dos攻擊原理和防御方法-資料下載頁
2025-07-25 16:43本頁面
【正文】 受害主機(jī)，此攻擊后果同ICMP flood，但比之更為隱秘；此類包可通過兩種方式攔截，如果偽源地址檢測能夠檢測出來，直接拒絕該包，另外，可打開smurf檢測開關(guān)，如果源地址是受保護(hù)的目的服務(wù)器地址，而目的地址是一個廣播地址，則攔截這樣的包； smurf自身利用的是ICMP_ECHO包，但考慮到其它的ICMP請求包也將導(dǎo)致同樣的后果，因此，將檢測擴(kuò)展到類型ICMP_TSTAMP、ICMP_IREQ、ICMP_MASKREQ。 ip fraggle intercept 攻擊fraggle嚴(yán)格說來，是一個smurf的變種，它針對許多防火墻對于ICMP包檢查比較嚴(yán)格的前提，不再向廣播地址發(fā)ICMP請求包，而是改為發(fā)送UDP包，當(dāng)目的網(wǎng)段的計算機(jī)收到該包并檢查到目的端口不可達(dá)時，將發(fā)給受害主機(jī)一個“目的端口不可達(dá)”的差錯報文，大量的報文同時涌向受害主機(jī)，因而達(dá)到攻擊目的；此檢測與smurf檢測大同小異，僅僅類型不同而已。 ip tcp intercept land LAND攻擊則利用了系統(tǒng)的另一個弱點：許多系統(tǒng)不知道如何處理源地址與端口號等同于目的地址與端口號的SYN建連請求，導(dǎo)致系統(tǒng)紊亂或死機(jī)；因此，如果檢測到了某個報文的源地址等于目的地址、源端口等于目的端口，當(dāng)即扔掉這樣的包。 ip tcp intercept list 消耗系統(tǒng)有限資源的攻擊，最有名的當(dāng)屬SYN泛洪，這是一種蓄意侵入三次握手并打開大量半開TCP/IP連接而進(jìn)行的攻擊，該攻擊利用IP欺騙，向受害者的系統(tǒng)發(fā)送看起來合法的SYN請求，而事實上該源地址不存在或當(dāng)時不在線，因而回應(yīng)的ACK消息無法到達(dá)目的，而受害者的系統(tǒng)最后被大量的這種半開連接充滿，資源耗盡，而合法的連接無法被響應(yīng)；對于此攻擊，我們采用一種簡單的攔截方式：閥值攔截，一旦某服務(wù)器收到的SYN請求的報文頻率超過閥值限度則對多余的進(jìn)行攔截，一方面削弱了syn攻擊強(qiáng)度，另一方面不至于消耗過多的路由器資源而導(dǎo)致自身的拒絕服務(wù)。需要注意的是，由于沒有區(qū)分SYN報文的合法性，這種方式仍然會造成一部分合法請求被攔截掉，造成無法響應(yīng)的情況，可以結(jié)合偽源地址檢測功能過濾掉大部分攻擊報文，減少合法報文被攔截的情況。 當(dāng)然，對于動態(tài)防火墻來說，本身他就是一種被動的防御行為，事先在軟件上面必須要有周全的考慮，才能在防范中做到游刃有余，還有一點也是非常重要的，那就是防火墻的性能，和交換機(jī)一樣，要做到線速轉(zhuǎn)發(fā)就需要足夠的背板交叉容量的支撐, 任何防火墻都是有極限的。超過了極限值，防火墻也被活活的攻擊死了…
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號-1