關聯筆記：Google Cybersecurity Certificate > C3 課程總覽 > W2 網路協定
C3W3 — 網路攻擊與入侵（Network intrusions）
Module 3: 常見網路攻擊手法、動機與防禦
目錄
- 全景知識圖
- 一、攻擊者為什麼攻擊你
- 二、網路攔截攻擊（封包嗅探 / 路徑攻擊 / 重送 / 精靈）
- 三、IP 偽造與衍生攻擊
- 四、阻斷服務攻擊（DoS 與 DDoS）
- 五、後門攻擊（Backdoor）
- 六、tcpdump 封包分析
- 七、真實案例：2016 Dyn DDoS
- 八、攻擊對組織的衝擊
- 九、術語速查表
- 十、考核易混淆觀念
全景知識圖
底層技術 → 攻擊分類樹
底層技術（攻擊者先取得這兩種能力）
┌──────────────────────────┐ ┌──────────────────────────────┐
│ 封包嗅探 Packet Sniffing │ │ IP 偽造 IP Spoofing │
│ ├─ 被動嗅探（只看） │ │ 修改封包來源 IP │
│ └─ 主動嗅探（看 + 竄改） │ │ 冒充合法裝置混入網路 │
└────────────┬─────────────┘ └──────────────┬───────────────┘
└─────── 取得合法 IP / MAC ─────────┘
↓
作為後續攻擊的基礎
攻擊分類（依目的）
├── 攔截類
│ ├── 路徑攻擊（On-path Attack） ← 以 IP 偽造冒充合法方
│ └── 重送攻擊（Replay Attack） ← 攔截後重送合法封包
│
├── 阻斷服務類（DoS / DDoS）
│ ├── SYN Flood ← 以 IP 偽造發大量 SYN
│ ├── ICMP Flood ← 大量 ping 耗光資源
│ ├── Ping of Death ← 單一超大 ICMP 封包
│ ├── 精靈攻擊（Smurf Attack） ← IP 偽造 + DoS 複合
│ └── DDoS ← Botnet 放大 DoS
│
└── 持久存取類
└── 後門攻擊（Backdoor Attack）技術組合矩陣
| 攻擊 | 需要封包嗅探 | 需要 IP 偽造 | 造成 DoS | 持久存取 |
|---|---|---|---|---|
| 路徑攻擊（On-path） | △ | ✓ | ||
| 重送攻擊（Replay） | ✓ | |||
| 精靈攻擊（Smurf） | △ | ✓ | ✓ | |
| SYN Flood | ✓ | ✓ | ||
| ICMP Flood | ✓ | |||
| Ping of Death | ✓ | |||
| DDoS | ✓ | |||
| 後門攻擊（Backdoor） | ✓ |
△ = 不強制，但嗅探能提供所需的合法 IP / MAC，讓攻擊更精準
一、攻擊者為什麼攻擊你
動機比手法重要
攻擊者的動機決定他們會選什麼手法、攻擊到什麼程度。分析師要先問「誰會想打我們？」才有辦法設防線。
| 動機類型 | 典型行為者 | 常見目標 |
|---|---|---|
| 財務 | 犯罪集團、勒索軟體組織 | 竊取金流、信用卡資料、加密勒索 |
| 政治 | 國家支持的駭客 | 間諜活動、癱瘓關鍵基礎設施 |
| 個人恩怨 | 離職員工、不滿顧客 | 破壞系統、洩露內部資料 |
| 意識形態 | 駭客主義者（Hacktivist） | 癱瘓目標網站、公開機密資料 |
二、網路攔截攻擊（Network Interception Attacks）
什麼是攔截攻擊
攻擊者在傳輸途中抓取或竄改封包，取得機密資料或破壞傳輸內容。例如攔截銀行轉帳改收款帳號。
本節涵蓋四種攔截手法：
| # | 中文名稱 | 英文名稱 | 一句話定義 |
|---|---|---|---|
| 1 | 封包嗅探 | Packet Sniffing | 用工具擷取並檢查網路封包 |
| 2 | 路徑攻擊 | On-path Attack | 躲在兩方通訊中間偷聽或竄改 |
