修改 TCP/IP TTL 值偽裝作業系統類型：Windows 2000 偽裝 Linux/Unix 防掃描

不同作業系統預設 TTL (Time To Live) 值不同。修改 Windows 註冊表將 TTL 從 128 改為 255，可使掃描者誤判為 Linux/Unix，增加攻擊者偵察難度。

預設 TTL 值對照

偽裝原理

• 攻擊者用 ping 或 traceroute 觀察回封包 TTL 推測 OS
• Win2k 預設 128 → 改為 255 → 類 Unix 特徵
• 掃描器會嘗試 Unix/Linux 漏洞 (如 r-services、NFS、Sendmail)，對 Win2k 無效
• 屬於資訊隱藏/混淆防禦，非根本修補漏洞

修改方法 (Windows 2000/XP/2003)

1. 開始 → 執行 → regedit
2. 定位：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
3. 找到或新建 DWORD 值：DefaultTTL
4. 設定十進制：255 (十六進制 0xFF)
5. 重新開機生效

驗證方式

# 本機 ping 自我
ping 127.0.0.1
# 觀察回應 TTL=255

# 或用 traceroute
tracert target_ip

局限性與風險

• 不改變實際漏洞：僅增加偵察成本
• 指紋識別多維度：TCP 視窗大小、選項順序、ICMP 回應、開放埠口、服務版本仍可識別
• 網路設備影響：經過路由器每跳 TTL -1，遠端觀察值非原始值
• 應用相容性：極少數應用可能依賴 TTL 行為 (罕見)

現代防禦建議

• 修補實際漏洞 (WSUS/自動更新)
• 防火牆封鎖不必要埠口
• 啟用 IPSec/Windows Filtering Platform 規則
• 部署 IDS/IPS 監控異常掃描
• 網路分段、最小權限、零信任架構

結語

修改 TTL 是安全性混淆手段，可作為纏繞層防禦之一環，但不可替代修補與存取控制。現代藍隊應專注於減少攻擊面、快速修補、偵測與回應，而非依賴指紋偽裝。