【文章內(nèi)容簡(jiǎn)介】 址是偽造的，所以服務(wù)器一直等不到回傳的消息，分配給這次請(qǐng)求的資源就始終沒有被釋放。當(dāng)服務(wù)器等待一定的時(shí)間后，連接會(huì)因超時(shí)而被切斷，攻擊者會(huì)再度傳送新的一批請(qǐng)求，在這種反復(fù)發(fā)送偽地址請(qǐng)求的情況下，服務(wù)器資源最終會(huì)被耗盡。 58 BNCC DDOS原理 ? DDoS（分布式拒絕服務(wù)），它的英文全稱為Distributed Denial of Service，它是一種基于DoS的特殊形式的拒絕服務(wù)攻擊，是一種分布、協(xié)作的大規(guī)模攻擊方式，主要瞄準(zhǔn)比較大的站點(diǎn)，象商業(yè)公司，搜索引擎和政府部門的站點(diǎn)。從圖 1我們可以看出 DoS攻擊只要一臺(tái)單機(jī)和一個(gè) modem就可實(shí)現(xiàn)，與之不同的是 DDoS攻擊是利用一批受控制的機(jī)器向一臺(tái)機(jī)器發(fā)起攻擊，這樣來(lái)勢(shì)迅猛的攻擊令人難以防備，因此具有較大的破壞性。 DDoS的攻擊原理如圖所示。 59 BNCC DDOS原理 60 BNCC DDOS原理 ? 從圖可以看出， DDoS攻擊分為 3層：攻擊者、主控端、代理端，三者在攻擊中扮演著不同的角色。 攻擊者 ：攻擊者所用的計(jì)算機(jī)是攻擊主控臺(tái)，可以是網(wǎng)絡(luò)上的任何一臺(tái)主機(jī)，甚至可以是一個(gè)活動(dòng)的便攜機(jī)。攻擊者操縱整個(gè)攻擊過(guò)程，它向主控端發(fā)送攻擊命令。 主控端 ：主控端是攻擊者非法侵入并控制的一些主機(jī)，這些主機(jī)還分別控制大量的代理主機(jī)。主控端主機(jī)的上面安裝了特定的程序，因此它們可以接受攻擊者發(fā)來(lái)的特殊指令，并且可以把這些命令發(fā)送到代理主機(jī)上。 代理端 ： 代理端同樣也是攻擊者侵入并控制的一批主機(jī)，它們上面運(yùn)行攻擊器程序，接受和運(yùn)行主控端發(fā)來(lái)的命令。代理端主機(jī)是攻擊的執(zhí)行者，真正向受害者主機(jī)發(fā)送攻擊。 61 BNCC SYN Flood的基本原理 ? 大家都知道， TCP與 UDP不同，它是基于連接的，也就是說(shuō)：為了在服務(wù)端和客戶端之間傳送 TCP數(shù)據(jù)，必須先建立一個(gè)虛擬電路，也就是 TCP連接，建立 TCP連接的標(biāo)準(zhǔn)過(guò)程是這樣的： 首先，請(qǐng)求端（客戶端）發(fā)送一個(gè)包含 SYN標(biāo)志的 TCP報(bào)文，SYN即同步（ Synchronize），同步報(bào)文會(huì)指明客戶端使用的端口以及 TCP連接的初始序號(hào)； 第二步，服務(wù)器在收到客戶端的 SYN報(bào)文后，將返回一個(gè)SYN+ACK的報(bào)文，表示客戶端的請(qǐng)求被接受，同時(shí) TCP序號(hào)被加一， ACK即確認(rèn)（ Acknowledgement）。 第三步，客戶端也返回一個(gè)確認(rèn)報(bào)文 ACK給服務(wù)器端，同樣TCP序列號(hào)被加一，到此一個(gè) TCP連接完成。 以上的連接過(guò)程在 TCP協(xié)議中被稱為三次握手（ Threeway Handshake）。 62 BNCC SYN Flood的基本原理 ? 