieni 'l'IP di un'altra persona attraverso il PID. Questo si applica solo se un utente malintenzionato invia al server una richiesta RESET [RST] su un altro PID. Quindi il PID non è utilizzabile e la connessione viene chiusa con un altro pacchetto di risposta

Per maggiori informazioni leggere: [Uso di Scapy per testare gli attacchi di spoofing IP e Protecting though RST]

link

risposta data 13.06.2015 - 18:14

fonte

Leggi altre domande sui tag websites ip man-in-the-middle ip-spoofing

Accesso Guest non garantito su Macbook Pro TrueCrypts Full Disk Encryption è ancora sicuro? [duplicare]

score 1 · Accepted Answer

L'attaccante può ancora spoofare l'indirizzo IP e usare l'indirizzo IP della banca, ma la risposta dal tuo sito web andrà all'indirizzo IP falsificato (indirizzo IP della banca) e non all'indirizzo effettivo dell'indirizzo dell'attaccante.

Di solito è richiesto un handshake TCP per avviare una connessione TCP. HTTP usa TCP. L'utente malintenzionato invierà un pacchetto SYN con IP falsificato (IP della banca), il sito Web riceverà quindi questo pacchetto e invierà un ACK all'IP falso (IP della banca). La macchina alla banca vedrà che ha ricevuto un pacchetto ACK e poiché non ha inviato alcun pacchetto SYN prima, quindi normalmente lascerà cadere il pacchetto. A causa di ciò non è possibile completare un handshake TCP. Pertanto, la connessione tra il tuo sito e la banca non è stata stabilita completamente.

Questo è il motivo per cui in DDOS viene utilizzato un IP contraffatto. Perché in DDOS il motivo dell'attaccante è quello di abbattere il computer di destinazione, in modo che gli utenti legittimi non siano in grado di ottenere le risorse dal computer di destinazione. Da qui il nome Denial of Service (DoS) o DDoS (Distributed Denial of Service).

Spoofing di un indirizzo IP: un metodo è che un utente malintenzionato utilizzerà alcuni strumenti per la creazione di pacchetti e creare un pacchetto che conterrà un indirizzo IP falsificato. Il link sopra mostra gli strumenti più comunemente usati.