정보보안기사 필기 · 2023년 4회 · 25번

공격자는 공격용 IP패킷을 위해 두 개의 fragment를 생성한다. 첫 번째 fragment는 패킷 필터링 장비에서 허용하는 http(TCP 80) 포트와 같은 포트번호를 갖는다. 그리고 두 번째 fragment는 offset을 아주 작게 조작해서 fragment들이 재조합될 때 두 번째 fragment가 첫 번째 fragment의 일부분을 덮어쓰도록 한다. 일반적으로 공격자들은 첫 번째 fragment의 포트 번호가 있는 부분까지 덮어씌운다. IDS에서는 첫 번째 fragment는 허용된 포트번호이므로 통과시키고 두 번째 fragment는 이전에 이미 허용된 fragment의 ID를 가진 fragment이므로 역시 통과시킨다. 이 두 개의 fragment가 목적지 서버에 도달하여 재조합되면 첫 번째 fragment의 포트 번호는 두 번째 fragment의 포트 번호로 overwrite되고 TCP/IP 스택은 이 패킷이 필터링되어야 할 포트의 응용 프로그램에 전달한다.