Định nghĩa
IP Spoofing (Giả mạo địa chỉ IP)** là kỹ thuật kẻ tấn công **tạo gói tin IP với địa chỉ nguồn (Source IP) bị làm giả** – khác với IP thực của máy gửi – nhằm:
- Ẩn danh tính thật (anonymity).
- Mạo danh hệ thống tin cậy (trusted host) để bypass kiểm soát truy cập (ACL, firewall rule cho phép IP tin cậy).
- Gây nhiễu loạn truy vết (attribution) – forensic khó xác định nguồn gốc.
- Tham gia tấn công **DDoS Reflection/Amplification** (DNS, NTP, Memcached, CLDAP) – gói phản hồi đổ về victim (spoofed source IP = victim IP).
Cơ chế hoạt động
- Kẻ tấn công xây dựng raw socket (Linux: `IP_HDRINCL`, `sendto()`; Windows: WinPcap/Npcap; Tool: Scapy, hping3, Nemesis, Scapy).
- Điền trường **Source IP** = IP mục tiêu muốn mạo danh (hoặc IP ngẫu nhiên).
- Gửi gói tin qua mạng. Router chuyển tiếp dựa trên **Destination IP** – không kiểm tra Source IP legitimacy (trừ khi bật uRPF/SAVI).
- Máy nhận thấy gói tin đến từ IP giả mạo.
Các loại tấn công sử dụng IP Spoofing
| Loại tấn công | Mô tả | Vai trò IP Spoofing |
|---|
| DDoS Reflection/Amplification | Gửi request đến server open resolver (DNS, NTP, Memcached) với Source IP = Victim IP. Server phản hồi lớn gấp nhiều lần đổ về Victim. | Che giấu attacker, hướng traffic về victim. |
| Man-in-the-Middle (MitM) / Session Hijacking | Spoof IP của client/server để chèn mình vào luồng TCP (cần predict ISN - Initial Sequence Number). | Mạo danh endpoint hợp pháp. |
| Bypass ACL / Firewall Rule | Firewall cho phép IP quản trị (admin IP) truy cập SSH/RDP. Attacker spoof admin IP. | Lừa rule "allow src=admin_ip". |
| Blind Spoofing / Non-blind Spoofing | Blind: không thấy reply (dùng cho DoS, injection). Non-blind: trên cùng broadcast domain, sniff reply. | Khác nhau ở khả năng nhận response. |
| DNS Cache Poisoning (Kaminsky) | Spoof source IP của authoritative NS trong response giả mạo gửi đến resolver. | Lừa resolver cache record độc hại. |
Công cụ thường dùng
- Scapy (Python): `send(IP(src="1.2.3.4", dst="target")/TCP())` – linh hoạt nhất.
- hping3: `hping3 -S -a 1.2.3.4 -p 80 target` – SYN flood với spoofed source.
- Nemesis: Command-line packet crafting/injection.
- Metasploit auxiliary/spoof/ip: Module built-in.
- Custom C2 frameworks (Cobalt Strike, Sliver, Brute Ratel): Source IP spoofing cho egress traffic (cần raw socket capability).
Biện pháp phòng thủ (Mitigation)
- Ingress Filtering (BCP 38 / RFC 2827): **ISP/Enterprise edge router** drop packet có Source IP không thuộc prefix được cấp cho customer (anti-spoofing). **Quan trọng nhất**.
- Egress Filtering: Tổ chức drop outbound packet có Source IP không thuộc prefix của mình – ngăn user nội bộ spoof ra ngoài.
- uRPF (Unicast Reverse Path Forwarding): Router kiểm tra Source IP có reachable qua interface nhận gói tin không (Strict/Loose/Feasible mode). Triển khai ở access/aggregation layer.
- SAVI (Source Address Validation Improvement) – RFC 7039: IPv6 – binding IP-MAC-Port trên switch/AP (NDP inspection, DHCPv6 snooping).
- TCP SYN Cookie: Kernel tạo SYN-ACK không lưu state, verify ACK bằng cryptographic hash – chống SYN flood (kể cả spoofed).
- Encryption & Authentication (IPsec, TLS, SSH, WireGuard): Dù spoof IP, không thể thiết lập session hợp pháp thiếu khóa bí mật. **Giải pháp gốc rễ.**
- Network Segmentation & Zero Trust: Không tin tưởng dựa trên IP. Xác thực danh thực (Identity) + Device Posture + Least Privilege.
- DDoS Protection Service: Cloudflare, Akamai, AWS Shield, Azure DDoS Protection, Radware – hấp thụ volumetric attack (kể cả reflection).
Pháp lý
- IP Spoofing **bất hợp pháp** khi dùng cho tấn công, gian lận, truy cập trái phép (Luật An ninh mạng VN Điều 16, CFAA 18 U.S.C. § 1030, UK Computer Misuse Act 1990).
- Hợp pháp: Nghiên cứu bảo mật trong môi trường lab có kiểm soát, testing DDoS mitigation với sự đồng ý của bên liên quan.
Tóm tắt
**IP Spoofing = Làm giả Source IP**. Dùng cho DDoS reflection, bypass ACL, MitM, blind injection. **Phòng thủ cốt lõi: Ingress/Egress Filtering (BCP 38) tại ISP/Enterprise edge + uRPF/SAVI + Crypto-based Authentication (Zero Trust).** Không thể ngăn chặn hoàn toàn tại host nhận – phải ngăn chặn tại nguồn (network infrastructure).
