典型攻擊技術(shù)ppt課件-資料下載頁(yè)
2025-01-14 08:30本頁(yè)面
【正文】 理這些超出其處理能力垃圾數(shù)據(jù)包的過(guò)程中不斷下降，直至不能提供正常服務(wù)甚至崩潰。 ? Trinoo攻擊功能的實(shí)現(xiàn)，是通過(guò)三個(gè)模塊付諸實(shí)施的 :攻擊守護(hù)進(jìn)程 (NS)；攻擊控制進(jìn)程(MASTER) ；客戶端 (NETCAT，標(biāo)準(zhǔn) TELNET程序等 )。 TRINOO(cont’d) ? 攻擊守護(hù)進(jìn)程 NS是真正實(shí)施攻擊的程序，它與攻擊控制進(jìn)程 (MASTER)所在主機(jī)分離，在原始 C文件 ，需要加入可控制其執(zhí)行的攻擊控制進(jìn)程 MASTER所在主機(jī) IP。 ? NS運(yùn)行時(shí)，會(huì)首先向攻擊控制進(jìn)程 (MASTER)所在主機(jī)的 31335 端口發(fā)送內(nèi)容為 HELLO的 UDP包，標(biāo)示它自身的存在，隨后攻擊守護(hù)進(jìn)程即處于對(duì)端口 27444 的偵聽(tīng)狀態(tài)，等待 master攻擊指令的到來(lái)。攻擊控制進(jìn)程 (MASTER)在收到攻擊守護(hù)進(jìn)程的 HELLO Mast er Mast er Mast er D aem on D aem on D aem on … D aem on D aem on … att ac k er vict i m 27665 31335 27444 客戶機(jī) MASTER 攻擊機(jī) TRINOO攻擊過(guò)程 Stacheldraht ? Stacheldraht是從 TFN派生出來(lái)的。它們有同樣的攻擊方法（ SYNflood, PingFlood, UDP bomb和 SMURF）以及與 TFN相同的偽造數(shù)據(jù)包功能。 ? Stacheldraht 增加了主控端與客戶端加密通訊的能力。它采用可變的 TCP / UDP端口和特殊格式的 ICMP包進(jìn)行通訊。 ? Stacheldraht包含三個(gè)組成部分，主控端、客戶端和代理。 Stacheldrah中有一個(gè)內(nèi)嵌的代理升級(jí)模塊，可以自動(dòng)下載并安裝最新的代理程序。 ? Stacheldraht是專為 Linux和 Solaris設(shè)計(jì)的，但是只需對(duì)源代碼進(jìn)行一些修改，就可以安裝到任何系統(tǒng)。 防御 DoS攻擊 ?基于最小權(quán)限的原則建立和維護(hù)用戶帳號(hào) ?下載、安裝最新的服務(wù)器補(bǔ)丁程序。 ?提供高配置的服務(wù)器硬件，比如： CPU,內(nèi)存，網(wǎng)絡(luò)帶寬。 ?安裝入侵檢測(cè)系統(tǒng)或是其他系統(tǒng)監(jiān)控軟件。 找出產(chǎn)生網(wǎng)絡(luò)流量最大的主機(jī) : 我們同樣利用 Sniffer 的 Host Table 功能，將該 IDC 所有計(jì)算機(jī)通過(guò) Inter 出口的網(wǎng)絡(luò)流量按照發(fā)出數(shù)據(jù)包的包數(shù)多少進(jìn)行排序，結(jié)果如下圖。 Sniffer分析 DOS攻擊流量示例 我們從圖 中看到， Sniffer 的 host table 中可以看到 IP 地址為 的主機(jī) 發(fā)出了 15146 個(gè)數(shù)據(jù)包，遠(yuǎn)遠(yuǎn)超過(guò)其他的網(wǎng)絡(luò)主機(jī)。 該主機(jī)發(fā)出的數(shù)據(jù)包占所有主機(jī)發(fā)出的數(shù)據(jù)包總數(shù)的 ，網(wǎng)絡(luò)中絕大多數(shù)的數(shù)據(jù)包竟然是這一臺(tái)主機(jī)發(fā)出的，對(duì)于一個(gè) IDC 來(lái) 講，這是非常異常的現(xiàn)象。 我們可以看到，這臺(tái)主機(jī)發(fā)包的目標(biāo)主機(jī)只有一個(gè)，就是 IP 地址為 的主機(jī)。 同過(guò) Sniffer 的 Decode 功能，我們分析該主機(jī)發(fā)出的數(shù)據(jù)包內(nèi)容。 Sniffer分析 DOS攻擊流量 Sniffer分析 DOS攻擊流量 從 Decode內(nèi)容看 ， 我們發(fā)現(xiàn) IP地址為 的主機(jī)向 IP 地址為 的主機(jī)發(fā)出的都是 DNS 數(shù)據(jù)包 ， 但是是不完整的數(shù)據(jù)包 ， 同時(shí) 其發(fā)包的時(shí)間間隔極短 ， 每秒鐘發(fā)包數(shù)量在 100,000 個(gè)數(shù)據(jù)包以上 ， 這是種典型 的網(wǎng)絡(luò)攻擊行為 ， 初步判斷為黑客首先攻擊寄存在 IDC 的網(wǎng)絡(luò)主機(jī) ， 在取得其控 制權(quán)后利用這臺(tái)主機(jī)向目標(biāo)主機(jī)發(fā)起拒絕服務(wù) （ DOS） 攻擊 ， 由于該主機(jī)性能很 高 ，同時(shí) IDC 的網(wǎng)絡(luò)性能很高 ， 造成這種攻擊的危害性極大 。 Sniffer分析 DOS攻擊流量 Sniffer分析 DOS攻擊流量
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1