假設(shè)一個(gè)用戶向服務(wù)器發(fā)送了 SYN報(bào)文后突然死機(jī)或掉線，那么服務(wù)器在發(fā)出 SYN+ACK應(yīng)答報(bào)文后是無(wú)法收到客戶端的 ACK報(bào)文的（第三次握手無(wú)法完成），這種情況下服務(wù)器端一般會(huì)重試（再次發(fā)送 SYN+ACK給客戶端）并等待一段時(shí)間后丟棄這個(gè)未完成的連接，這段時(shí)間的長(zhǎng)度我們稱為 SYN Timeout，一般來(lái)說(shuō)這個(gè)時(shí)間是分鐘的數(shù)量級(jí)（大約為 30秒 2分鐘）；一個(gè)用戶出現(xiàn)異常導(dǎo)致服務(wù)器的一個(gè)線程等待 1分鐘并不是什么很大的問(wèn)題，但如果有一個(gè)惡意的攻擊者大量模擬這種情況，服務(wù)器端將為了維護(hù)一個(gè)非常大的半連接列表而消耗非常多的資源 數(shù)以萬(wàn)計(jì)的半連接，即使是簡(jiǎn)單的保存并遍歷也會(huì)消耗非常多的 CPU時(shí)間和內(nèi)存，何況還要不斷對(duì)這個(gè)列表中的 IP進(jìn)行 SYN+ACK的重試。實(shí)際上如果服務(wù)器的 TCP/IP棧不夠強(qiáng)大，最后的結(jié)果往往是堆棧溢出崩潰 即使服務(wù)器端的系統(tǒng)足夠強(qiáng)大，服務(wù)器端也將忙于處理攻擊者偽造的 TCP連接請(qǐng)求而無(wú)暇理睬客戶的正常請(qǐng)求（畢竟客戶端的正常請(qǐng)求比率非常之?。藭r(shí)從正?？蛻舻慕嵌瓤磥?lái)，服務(wù)器失去響應(yīng)，這種情況我們稱作：服務(wù)器端受到了 SYN Flood攻擊（ SYN洪水攻擊）。 63 BNCC SYN Flood的基本 基本解決方法 ? 第一種是縮短 SYN Timeout時(shí)間，由于 SYN Flood攻擊的效果取決于服務(wù)器上保持的 SYN半連接數(shù)，這個(gè)值 =SYN攻擊的頻度 x SYN Timeout，所以通過(guò)縮短從接收到 SYN報(bào)文到確定這個(gè)報(bào)文無(wú)效并丟棄改連接的時(shí)間，例如設(shè)置為 20秒以下（過(guò)低的 SYN Timeout設(shè)置可能會(huì)影響客戶的正常訪問(wèn)），可以成倍的降低服務(wù)器的負(fù)荷。 第二種方法是設(shè)置 SYN Cookie，就是給每一個(gè)請(qǐng)求連接的 IP地址分配一個(gè) Cookie，如果短時(shí)間內(nèi)連續(xù)受到某個(gè) IP的重復(fù) SYN報(bào)文，就認(rèn)定是受到了攻擊，以后從這個(gè) IP地址來(lái)的包會(huì)被丟棄。 64 BNCC DDoS攻擊使用的常用工具 ? DDoS攻擊實(shí)施起來(lái)有一定的難度，它要求攻擊者必須具備入侵他人計(jì)算機(jī)的能力。但是很不幸的是一些傻瓜式的黑客程序的出現(xiàn)，這些程序可以在幾秒鐘內(nèi)完成入侵和攻擊程序的安裝，使發(fā)動(dòng) DDoS攻擊變成一件輕而易舉的事情。下面我們來(lái)分析一下這些常用的黑客程序。 Trinoo ? Trinoo的攻擊方法是向被攻擊目標(biāo)主機(jī)的隨機(jī)端口發(fā)出全零的 4字節(jié) UDP包，在處理這些超出其處理能力的垃圾數(shù)據(jù)包的過(guò)程中，被攻擊主機(jī)的網(wǎng)絡(luò)性能不斷下降，直到不能提供正常服務(wù)，乃至崩潰。