| 3 | 重送攻擊 | Replay Attack | 攔到合法封包後重新發送 |
| 4 | 精靈攻擊 | Smurf Attack | IP 偽造 + 廣播 ICMP 淹沒受害者 |
1. 封包嗅探（Packet Sniffing）
用硬體或軟體工具擷取、檢查網路上傳輸的封包。
| 類型 | 英文 | 說明 |
|---|---|---|
| 被動嗅探 | Passive | 連進 hub，僅觀看全網流量，不動資料 |
| 主動嗅探 | Active | 擷取封包後修改內容再轉送出去 |
關鍵技術：網卡（NIC）的混雜模式（Promiscuous Mode）
- 正常模式：NIC 只收目標 MAC 是自己的封包
- 混雜模式：NIC 收全網所有封包，不管目標是誰 → 嗅探的技術基礎
常見的網路協定分析器（Network Protocol Analyzer）：
| 工具 | 特點 |
|---|---|
| tcpdump | 命令列、輕量、Linux/macOS 預裝 |
| Wireshark | 圖形介面，視覺化封包分析 |
| SolarWinds NetFlow Traffic Analyzer | 企業級、流量趨勢分析 |
| ManageEngine OpManager | 網路效能監控 + 封包分析 |
| Azure Network Watcher | 雲端原生，Azure 環境使用 |
嗅探資料的下一步
攻擊者透過嗅探取得合法裝置的 IP 與 MAC 地址後，可以直接拿來發動 IP 偽造攻擊——先拿到合法身分，再冒充那台裝置混進網路。嗅探是 IP 偽造的前置步驟。
2. 路徑攻擊（On-path Attack）
又稱中間人攻擊（Meddler-in-the-Middle），攻擊者插入兩台互信裝置之間，偷聽或竄改傳輸內容。
典型情境：DNS 竄改 攔截 DNS 查詢的回應，把域名指向惡意 IP → 受害者以為連到銀行，其實進入釣魚網站。
防禦：傳輸層加密（TLS）讓中間人就算攔到封包也無法解讀。
3. 重送攻擊（Replay Attack）
攔截一個合法封包，在稍後重新發送一次，讓系統重複執行同一動作。
情境
攻擊者攔截「轉帳 100 元」的封包，事後再傳一次相同封包 → 帳戶被重複扣款。
4. 精靈攻擊（Smurf Attack）
同時結合 IP 偽造（IP Spoofing）與 DoS 的複合型攻擊，三步流程：
- 攻擊者偽造來源 IP 為受害者的 IP
- 用這個假 IP 對網段的廣播位址（255.255.255.x） 發送 ICMP ping
- 網段上所有裝置同時對受害者回 ICMP echo → 受害者被大量回應淹沒
為什麼用 ICMP？
ICMP（Internet Control Message Protocol）正常功能是讓裝置回報傳輸錯誤、進行網路疑難排解（如
ping）。正因為大部分裝置預設會回應 ICMP，攻擊者才能利用廣播位址讓整個網段「幫忙」放大攻擊流量。
攻擊者（偽造受害者 IP）
│
└──── ICMP ping ────→ 廣播位址（255.255.255.x）
│
┌────────────────────┼────────────────────┐
↓ ↓ ↓
裝置 A 回 裝置 B 回 裝置 C 回
└────────────────────┼────────────────────┘
↓
受害者（被淹沒）防禦：用 NGFW（新世代防火牆）偵測異常的大量廣播流量並封鎖。
三、IP 偽造與衍生攻擊
IP 偽造（IP Spoofing）是什麼
攻擊者修改封包表頭的來源 IP，冒充合法裝置混進網路。通常先嗅探取得合法 IP/MAC，再進行偽造。
正常封包：
[裝置 A: 192.168.1.10] ── 來源 IP: 192.168.1.10 ──→ [伺服器]
IP 偽造後：
[攻擊者: 10.x.x.x] ── 來源 IP: 192.168.1.10 ──→ [伺服器]
↑ 偽裝成合法裝置 A防禦：設定防火牆拒絕來源 IP 可疑或不合法的封包。
IP 偽造是以下三種攻擊的共同基礎：
| 衍生攻擊 | 中文名 | IP 偽造的用途 |
|---|---|---|
