11避免拒絕服務(wù)攻擊(已修改)
2025-03-06 23:40 本頁面
【正文】 第十一章 避免拒絕服務(wù)攻擊 拒絕服務(wù) (Denial of Service,DoS)攻擊，是網(wǎng)絡(luò)上常見的一類攻擊的總稱，其目的是使計(jì)算機(jī)或網(wǎng)絡(luò)無法提供正常的服務(wù)。在 DoS攻擊中，最常見是網(wǎng)絡(luò)帶寬攻擊和連通性攻擊。前者一般惡意向網(wǎng)絡(luò)發(fā)送極大的通信量，使得可用網(wǎng)絡(luò)資源被消耗，而合法的用戶連接反而無法通過；后者主要是針對(duì)網(wǎng)絡(luò)上的計(jì)算機(jī)，向這些計(jì)算機(jī)發(fā)出大量的連接請(qǐng)求，消耗計(jì)算機(jī)可用的操作系統(tǒng)資源，導(dǎo)致計(jì)算機(jī)無法再處理合法用戶的請(qǐng)求。 DoS攻擊由于實(shí)施起來比較容易，效果也比較明顯，因此在網(wǎng)絡(luò)上比較常見，也給網(wǎng)絡(luò)安全帶來巨大的威脅。 本章首先講解了拒絕服務(wù)攻擊的過程以及危害，接下來闡述了幾種常見的拒絕服務(wù)攻擊，最后對(duì)它們提出了解決方案。本章涉及到的 DoS攻擊包括：系統(tǒng)崩潰、資源不足、惡意訪問等。 拒絕服務(wù)攻擊 拒絕服務(wù)攻擊作為互聯(lián)網(wǎng)上的一種常見攻擊手段，已經(jīng)有多年歷史。拒絕服務(wù)攻擊曾被稱作為互聯(lián)網(wǎng)上最為嚴(yán)重的威脅之一。早期的拒絕服務(wù)攻擊是利用了 TCP/IP協(xié)議的缺陷，將提供服務(wù)的網(wǎng)絡(luò)的資源消耗殆盡，導(dǎo)致其不能提供正常服務(wù)，不過，在本章中，我們也將一些對(duì)服務(wù)器的惡意訪問也包含了進(jìn)來。由于拒絕服務(wù)攻擊形式較多，并且很多情況下都是利用了一些現(xiàn)有協(xié)議的漏洞，因此，到目前為止，還沒有很好的解決辦法來解決拒絕服務(wù)攻擊問題。 拒絕服務(wù)攻擊的攻擊方式有多種，如： ? 消耗網(wǎng)絡(luò)帶寬； ? 消耗網(wǎng)絡(luò)設(shè)備的 CPU； ? 消耗網(wǎng)絡(luò)設(shè)備的內(nèi)存； ? 導(dǎo)致網(wǎng)絡(luò)上設(shè)備系統(tǒng)崩潰；等等。 注意，這里的網(wǎng)絡(luò)設(shè)備也包括網(wǎng)絡(luò)上的計(jì)算機(jī)。 提示 以具有代表性的攻擊手段 SYN flood、 ICMP flood、 UDP flood為例，其原理是：針對(duì)同一個(gè)服務(wù)器的某個(gè)端口 (如 HTTP所在的 80端口 )，短時(shí)間內(nèi)發(fā)送大量偽造的連接請(qǐng)求報(bào)文，造成服務(wù)器忙不過來，嚴(yán)重的時(shí)候資源耗盡、系統(tǒng)停止響應(yīng)甚至崩潰。這是對(duì)網(wǎng)絡(luò)上服務(wù)器的攻擊。 而另一種是針對(duì)網(wǎng)絡(luò)帶寬本身的攻擊，使用真實(shí)的 IP地址，對(duì)服務(wù)器發(fā)起大量的真實(shí)連接，搶占帶寬，由于服務(wù)器的承載能力有限，就有可能造成合法用戶無法連接，當(dāng)然也有可能造成服務(wù)器的資源耗盡，系統(tǒng)崩潰。