11避免拒絕服務攻擊-wenkub
2023-03-17 23:40:44 本頁面
【正文】 第十一章 避免拒絕服務攻擊 拒絕服務 (Denial of Service,DoS)攻擊，是網絡上常見的一類攻擊的總稱，其目的是使計算機或網絡無法提供正常的服務。 本章首先講解了拒絕服務攻擊的過程以及危害，接下來闡述了幾種常見的拒絕服務攻擊，最后對它們提出了解決方案。早期的拒絕服務攻擊是利用了 TCP/IP協(xié)議的缺陷，將提供服務的網絡的資源消耗殆盡，導致其不能提供正常服務，不過，在本章中，我們也將一些對服務器的惡意訪問也包含了進來。 提示 以具有代表性的攻擊手段 SYN flood、 ICMP flood、 UDP flood為例，其原理是：針對同一個服務器的某個端口 (如 HTTP所在的 80端口 )，短時間內發(fā)送大量偽造的連接請求報文，造成服務器忙不過來，嚴重的時候資源耗盡、系統(tǒng)停止響應甚至崩潰。 從攻擊原理分，拒絕服務攻擊可分為兩類： ? 基于漏洞的攻擊，又稱為邏輯攻擊（ Logic Attack）。 傳統(tǒng)的拒絕服務攻擊，一般是從一個攻擊源攻擊一個目標。 幾個拒絕服務攻擊的案例 程序崩潰攻擊 ? 拒絕服務攻擊引起程序崩潰，可以通過改善代碼質量來降低損失。 根據 TCP/IP的規(guī)范，一個包的長度最大為 65535字節(jié)。如下代碼是一個 IP頭定義： //定義 IP首部 struct _iphdr { unsigned char h_verlen。 //16位標識 unsigned short frag_and_flags。 //16位 IP首部校驗和 unsigned int sourceIP。 此時如何實現(xiàn)“ Ping Of Death”攻擊呢？這里首先要將在結構體ip_header的結構進行一下解釋。 怎樣避免這樣的問題？很明顯，應該在編程的過程中進行充足的考慮(比如在數(shù)據組裝時進行充分的檢查 )，并且認真進行測試，使得數(shù)據包的長度在 65535之內。本節(jié)以 SYN Flood為例，來說明這種攻擊的原理和解決方法。其中，建立 TCP連接的過程在 TCP協(xié)議中被稱為三次握手 (Threeway Handshake)，其過程如圖所示： 該圖中， HOSTA向 HOSTB發(fā)出鏈接請求，可以認為 HOSTA為客戶端，HOSTB為服務器端，其流程如下： 1：客戶端向服務器端發(fā)送一個 TCP報文 (同步報文或稱 SYN報文 )，該報文包含 SYN(同步 )標志， SYN報文中同時指明了客戶端使用的端口以及TCP連接的初始序號 (seq=x)； 2：服務器端在收到客戶端的 SYN報文后，將返回一個 SYN(同步 )+ACK(確認 )標志的報文給客戶端，表示客戶端的請求被服務器端接受；從圖中可以看出，此處 seq=y， ACK=x+1； 3：客戶端收到服務器端的 SYN(同步 )+ACK(確認 )標志的報文之后，也返回一個含有 ACK標志 (ack=y+1)的報文給服務器端，到此一個 TCP連接完成。 攻擊者就是利用這個缺陷，可以對服務器進行攻擊。 從開發(fā)角度講，要防御此種攻擊，有幾種簡單的解決方法： 1：縮短 SYN Timeout 時間。但是，該方法僅在對方攻擊頻度不高的情況下生效， 2：設置黑名單。 如果客戶端攻擊者的 IP 地址經過偽造，這種方法就不奏效了。以 下是運行該命令的效果： 惡意訪問攻擊 某些應用程序 (特別是 WEB 程序 )是針對不可預知的客戶的，客戶的訪問大都是 正常的，但是某些惡意的訪問可能會給系統(tǒng)造成一定困擾。 2：惡意查詢。 它通過在客戶端腳本寫入一些代碼，然后利用客戶機在網站反復登陸；或者攻擊者自 己創(chuàng)建一個網頁，網頁中包含一個表單，表單內包含了和原始網站提交表單中相同的提交目標和表單元素，然后反復提交表單，實際上是在服務器端進行相應的操作，如 創(chuàng)建帳戶、提交垃圾數(shù)據等。 客戶輸入表單提交時，驗證碼也提交給網站服務器，只有驗證成功，才能執(zhí)行實 際的數(shù)據庫操作。這就是驗證 碼為什么用圖片，而不是直接用一個數(shù)字文本在頁面上顯示的原因，因為客 戶端可能通過訪問網頁源代碼的方式獲取驗證碼的內容。 2：客戶端輸入驗證碼，并提交該表單，服務器端獲取客戶提交的驗證碼，和前 面產生的的隨機數(shù)
物理相關推薦
鄂ICP備17016276號-1