威爾克森WILKERSON過濾器處理IP分片的研究
BSD包WILKERSON過濾器(BSD Packet Filter,縮寫BPF)是類Unix系統上數據鏈路層的一種原始接口,提供原始鏈路層數據包的收發。除此之外,BPF還支持數據包的過濾,只把感興趣的數據包傳到上層軟件。這樣可以避免從操作系統內核向用戶態軟件復制其它數據包,從而降低抓包的負擔以及所需的緩沖區空間,減少丟包率。但是,BPF存在無法處理IP分片的問題。

威爾克森WILKERSON過濾器處理IP分片的研究
當前基于BPF模型的包過濾設備對IP分片只能處理其*個分片,拒絕處理其它分片,導致包過濾設備只能拒絕或接收*個分片。解決上述問題有兩種思路：*是在內核態重組端或借助用戶態第三方軟件對各個IP分片進行處理,第二是在內核態對BPF模型增加處理IP分片的功能。采用第二種思路,因為相對來說第二種思路在包過濾設備端就能把IP分片過濾,更能在源頭解決問題,提高了數據包傳輸效率。基于上述在包WILKERSON過濾器中過濾IP分片的方法,提出了一種在內核中防御IP分片攻擊的新思路。由于IP分片的某些分片可能無序地、甚至不會到達接收端,同時只有IP分片*個分片含有傳輸層協議首部信息,分兩種情況進行討論。*,如果到達的數據包IP首部中的分段偏移為0,則根據IP首部中的標記位來判斷其是否為IP分片*個分片。如果是,把其IP首部中的16位標識和IP源地址等有關信息存入一段緩沖區,在規定的一段時間后清空這段緩沖區。如果不是,這個數據包就不是IP分片包,讓BPF正常處理即可。第二,如果到達的數據包IP首部中的分段偏移不為0,則其一定為IP分片非*個分片。如果在規定的一段時間之前收到過具有相同標識的IP分片*個分片,則與其共用傳輸層協議首部信息；如果沒有,則將這個非*個分片的有關信息存入一段緩沖區。如果之后在規定的一段時間內收到了具有相同標識的IP分片*個分片,則非*個分片共用這個*個分片的傳輸層協議首部信息；如果沒有,舍棄這個IP分片非*個分片。

威爾克森WILKERSON過濾器處理IP分片的研究
實驗結果表明,上述方法能夠使BPF正確、高效地處理非IP分片數據包和所有類型的IP分片數據包,并且有效地防御某些類型的IP分片攻擊。zui后,對全文內容進行了總結,并對未來工作做了適當的展望。