典型攻擊技術(shù)ppt課件(參考版)
2025-01-17 08:30本頁面
【正文】 Sniffer分析 DOS攻擊流量 Sniffer分析 DOS攻擊流量 從 Decode內(nèi)容看 ， 我們發(fā)現(xiàn) IP地址為 的主機(jī)向 IP 地址為 的主機(jī)發(fā)出的都是 DNS 數(shù)據(jù)包 ， 但是是不完整的數(shù)據(jù)包 ， 同時(shí) 其發(fā)包的時(shí)間間隔極短 ， 每秒鐘發(fā)包數(shù)量在 100,000 個(gè)數(shù)據(jù)包以上 ， 這是種典型 的網(wǎng)絡(luò)攻擊行為 ， 初步判斷為黑客首先攻擊寄存在 IDC 的網(wǎng)絡(luò)主機(jī) ， 在取得其控 制權(quán)后利用這臺(tái)主機(jī)向目標(biāo)主機(jī)發(fā)起拒絕服務(wù) （ DOS） 攻擊 ， 由于該主機(jī)性能很 高 ，同時(shí) IDC 的網(wǎng)絡(luò)性能很高 ， 造成這種攻擊的危害性極大 。 我們可以看到，這臺(tái)主機(jī)發(fā)包的目標(biāo)主機(jī)只有一個(gè)，就是 IP 地址為 的主機(jī)。 Sniffer分析 DOS攻擊流量示例 我們從圖 中看到， Sniffer 的 host table 中可以看到 IP 地址為 的主機(jī) 發(fā)出了 15146 個(gè)數(shù)據(jù)包，遠(yuǎn)遠(yuǎn)超過其他的網(wǎng)絡(luò)主機(jī)。 ?安裝入侵檢測(cè)系統(tǒng)或是其他系統(tǒng)監(jiān)控軟件。 防御 DoS攻擊 ?基于最小權(quán)限的原則建立和維護(hù)用戶帳號(hào) ?下載、安裝最新的服務(wù)器補(bǔ)丁程序。 Stacheldrah中有一個(gè)內(nèi)嵌的代理升級(jí)模塊，可以自動(dòng)下載并安裝最新的代理程序。它采用可變的 TCP / UDP端口和特殊格式的 ICMP包進(jìn)行通訊。它們有同樣的攻擊方法（ SYNflood, PingFlood, UDP bomb和 SMURF）以及與 TFN相同的偽造數(shù)據(jù)包功能。 ? NS運(yùn)行時(shí)，會(huì)首先向攻擊控制進(jìn)程 (MASTER)所在主機(jī)的 31335 端口發(fā)送內(nèi)容為 HELLO的 UDP包，標(biāo)示它自身的存在，隨后攻擊守護(hù)進(jìn)程即處于對(duì)端口 27444 的偵聽狀態(tài)，等待 master攻擊指令的到來。 ? Trinoo攻擊功能的實(shí)現(xiàn)，是通過三個(gè)模塊付諸實(shí)施的 :攻擊守護(hù)進(jìn)程 (NS)；攻擊控制進(jìn)程(MASTER) ；客戶端 (NETCAT，標(biāo)準(zhǔn) TELNET程序等 )。 ? 特征是每個(gè)數(shù)據(jù)包后都有 16個(gè) 0，加密后有統(tǒng)一的特征，因此可以作為特征碼去檢測(cè)。 TFN2K ? 網(wǎng)絡(luò)通訊是經(jīng)過加密的，中間還可能混雜了許多虛假數(shù)據(jù)包，而 TFN對(duì) ICMP的通訊沒有加密。 ? TFN由主控端程序和代理端程序兩部分組成，它主要采取的攻擊方法為： ICMP洪水、 SYN風(fēng)暴、Ping風(fēng)暴、 UDP炸彈和 SMURF，具有偽造數(shù)據(jù)包的能力。如果采用 TCP,UDP則數(shù)據(jù)包的首部信息都是隨機(jī)生成的。包括： TCP,UDP,ICMP。 TFN2K是目前網(wǎng)上最流行的 DDoS工具，它支持 Unix/Linux以及 Win NT/Win2K等多種操作系統(tǒng)。 第四步： 黑客向 handler發(fā)送攻擊指令， handler 控制 agent發(fā)動(dòng) DDoS攻擊。 2022/2/11 36 分布式拒絕服務(wù)攻擊示意圖 客戶端 Client (黑客 ) 服務(wù)器(handler/master) 守護(hù)進(jìn)程 (agent) 目標(biāo)主機(jī) (被攻擊對(duì)象 ) DDoS攻擊過程 第一步： 探測(cè)掃描大量主機(jī)以尋找可入侵主 機(jī)目標(biāo)。黑客在客戶端通過客戶端軟件向服務(wù)器軟件發(fā)出攻擊命令，服務(wù)器端軟件在接到命令后，控制守護(hù)進(jìn)程向目標(biāo)主機(jī)發(fā)動(dòng) DDoS攻擊。 ?為了發(fā)動(dòng) DDoS，黑客必須先控制大量的主機(jī)（這些主機(jī)被稱為 zombie），在這些主機(jī)上安裝進(jìn)行 DoS攻擊的軟件。 ? 一般情況下，網(wǎng)絡(luò)阻斷攻擊如果不和其它的攻擊手段配合，就是一種純粹的拒絕服務(wù)，使受害用戶的計(jì)算機(jī)無法和自己的服務(wù)器建立會(huì)話連接，使正常的通信業(yè)務(wù)無法進(jìn)行。 帶寬阻塞攻擊 ? 擁有寬帶連接的計(jì)算機(jī)還可以對(duì)窄帶接入的計(jì)算機(jī)發(fā)起帶寬阻塞攻擊，造成其由于接收了過多的連接請(qǐng)求或過量的數(shù)據(jù)包而導(dǎo)致網(wǎng)絡(luò)帶寬耗盡而阻塞。 SMB攻擊 ? 使用的工具軟件是： SMBDie ，該軟件對(duì)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1