firewall - IP 表捕获圣诞节扫描/空扫描

Question

我试图使用以下规则来进行圣诞节扫描和空扫描但是在测试时我检查了我的日志并且无法找到前缀？

iptables -A INPUT -p tcp --tcp-flags ALL ALL -j LOG --log-prefix "DROPPED XMAS PACKET:" 
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j LOG --log-prefix "DROPPED NULL PACKET:"
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP

iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP

我做错了什么还是我错过了什么？

Answer 1

根据Nmap 手册页，Null 扫描会发送一个没有设置标志的数据包，而 Xmas 扫描会发送一个设置了 FIN、PSH 和 URG 标志的数据包。您的空扫描匹配看起来应该有效，但您的圣诞节规则应该是：

 iptables -A INPUT -p tcp --tcp-flags ALL FIN,PSH,URG -j LOG --log-prefix "DROPPED XMAS PACKET:"

此外，这些数据包不会成为已建立的 TCP 会话的一部分，也不会建立一个。出于这个原因，您的规则集中可能有一条规则正在丢弃这些数据包，因为您正在使用-A(append) 添加您的规则。