網(wǎng)絡(luò)安全4-拒絕服務攻擊_2(編輯修改稿)
2025-03-02 20:58 本頁面
【文章內(nèi)容簡介】 接收到ICMP報文的實際長度，如果 ICMP報文的實際長度大于 64K，則產(chǎn)生一個緩沖區(qū)溢出錯誤，導致 TCP/IP協(xié)議堆棧崩潰。造成主機的重啟動或死機。這就是 Ping of Death的原理。 46 Ping of death攻擊 ? 攻擊特征： ? 該攻擊數(shù)據(jù)包大于 65535個字節(jié)。由于部分操作系統(tǒng)接收到長度大于 65535字節(jié)的數(shù)據(jù)包時，就會造成內(nèi)存溢出、系統(tǒng)崩潰、重啟、內(nèi)核失敗等后果，從而達到攻擊的目的。 ? 檢測方法： ? 判斷數(shù)據(jù)包的大小是否大于 65535個字節(jié)。 ? 反攻擊方法： ? 使用新的補丁程序，當收到大于 65535個字節(jié)的數(shù)據(jù)包時，丟棄該數(shù)據(jù)包，并進行系統(tǒng)審計。 47 Ping of Death攻擊實例 ? Ping － l 65540 參數(shù)“ l”：指定發(fā)送 ICMP報文的長度。 ?Windows98/2K中，使用下面的命令 Ping － l 65540 系統(tǒng)返回的信息： Bad value for option － l， valid range is from 0 to 65500 48 Teardrop攻擊 ? Teardrop本是一段用于拒絕服務攻擊的程序名，該程序利用 Windows 和低版本 Linux中處理 IP分片的漏洞，向受害者發(fā)送偏移地址重疊的UDP數(shù)據(jù)包分片，使得目標機器在將分片重組時出現(xiàn)異常錯誤，導致目標系統(tǒng)崩潰或重啟。 49 淚滴（ teardrop）攻擊簡介 ? 淚滴 (teardrop)攻擊又稱為分片攻擊。它是一種典型的利用 TCP/IP協(xié)議棧的漏洞進行DoS攻擊。由于第一個實現(xiàn)這種攻擊的程序叫 teardrop，所以這種攻擊也被稱為“淚滴”攻擊。 50 Teardrop攻擊 ? Teardrop攻擊原理 ? 當數(shù)據(jù)在不同的網(wǎng)絡(luò)介質(zhì)之間傳輸時，由于不同的網(wǎng)絡(luò)介質(zhì)和協(xié)議允許傳輸?shù)臄?shù)據(jù)包的最大長度 ——即最大傳輸單元（ MTU）可能是不同的，為了確保數(shù)據(jù)包順利到達目的地，分片功能是必需的。 ? 當一個數(shù)據(jù)包傳輸?shù)搅艘粋€網(wǎng)絡(luò)環(huán)境中，如果該網(wǎng)絡(luò)環(huán)境的 MTU小于數(shù)據(jù)包的長度，則該數(shù)據(jù)包需要分片才能通過該網(wǎng)絡(luò)。 51 Teardrop攻擊 ? 為了使得同一數(shù)據(jù)包的分片能夠在其目的端順利重組，每個分片必須遵從如下規(guī)則： ? 同一數(shù)據(jù)包的所有片段的標識號必須相同。 ? 每個片段必須指明其在原未分段的數(shù)據(jù)包中的位置（也稱偏移）。 ? 每個片段必須指明其數(shù)據(jù)的長度。 ? 每個片段必須說明其是否是最后一個片段，即其后是否還有其他的片段。 52 Teardrop攻擊 ? 假設(shè)原始 IP包有 150字節(jié)數(shù)據(jù)（不含 IP頭），該數(shù)據(jù)包可以被分成兩塊，前一塊有 120字節(jié)，偏移為 0；后一塊有 30字節(jié)，偏移應該為 120。 ? 當接收方收到數(shù)據(jù)長為 120的第一個分片數(shù)據(jù)包以后，如果收到第二個數(shù)據(jù)長度為 偏移為 120的分片時，其將第二個數(shù)據(jù)包的數(shù)據(jù)長度和偏移加起來，作為第一、二兩個分片的總長度（這里是 150）。 ? 