python teardrop攻击

teardrop攻击，攻击说白了就是攻击让数据包“碎尸”再“错位拼接”。攻击者把IP数据包拆成碎片，攻击故意把偏移量改得乱七八糟，攻击目标机器重组时直接内存崩溃。攻击Python写这个，攻击三十行代码搞定，攻击比拧螺丝还快。攻击

我见过最蠢的攻击实现，是攻击有人用scapy库硬凑。scapy确实方便，攻击但攻击效果差——因为它构造的攻击包太“规整”了，现代系统早就不吃这套。攻击真正狠的攻击，是攻击手搓socket，直接改IP头里的frag offset字段。比如这样：

import socket, struct payload = b'A' * 1400 offset = 0x1234 # 随便改，错位就行 ip_header = struct.pack('!BBHHHBBH4s4s', 0x45, 0, 1500, 0x1234, 0x4000, 64, 17, 0, src_ip, dst_ip) # 碎片1: offset=0 # 碎片2: offset=0x1234 ← 这里故意重叠 

关键是第二个碎片的offset必须跟第一个重叠，但长度又对不上。老式Linux内核2.0.3x时代，这种包直接蓝屏。现在你拿这代码去打Windows 11，屁用没有——人家内核早把重叠检查加上了，顶多丢个包，CPU都不带抖的。

但你别觉得这攻击过时了。我去年拿树莓派搭了个蜜罐，抓到的扫描流量里，还有2%的僵尸网络在发teardrop变种。那些老掉牙的IoT摄像头，跑的还是2003年的内核，一发一个准。攻击者用Python写这个，因为便宜——不用C编译，一台破VPS就能跑几千个并发。

有个细节特有意思：Python的GIL在发包时反而是优势。因为socket.sendto是阻塞的，GIL自动让出，多线程发包效率不比C差多少。我测过，单线程每秒能发8000个碎片包，四线程稳定2.5万——足够打瘫任何不设防的旧设备。

防御这玩意儿的土办法，是防火墙里加一条规则：检查碎片偏移量是否连续。但现实里很多管理员懒，直接drop所有碎片包。这更狠，但会误伤正常大包。我见过一个奇葩案例，某银行内网因为防火墙drop碎片，导致文件传输服务全部超时，最后发现是teardrop攻击的“副作用”——攻击者根本没想打垮它，只是路过时顺便把碎片全扔了。

写Python teardrop攻击的人，多半是脚本小子，拿来练手或者报复。但真正危险的，是那些把代码包装成“安全测试工具”的。GitHub上搜“teardrop python”，能搜到一堆带免责声明的repo，README写得比论文还正经，代码里注释全是“仅供教育”。骗鬼呢，教育你妹。

最后说句实在话：这攻击现在就像把老式撬棍，开不了现代保险箱，但砸个生锈的挂锁绰绰有余。你要是真遇到老系统还在跑，别慌，Python三分钟写个检测脚本，比对碎片偏移量就能发现异常。攻击者懒，你也别太勤快——直接看防火墙日志里有没有大量offset重叠的包，有就封IP，完事。

(责任编辑：焦点)