更有甚者，可以使用假的 IP地址 (IP地址欺騙 )，使得服務(wù)器端無法通過“黑名單”來拒絕一些惡意的 IP地址。 從攻擊原理分，拒絕服務(wù)攻擊可分為兩類： ? 基于漏洞的攻擊，又稱為邏輯攻擊（ Logic Attack）。該種攻擊方法中，攻擊者首先找到軟件中存在的漏洞 (如操作系統(tǒng)中存在的緩沖區(qū)溢出漏洞 )，然后向存在漏洞的系統(tǒng)發(fā)送經(jīng)過精心設(shè)計(jì)的數(shù)據(jù)包，使得系統(tǒng)崩潰或性能急劇下降。 ? 基于流量的攻擊，又稱為洪水攻擊（ Flooding Attack/Bandwidth attack）。該種攻擊方式是指攻擊者在短時(shí)間內(nèi)，向目標(biāo)系統(tǒng)發(fā)送大量數(shù)據(jù)包，消耗目標(biāo)網(wǎng)絡(luò)帶寬或系統(tǒng)資源。 傳統(tǒng)的拒絕服務(wù)攻擊，一般是從一個(gè)攻擊源攻擊一個(gè)目標(biāo)。隨著攻擊技術(shù)的進(jìn)步，近些年來，拒絕服務(wù)攻擊已經(jīng)演變?yōu)榉植?、協(xié)作、大規(guī)模攻擊方式，從多個(gè)攻擊源攻擊一個(gè)目標(biāo)，即分布式拒絕服務(wù)攻擊（ Distributed Deny of Service, DDoS）。 DDoS通常被用于對(duì)一些大型商務(wù)網(wǎng)站或網(wǎng)絡(luò)系統(tǒng)進(jìn)行攻擊，攻擊強(qiáng)度和造成的危害大大超過傳統(tǒng)的 Dos攻擊。 有關(guān) DoS攻擊和 DDoS攻擊的其他資料，讀者可以參考相關(guān)文獻(xiàn)。 幾個(gè)拒絕服務(wù)攻擊的案例 程序崩潰攻擊 ? 拒絕服務(wù)攻擊引起程序崩潰，可以通過改善代碼質(zhì)量來降低損失。在這類攻擊中，最薄弱的環(huán)節(jié)是一些使用了網(wǎng)絡(luò)堆棧進(jìn)行工作的場(chǎng)合。比如，在 UDP通信中，構(gòu)建一個(gè) UDP數(shù)據(jù)包，在 UDP文件頭中指定的長(zhǎng)度比實(shí)際上數(shù)據(jù)包長(zhǎng)度大，則系統(tǒng)內(nèi)核會(huì)引起內(nèi)存訪問錯(cuò)誤，此時(shí)各種系統(tǒng)都會(huì)有相應(yīng)的反應(yīng)，如： ? UNIX系統(tǒng)中，系統(tǒng)進(jìn)入應(yīng)急狀態(tài)； ? Windows系統(tǒng)會(huì)藍(lán)屏或者進(jìn)行錯(cuò)誤檢查； ? 系統(tǒng)重新啟動(dòng)；等等。 ? 本節(jié)以“ Ping Of Death”攻擊來闡述這個(gè)問題。 根據(jù) TCP/IP的規(guī)范，一個(gè)包的長(zhǎng)度最大為 65535字節(jié)。盡管一個(gè)包的長(zhǎng)度不能超過 65535字節(jié)，但可以把報(bào)文分割成片段，然后在目標(biāo)主機(jī)上重組。但是，這個(gè)規(guī)則本身存在著漏洞，如果攻擊者精心設(shè)計(jì)，最終會(huì)導(dǎo)致被攻擊目標(biāo)緩沖區(qū)溢出，這也是拒絕服務(wù)攻擊的一種形式。 一般說來，當(dāng)一個(gè)主機(jī)收到了長(zhǎng)度大
物理相關(guān)推薦
鄂ICP備17016276號(hào)-1