它對(duì) IP地址不做假，采用的通訊端口是： ? 攻擊者主機(jī)到主控端主機(jī)： 27665/TCP 主控端主機(jī)到代理端主機(jī)： 27444/UDP 代理端主機(jī)到主服務(wù)器主機(jī)： 31335/UDPFN ? TFN由主控端程序和代理端程序兩部分組成，它主要采取的攻擊方法為： SYN風(fēng)暴、 Ping風(fēng)暴、 UDP炸彈和 SMURF，具有偽造數(shù)據(jù)包的能力。 65 BNCC DDoS攻擊使用的常用工具 ? TFN2K ? TFN2K是由 TFN發(fā)展而來(lái)的，在 TFN所具有的特性上，TFN2K又新增一些特性，它的主控端和代理端的網(wǎng)絡(luò)通訊是經(jīng)過(guò)加密的，中間還可能混雜了許多虛假數(shù)據(jù)包，而 TFN對(duì) ICMP的通訊沒有加密。攻擊方法增加了 Mix和 Targa3。并且 TFN2K可配置的代理端進(jìn)程端口。 ? Stacheldraht ? Stacheldraht也是從 TFN派生出來(lái)的，因此它具有 TFN的特性。此外它增加了主控端與代理端的加密通訊能力，它對(duì)命令源作假，可以防范一些路由器的 RFC2267過(guò)濾。 Stacheldrah中有一個(gè)內(nèi)嵌的代理升級(jí)模塊，可以自動(dòng)下載并安裝最新的代理程序。 66 BNCC DDoS的監(jiān)測(cè) ? 現(xiàn)在網(wǎng)上采用 DDoS方式進(jìn)行攻擊的攻擊者日益增多，我們只有及早發(fā)現(xiàn)自己受到攻擊才能避免遭受慘重的損失。 ? 檢測(cè) DDoS攻擊的主要方法有以下幾種： ? 根據(jù)異常情況分析 ? 當(dāng)網(wǎng)絡(luò)的通訊量突然急劇增長(zhǎng)，超過(guò)平常的極限值時(shí)，你可一定要提高警惕，檢測(cè)此時(shí)的通訊；當(dāng)網(wǎng)站的某一特定服務(wù)總是失敗時(shí)，你也要多加注意；當(dāng)發(fā)現(xiàn)有特大型的 ICP和 UDP數(shù)據(jù)包通過(guò)或數(shù)據(jù)包內(nèi)容可疑時(shí)都要留神?？傊?，當(dāng)你的機(jī)器出現(xiàn)異常情況時(shí)，你最好分析這些情況，防患于未然。 ? 使用 DDoS檢測(cè)工具 ? 當(dāng)攻擊者想使其攻擊陰謀得逞時(shí)，他首先要掃描系統(tǒng)漏洞，目前市面上的一些網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，可以杜絕攻擊者的掃描行為。另外，一些掃描器工具可以發(fā)現(xiàn)攻擊者植入系統(tǒng)的代理程序，并可以把它從系統(tǒng)中刪除。 67 BNCC DDoS攻擊的防御策略 由于 DDoS攻擊具有隱蔽性，因此到目前為止我們還沒有發(fā)現(xiàn)對(duì)DDoS攻擊行之有效的解決方法。所以我們要加強(qiáng)安全防范意識(shí)，提高網(wǎng)絡(luò)系統(tǒng)的安全性。可采取的安全防御措施有以下幾種： 及早發(fā)現(xiàn)系統(tǒng)存在的攻擊漏洞，及時(shí)安裝系統(tǒng)補(bǔ)丁程序。對(duì)一些重要的信息（例如系統(tǒng)配置信息）建立和完善備份機(jī)制。對(duì)一些特權(quán)帳號(hào)（例如管理員帳號(hào)）的密碼設(shè)置要謹(jǐn)慎。