Scapy 不需要的 RST TCP 数据包

Question

为了理解 TCP 的工作原理，我尝试伪造自己的 TCP SYN/SYN-ACK/ACK （基于教程：http://www.thice.nl/creating-ack-get-packets-with-scapy/ ）。

问题是，每当我的计算机从服务器收到 SYN-ACK 时，它就会生成一个 RST 数据包，从而停止连接过程。

我在 OS X Lion 和 Ubuntu 10.10 Maverick Meerkat 上尝试过，都重置了连接。我发现了这个： http://lkml.indiana.edu/hypermail/linux /net/0404.2/0021.html，不知道是不是这个原因。

有谁能告诉我这可能是什么原因？以及如何避免这个问题呢？

谢谢。

Answer 1

你引用的文章已经很清楚地说明了这一点......

由于您没有完成完整的 TCP 握手，您的操作系统可能会尝试控制并开始发送 RST（重置）数据包，为了避免这种情况，我们可以使用 iptables：

iptables -A OUTPUT -p tcp --tcp-flags RST RST -s 192.168.1.20 -j DROP

本质上，问题是 scapy 运行在用户空间，linux内核会首先收到SYN-ACK。内核将发送 RST，因为在您有机会使用 scapy 执行任何操作之前，它不会在相关端口号上打开套接字。

解决方案（正如博客中提到的）是在内核上设置防火墙，防止其发送 RST 数据包。

Answer 2

我没有非 iptables 的答案，但可以解决重置问题。不要尝试在过滤器表中过滤传出重置，而是在原始表中过滤来自目标的所有传入数据包。这可以防止来自目标的返回数据包被内核处理，尽管 scapy 仍然可以看到它们。我使用了以下语法：

iptables -t raw -A PREROUTING -p tcp --dport <source port I use for scapy traffic> -j DROP

此解决方案确实强制我为我的流量使用相同的源端口；请随意使用您自己的 iptables-fu 来识别目标的返回数据包。

Answer 3

其他答案中引用的博客文章并不完全正确。这不仅是因为您没有完成三向握手，而且内核的 IP 堆栈不知道正在发生连接。当它收到 SYN-ACK 时，它会发送 RST-ACK，因为这是意外的。第一个或最后一个接收实际上并不重要。接收SYN-ACK的堆栈是问题所在。

使用 IPTables 丢弃出站 RST 数据包是一种常见且有效的方法，但有时您需要从 Scapy 发送 RST。一个更复杂但非常可行的方法是走得更低，使用与主机不同的 MAC 生成和响应 ARP。这使您能够在不受主机干扰的情况下发送和接收任何内容。

显然，这是更多的努力。就我个人而言，当我确实需要自己发送 RST 时，我只采用这种方法（而不是 RST 丢弃方法）。

Answer 4

我在 https://widu 中找到了一个没有 IPTables 的解决方案.tumblr.com/post/43624355124/suppressing-tcp-rst-on-raw-sockets。

要绕过此问题，只需创建一个标准 TCP 套接字作为服务器套接字并绑定到请求的端口即可。不要执行accept()。
只需socket()、端口上的bind() 和listen()。这会放松内核并让您进行 3 次握手。