由于已經(jīng)拷貝了第一個分片的 120字節(jié)，因此，系統(tǒng)從第二個分片中拷貝 150120=30字節(jié)數(shù)據(jù)到為重組開設(shè)的緩沖區(qū)中。這樣，一切正常，沒有錯誤發(fā)生。 53 Teardrop攻擊 ? 如果攻擊者刻意修改第二個分片數(shù)據(jù)包，使得數(shù)據(jù)長度為 偏移卻為 80，則結(jié)果就不一樣了。 ? 在收到第一個分片后，如果接收者收到第二個偏移 80、數(shù)據(jù)長度 30的分片時，系統(tǒng)計算 80+30=110作為兩個分片的總長度，為了確定應該從第二個分片中拷貝多少字節(jié)，系統(tǒng)需要用總長度 110減去第一個分片中已拷貝的 120字節(jié)，結(jié)果得到 10字節(jié)。 ? 由于系統(tǒng)采用的是無符號整數(shù)，則 10相當于一個很大的整數(shù)，這時候系統(tǒng)處理出現(xiàn)異常。根據(jù)系統(tǒng)不同，出現(xiàn)的異常情況也不一樣，但通常會導致堆棧損壞、 IP模塊不可用和系統(tǒng)掛起（不能響應）等。WinNT/95在接收到 10至 50個 Teardrop分片時也會崩潰。 54 Teardrop攻擊 55 Land攻擊 ? Land原是一段 C程序，其向受害者發(fā)送 TCP SYN包，而這些包的 源 IP地址和目的 IP地址被偽造成相同的 ，即受害者的 IP地址， 源端口和目的端口也是相同的 ； ? 此將導致接受服務器向它自己的地址發(fā)送 SYNACK消息，結(jié)果這個地址又發(fā)回 ACK消息并創(chuàng)建一個空連接。被攻擊的服務器每接收一個這樣的連接都將保留，直到超時。 ? 目標系統(tǒng)在收到這樣的包以后可能會崩潰或者重啟。 56 Land攻擊 ? 防御 ? 有針對性地更改協(xié)議算法，打最新的相關(guān)的安全補丁； ? 在防火墻上進行配置，將那些在外部接口上進入的含有內(nèi)部源地址的包過濾掉，包括 10域， 127域， ， 到 。 ? 對劇毒包進行識別。如：由于 Land攻擊主要是構(gòu)造 IP包，使源 IP和目標 IP相同，源端口和目的端口相同，可以對此類包進行單獨辨別、處理。 57 WinNuke攻擊 ? 攻擊特征： ? WinNuke攻擊又稱帶外傳輸攻擊，它的特征是攻擊目標端口，被攻擊的目標端口通常是 13 13 13 11 53，而且URG位設(shè)為“ 1”，即緊急模式。 ? 檢測方法： ? 判斷數(shù)據(jù)包目標端口是否為 13 13 137等，并判斷 URG位是否為“ 1”。 ? 反攻擊方法： ? 適當配置防火墻設(shè)備或過濾路由器就可以防止這種攻擊手段（丟棄該數(shù)據(jù)包），并對這種攻擊進行審計（記錄事件發(fā)生的時間，源主機和目標主機的 MAC地址和 IP地址 MAC）。 58 電子郵件轟炸 ? 在很短時間內(nèi)收到大量無用的電子郵件 ? SMTP端口 (25) tel smtp Trying … Connected to . Escape character is ‘^ ]’. 220 ESMTP hello 250 mail from: 250 Ok rcpt to: 250 Ok data 354 End data with CRLF.CRLF 垃圾郵件內(nèi)容 250 Ok: queued as 96FE61C57EA7B quit 第 4章 第 4節(jié) 59 電子郵件轟炸 ? 郵件列表炸彈 ? KaBoom! ? 這種攻擊有兩個特點 ? 真正的匿名，發(fā)送郵件的是郵件列表 ? 難以避免這種攻擊，除非被攻擊者更換電子郵件地址，或者向郵件列表申請退出 ? 病毒發(fā)送電子郵件炸彈 第 4章 第 4節(jié) 60 電子郵件炸彈 ? 電子郵件炸彈是最古老的匿名攻擊之一，它的原理就是利用舊的 SMTP協(xié)議不要求對發(fā)信人進行身份認證，黑客以受
法律信息相關(guān)推薦
鄂ICP備17016276號-1