通過(guò)這樣一系列的舉措可以把攻擊者的可乘之機(jī)降低到最小。 在網(wǎng)絡(luò)管理方面，要經(jīng)常檢查系統(tǒng)的物理環(huán)境，禁止那些不必要的網(wǎng)絡(luò)服務(wù)。建立邊界安全界限，確保輸出的包受到正確限制。經(jīng)常檢測(cè)系統(tǒng)配置信息，并注意查看每天的安全日志。 利用網(wǎng)絡(luò)安全設(shè)備（例如：防火墻）來(lái)加固網(wǎng)絡(luò)的安全性，配置好它們的安全規(guī)則，過(guò)濾掉所有的可能的偽造數(shù)據(jù)包。 比較好的防御措施就是和你的網(wǎng)絡(luò)服務(wù)提供商協(xié)調(diào)工作，讓他們幫助你實(shí)現(xiàn)路由的訪問(wèn)控制和對(duì)帶寬總量的限制。 ? 68 BNCC DDoS攻擊的防御策略 當(dāng)你發(fā)現(xiàn)自己正在遭受 DDoS攻擊時(shí)，你應(yīng)當(dāng)啟動(dòng)您的應(yīng)付策略，盡可能快的追蹤攻擊包，并且要及時(shí)聯(lián)系 ISP和有關(guān)應(yīng)急組織，分析受影響的系統(tǒng)，確定涉及的其他節(jié)點(diǎn)，從而阻擋從已知攻擊節(jié)點(diǎn)的流量。 當(dāng)你是潛在的 DDoS攻擊受害者，你發(fā)現(xiàn)你的計(jì)算機(jī)被攻擊者用做主控端和代理端時(shí)，你不能因?yàn)槟愕南到y(tǒng)暫時(shí)沒有受到損害而掉以輕心，攻擊者已發(fā)現(xiàn)你系統(tǒng)的漏洞，這對(duì)你的系統(tǒng)是一個(gè)很大的威脅。所以一旦發(fā)現(xiàn)系統(tǒng)中存在 DDoS攻擊的工具軟件要及時(shí)把它清除，以免留下后患。 69 BNCC 分布式拒絕服務(wù)（ DDoS）攻擊工具分析 TFN2K ? 客戶端 —— 用于通過(guò)發(fā)動(dòng)攻擊的應(yīng)用程序，攻擊者通過(guò)它來(lái)發(fā)送各種命令。 守護(hù)程序 —— 在代理端主機(jī)運(yùn)行的進(jìn)程，接收和響應(yīng)來(lái)自客戶端的命令。 主控端 —— 運(yùn)行客戶端程序的主機(jī)。 代理端 —— 運(yùn)行守護(hù)程序的主機(jī)。 目標(biāo)主機(jī) —— 分布式攻擊的目標(biāo)（主機(jī)或網(wǎng)絡(luò)）。 70 BNCC 分布式拒絕服務(wù)（ DDoS）攻擊工具分析 TFN2K ? TFN2K通過(guò)主控端利用大量代理端主機(jī)的資源進(jìn)行對(duì)一個(gè)或多個(gè)目標(biāo)進(jìn)行協(xié)同攻擊。當(dāng)前互聯(lián)網(wǎng)中的 UNIX、 Solaris和 Windows NT等平臺(tái)的主機(jī)能被用于此類攻擊，而且這個(gè)工具非常容易被移植到其它系統(tǒng)平臺(tái)上。 TFN2K由兩部分組成：在主控端主機(jī)上的客戶端和在代理端主機(jī)上的守護(hù)進(jìn)程。主控端向其代理端發(fā)送攻擊指定的目標(biāo)主機(jī)列表。代理端據(jù)此對(duì)目標(biāo)進(jìn)行拒絕服務(wù)攻擊。由一個(gè)主控端控制的多個(gè)代理端主機(jī)，能夠在攻擊過(guò)程中相互協(xié)同，保證攻擊的連續(xù)性。