| On-path Attack | 路徑攻擊 | 插入通訊中間，冒充合法一方 |
| Smurf Attack | 精靈攻擊 | 偽裝成受害者 IP，引導廣播回應淹沒受害者 |
| SYN Flood | SYN 洪水攻擊 | 偽造來源 IP 大量發 SYN，讓伺服器連線表塞爆 |
四、阻斷服務攻擊（DoS 與 DDoS）
DoS vs. DDoS
- DoS（Denial of Service）：單一攻擊源發大量流量把目標打掛
- DDoS（Distributed DoS）：分散式，用 Botnet（殭屍網路）從全球多台電腦一起打
DoS（單一來源）：
攻擊者 ──── 大量流量 ────────────────────→ 目標伺服器（癱瘓）
DDoS（分散式）：
Bot 1 ──┐
Bot 2 ──┤
Bot 3 ──┼── 同時發大量流量 ──→ 目標伺服器（癱瘓）
Bot N ──┘
（全由 Bot-herder 遠端操控）1. 殭屍網路（Botnet）
被惡意軟體感染、受單一攻擊者（Bot-herder，殭屍牧人）遠端操控的大量電腦。Bot-herder 下令所有 bot 同時對目標發封包 → 產生 DDoS 流量。
2. DoS 常見三種子類型
| # | 攻擊名稱 | 中文 | 原理 |
|---|---|---|---|
| 1 | SYN Flood | SYN 洪水 | 大量送 TCP SYN 但不完成三向交握，伺服器連線表塞爆 |
| 2 | ICMP Flood | ICMP 洪水 | 持續發大量 ping 耗光頻寬與 CPU |
| 3 | Ping of Death | 死亡之 Ping | 送單一超過 64 KB 的 ICMP 封包，舊系統解析時直接崩潰 |
辨識 SYN Flood
看 log 若出現大量
SYN_SENT或SYN_RECV但沒完成交握的連線，多半就是 SYN Flood。
3. DoS vs. IP 偽造的差異
| DoS | IP 偽造（IP Spoofing） | |
|---|---|---|
| 目的 | 讓服務無法運作 | 冒充合法裝置混進網路 |
| 來源 IP | 可用合法 IP | 一定要偽造來源 IP |
| 流量特徵 | 大量封包淹沒目標 | 封包數量不一定多 |
| 攻擊者會收到回應嗎？ | 不會（目標直接掛掉或丟棄） | 視情況，可能收到被騙的回應 |
縱深防禦（Defense-in-Depth）原則
沒有單一策略能完美防禦每種攻擊，要多層疊加：
防禦層 防禦對象 傳輸層加密（TLS） On-path、Replay 防火牆 IP 規則 IP 偽造、SYN Flood NGFW 異常流量偵測 Smurf、DDoS 業界加密標準 多層同時強化
五、後門攻擊（Backdoor）
後門是什麼
繞過正常存取控制的隱藏通道，不一定是惡意的——原本可能是開發者或管理員留的，被攻擊者發現後就成了入侵捷徑。
1. 後門的三種來源
| 來源 | 原始意圖 | 風險 |
|---|---|---|
| 開發者留的 | 除錯、快速測試 | 上線後忘記移除 |
| 管理員留的 | 遠端維運方便 | 被攻擊者發現並利用 |
| 攻擊者安裝的 | 確保持久存取（Persistent Access） | 入侵後繼續潛伏 |
2. 攻擊者從後門能做的事
| 行動 | 說明 |
|---|---|
| 安裝惡意軟體 | 部署勒索軟體、間諜程式 |
| 發動 DoS | 從內部癱瘓服務 |
| 竊取機敏資料 | 帳號密碼、客戶資料 |
| 改動安全設定 | 開放更多漏洞給後續攻擊鋪路 |
後門不一定是惡意的（考核常考）
安全審查要主動找出並關閉所有後門，不能因為「這是當初開發者留的」就放著。
六、tcpdump 封包分析
tcpdump 是什麼
命令列的網路協定分析器（Network Protocol Analyzer），輕量、使用 libpcap 函式庫，大部分 Linux 已預裝，macOS 也可用。
1. 輸出欄位解讀
每一行輸出代表一個封包，格式如下：
14:18:00.000000 IP 203.0.113.5.80 > 192.168.1.10.49152: ...
