dos攻擊原理和防御方法-資料下載頁(yè)
2025-07-25 16:43本頁(yè)面
【正文】 受害主機(jī)，此攻擊后果同ICMP flood，但比之更為隱秘；此類包可通過(guò)兩種方式攔截，如果偽源地址檢測(cè)能夠檢測(cè)出來(lái)，直接拒絕該包，另外，可打開smurf檢測(cè)開關(guān)，如果源地址是受保護(hù)的目的服務(wù)器地址，而目的地址是一個(gè)廣播地址，則攔截這樣的包； smurf自身利用的是ICMP_ECHO包，但考慮到其它的ICMP請(qǐng)求包也將導(dǎo)致同樣的后果，因此，將檢測(cè)擴(kuò)展到類型ICMP_TSTAMP、ICMP_IREQ、ICMP_MASKREQ?！ p fraggle intercept 攻擊fraggle嚴(yán)格說(shuō)來(lái)，是一個(gè)smurf的變種，它針對(duì)許多防火墻對(duì)于ICMP包檢查比較嚴(yán)格的前提，不再向廣播地址發(fā)ICMP請(qǐng)求包，而是改為發(fā)送UDP包，當(dāng)目的網(wǎng)段的計(jì)算機(jī)收到該包并檢查到目的端口不可達(dá)時(shí)，將發(fā)給受害主機(jī)一個(gè)“目的端口不可達(dá)”的差錯(cuò)報(bào)文，大量的報(bào)文同時(shí)涌向受害主機(jī)，因而達(dá)到攻擊目的；此檢測(cè)與smurf檢測(cè)大同小異，僅僅類型不同而已?！ p tcp intercept land LAND攻擊則利用了系統(tǒng)的另一個(gè)弱點(diǎn)：許多系統(tǒng)不知道如何處理源地址與端口號(hào)等同于目的地址與端口號(hào)的SYN建連請(qǐng)求，導(dǎo)致系統(tǒng)紊亂或死機(jī)；因此，如果檢測(cè)到了某個(gè)報(bào)文的源地址等于目的地址、源端口等于目的端口，當(dāng)即扔掉這樣的包?！ p tcp intercept list 消耗系統(tǒng)有限資源的攻擊，最有名的當(dāng)屬SYN泛洪，這是一種蓄意侵入三次握手并打開大量半開TCP/IP連接而進(jìn)行的攻擊，該攻擊利用IP欺騙，向受害者的系統(tǒng)發(fā)送看起來(lái)合法的SYN請(qǐng)求，而事實(shí)上該源地址不存在或當(dāng)時(shí)不在線，因而回應(yīng)的ACK消息無(wú)法到達(dá)目的，而受害者的系統(tǒng)最后被大量的這種半開連接充滿，資源耗盡，而合法的連接無(wú)法被響應(yīng)；對(duì)于此攻擊，我們采用一種簡(jiǎn)單的攔截方式：閥值攔截，一旦某服務(wù)器收到的SYN請(qǐng)求的報(bào)文頻率超過(guò)閥值限度則對(duì)多余的進(jìn)行攔截，一方面削弱了syn攻擊強(qiáng)度，另一方面不至于消耗過(guò)多的路由器資源而導(dǎo)致自身的拒絕服務(wù)。需要注意的是，由于沒(méi)有區(qū)分SYN報(bào)文的合法性，這種方式仍然會(huì)造成一部分合法請(qǐng)求被攔截掉，造成無(wú)法響應(yīng)的情況，可以結(jié)合偽源地址檢測(cè)功能過(guò)濾掉大部分攻擊報(bào)文，減少合法報(bào)文被攔截的情況?！ ‘?dāng)然，對(duì)于動(dòng)態(tài)防火墻來(lái)說(shuō)，本身他就是一種被動(dòng)的防御行為，事先在軟件上面必須要有周全的考慮，才能在防范中做到游刃有余，還有一點(diǎn)也是非常重要的，那就是防火墻的性能，和交換機(jī)一樣，要做到線速轉(zhuǎn)發(fā)就需要足夠的背板交叉容量的支撐, 任何防火墻都是有極限的。超過(guò)了極限值，防火墻也被活活的攻擊死了…
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號(hào)-1