主控央和代理端的網(wǎng)絡(luò)通訊是經(jīng)過(guò)加密的，還可能混雜了許多虛假數(shù)據(jù)包。整個(gè) TFN2K網(wǎng)絡(luò)可能使用不同的 TCP、 UDP或ICMP包進(jìn)行通訊。而且主控端還能偽造其 IP地址。所有這些特性都使發(fā)展防御 TFN2K攻擊的策略和技術(shù)都非常困難或效率低下。 71 BNCC ? 主控端通過(guò) TCP、 UDP、 ICMP或隨機(jī)性使用其中之一的數(shù)據(jù)包向代理端主機(jī) 發(fā)送命令。對(duì)目標(biāo)的攻擊方法包括 TCP/SYN、 UDP、ICMP/PING或 BROADCAST PING (SMURF)數(shù)據(jù)包 flood等。 ? ◆ 主控端與代理端之間數(shù)據(jù)包的頭信息也是隨機(jī)的，除了 ICMP總是使用 ICMP_ECHOREPLY類型數(shù)據(jù)包。 ◆ 與其上一代版本 TFN不同， TFN2K的守護(hù)程序是完全沉默的，它不會(huì)對(duì)接收 到的命令有任何回應(yīng)。客戶端重復(fù)發(fā)送每一個(gè)命令 20次，并且認(rèn)為守護(hù)程 序應(yīng)該至少能接收到其中一個(gè)。 72 BNCC ? ◆ 這些命令數(shù)據(jù)包可能混雜了許多發(fā)送到隨機(jī) IP地址的偽造數(shù)據(jù)包。 ◆ TFN2K命令不是基于字符串的，而采用了 ++格式，其中是 代表某個(gè)特定命令的數(shù)值，則是該命令的參數(shù)。 ◆ 所有命令都經(jīng)過(guò)了 CAST256算法（ RFC 2612）加密。加密關(guān)鍵字在程序編 譯時(shí)定義，并作為 TFN2K客戶端程序的口令。 ◆ 所有加密數(shù)據(jù)在發(fā)送前都被編碼（ Base 64）成可打印的 ASCII字符。 TFN2K 守護(hù)程序接收數(shù)據(jù)包并解密數(shù)據(jù)。 73 BNCC ? ◆ 守護(hù)進(jìn)程為每一個(gè)攻擊產(chǎn)生子進(jìn)程。 ◆ TFN2K守護(hù)進(jìn)程試圖通過(guò)修改 argv[0]內(nèi)容（或在某些平臺(tái)中修改進(jìn)程名） 以掩飾自己。偽造的進(jìn)程名在編譯時(shí)指定，因此每次安裝時(shí)都有可能不同。 這個(gè)功能使 TFN2K偽裝成代理端主機(jī)的普通正常進(jìn)程。因此，只是簡(jiǎn)單地檢 查進(jìn)程列表未必能找到 TFN2K守護(hù)進(jìn)程（及其子進(jìn)程）。 ◆ 來(lái)自每一個(gè)客戶端或守護(hù)進(jìn)程的所有數(shù)據(jù)包都可能被偽造。 74 BNCC ? TFN2K仍然有弱點(diǎn)。可能是疏忽的原因，加密后的 Base 64編碼在每一個(gè) TFN2K數(shù)據(jù)包的尾部留下了痕跡（與協(xié)議和加密算法無(wú)關(guān)）?？赡苁浅绦蜃髡邽榱耸姑恳粋€(gè)數(shù)據(jù)包的長(zhǎng)度變化而填充了 1到 16個(gè)零 (0x00)，經(jīng)過(guò) Base 64編碼后就成為多個(gè)連續(xù)的 0x41(39。A39。)。添加到數(shù)據(jù)包尾部的 0x41的數(shù)量是可變的，但至少會(huì)有一個(gè)。這些位于數(shù)據(jù)包尾部的 0x41(39。A39。)就成了捕獲TFN2K命令數(shù)據(jù)包的