│ │ │ 來源 IP.port │ 目標 IP.port
│ │ └─ 協定
│ └─ Timestamp（時分秒.毫秒）| 欄位 | 說明 |
|---|---|
| Timestamp | 時分秒與毫秒（精確到微秒） |
| Source IP | 封包來源 IP |
| Source port | 封包來源 port |
| Destination IP | 目標 IP |
| Destination port | 目標 port |
預設行為與
-nn參數tcpdump 預設會把 IP 解析成 hostname、port 換成服務名稱（如
443→https）。 要看原始數字，加-nn關掉解析。
2. 常見用途
| 用途 | 說明 |
|---|---|
| 建立流量基線 | 記錄正常流量樣貌，有異常才抓得到 |
| 偵測惡意流量 | 找出可疑 IP、異常封包量 |
| 定位未授權連線 | 找出未授權 IM、野生無線 AP |
| 自訂告警 | 搭配腳本設定特定條件的通知 |
兩面刃
tcpdump 也會被攻擊者拿來抓明文帳密。這就是為什麼要用 HTTPS/SSH 而不是 HTTP/Telnet。
七、真實案例：2016 Dyn DDoS
事件摘要
- 日期：2016-10-21
- 目標：DNS 服務商 Dyn
- 手法：大學生寫的 botnet 原始碼被公開，駭客拿來當武器
- 過程：早上 7 點開始每秒數千萬個 DNS 請求湧入 Dyn，DNS 服務癱瘓
- 影響：北美與歐洲大量網站（Twitter、Netflix、Reddit 等）無法解析，使用者打開瀏覽器看到的是 404
- 復原：約兩小時
- 教訓：DNS 是網路的「黃頁」，打掉 DNS 等於把一整片服務打暗
防禦啟示：
- 重要服務分散在可動態擴展的主機上
- 使用多家 DNS 服務商做備援
八、攻擊對組織的衝擊
| 面向 | 具體影響 |
|---|---|
| 財務 | 營運中斷、勒索金、訴訟賠償、系統重建 |
| 商譽 | 客戶失去信任、改用競爭對手 |
| 公共安全 | 電力、自來水、軍事通訊遭攻擊 → 民眾實體受害 |
九、術語速查表
| 術語 | 英文 | 定義 |
|---|---|---|
| 網際網路控制訊息協定 | ICMP（Internet Control Message Protocol） | 裝置間用來回報傳輸錯誤的協定，也用於 ping 疑難排解 |
| 封包嗅探 | Packet sniffing | 擷取並檢查網路封包 |
| 被動嗅探 | Passive packet sniffing | 連 hub 看全網流量 |
| 主動嗅探 | Active packet sniffing | 擷取後竄改封包 |
| 中間人攻擊 | On-path attack | 攻擊者插在兩方通訊中間 |
| 重送攻擊 | Replay attack | 攔到封包後重送 |
| IP 偽造 | IP spoofing | 改封包來源 IP 冒充合法裝置 |
| 精靈攻擊 | Smurf attack | IP 偽造 + 廣播 ICMP |
| 阻斷服務 | DoS | 大量流量淹沒目標 |
| 分散式阻斷服務 | DDoS | 多來源同時 DoS |
| 殭屍網路 | Botnet | 受攻擊者遠控的感染電腦群 |
| SYN flood | — | 大量 SYN 不完成交握 |
| ICMP flood | — | 大量 ping 耗資源 |
| Ping of death | — | 超大 ICMP 封包讓系統崩潰 |
| 後門 | Backdoor | 繞過存取控制的隱藏通道 |
| 混雜模式 | Promiscuous mode | NIC 收全網流量不只自己的 |
十、考核易混淆觀念
DoS vs. IP spoofing
- DoS：流量轟炸，目標是讓服務掛掉
- IP spoofing：偽造身分，目標是混進網路或騙回應
- Smurf 同時用到兩者 → 常被出題考「結合哪兩種手法」
Passive vs. Active packet sniffing
- Passive：只看不改（連 hub 那年代很流行）
- Active：看完還改或注入（現代 switch 網路要用這招才有收穫）
On-path attack 別名
以前叫 Man-in-the-Middle（MitM），現在 Google 的教材統一叫 meddler-in-the-middle 或 on-path attack。考題三種寫法都可能出現。
Ping of death ≠ ICMP flood
- Ping of death：一個超大 ICMP 封包讓目標崩潰（單發致命）
- ICMP flood：大量正常大小的 ICMP ping 耗光資源（洪水淹沒）
Botnet 的必要條件
要成為 botnet 必須：
- 多台電腦被惡意軟體感染
- 受同一位攻擊者（bot-herder） 遠端操控
- 可同時協調發動攻擊
填空自測
| 問題 | 答案 |
|---|---|
| 攔封包要把 NIC 設成什麼模式？ | Promiscuous（混雜）模式 |
| Smurf 結合哪兩種手法？ | IP spoofing + DoS（ICMP 洪水） |
| 大量 SYN 不完成交握是什麼攻擊？ | SYN flood |
| 用 botnet 發動的 DoS 叫什麼？ | DDoS |
| On-path attack 最有效的防禦？ | 傳輸加密（TLS） |
| Ping of death 的封包要超過幾 KB？ | 64 KB |
| tcpdump 輸出看不懂數字 port 怎麼辦？ | 加 -nn 關掉解析 |
下一步：W4 安全強化（OS hardening、網路加固、雲端安全）