【正文】 IP欺騙攻擊的描述 ? 1. 假設(shè) Z企圖攻擊 A，而 A信任 B，所謂信任指 /etc/$HOME/.rhosts中有相關(guān)設(shè)置。 2. A回傳給 B一個帶有 SYS+ACK標(biāo)志的數(shù)據(jù)段，告之自己的 ISN，并確認(rèn) B發(fā)送來的第一個數(shù)據(jù)段，將 acknowledge number設(shè)置成 B的 ISN+1。 一般來說，如下的服務(wù)易受到 IP欺騙攻擊： ■任何使用 Sun RPC調(diào)用的配置 ■任何利用 IP地址認(rèn)證的網(wǎng)絡(luò)服務(wù) ■ MIT的 X Window系統(tǒng) ■ R服務(wù) 81 IP欺騙的原理 ? 假設(shè) B上的客戶運行 rlogin與 A上的 rlogind通信： 1. B發(fā)送帶有 SYN標(biāo)志的數(shù)據(jù)段通知 A需要建立 TCP連接。其實質(zhì)就是讓一臺機(jī)器來扮演另一臺機(jī)器，籍以達(dá)到蒙混過關(guān)的目的。這些網(wǎng)絡(luò)通訊都可被追蹤。因為 TFN2K的守護(hù)進(jìn)程不會對接收到的命令作任何回復(fù)， TFN2K客戶端一般會繼續(xù)向代理端主機(jī)發(fā)送命令數(shù)據(jù)包。 ◆ 監(jiān)視含有相同數(shù)據(jù)內(nèi)容的連續(xù)數(shù)據(jù)包（有可能混合了 TCP、UDP和 ICMP包）。 79 ? ◆ 檢查 ICMP_ECHOREPLY數(shù)據(jù)包的尾部是否含有連續(xù)的 0x41。 ◆ 根據(jù)前面列出的特征字符串掃描所有可執(zhí)行文件。 ◆ 對系統(tǒng)進(jìn)行補(bǔ)丁和安全配置，以防止攻擊者入侵并安裝 TFN2K。 78 ? ◆ 禁止不在允許端口列表中的所有 UDP和 TCP包。特別是對于 ICMP數(shù)據(jù)，可只允許 ICMP類 型 3（ destination unreachable目標(biāo)不可到達(dá)）數(shù)據(jù)包通過。但只使用應(yīng) 用代理服務(wù)器通常是不切合實際的，因此只能盡可能使用最少的非代理服務(wù)。 預(yù) 防 ◆ 只使用應(yīng)用代理型防火墻。)就成了捕獲TFN2K命令數(shù)據(jù)包的特征了 76 ? fork ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/ /dev/urandom /dev/random %d.%d.%d.%d sh* ksh* ** ** tfndaemon*** tfnchild*** 77 ? 目前仍沒有能有效防御 TFN2K拒絕服務(wù)攻擊的方法。這些位于數(shù)據(jù)包尾部的 0x41(39。)?？赡苁浅绦蜃髡邽榱耸姑恳粋€數(shù)據(jù)包的長度變化而填充了 1到 16個零 (0x00)，經(jīng)過 Base 64編碼后就成為多個連續(xù)的 0x41(39。 75 ? TFN2K仍然有弱點。因此，只是簡單地檢 查進(jìn)程列表未必能找到 TFN2K守護(hù)進(jìn)程（及其子進(jìn)程）。偽造的進(jìn)程名在編譯時指定，因此每次安裝時都有可能不同。 74 ? ◆ 守護(hù)進(jìn)程為每一個攻擊產(chǎn)生子進(jìn)程。 ◆ 所有加密數(shù)據(jù)在發(fā)送前都被編碼（ Base 64）成可打印的 ASCII字符。 ◆ 所有命令都經(jīng)過了 CAST256算法（ RFC 2612）加密。 73 ? ◆ 這些命令數(shù)據(jù)包可能混雜了許多發(fā)送到隨機(jī) IP地址的偽造數(shù)據(jù)包。 ◆ 與其上一代版本 TFN不同， TFN2K的守護(hù)程序是完全沉默的，它不會對接收 到的命令有任何回應(yīng)。對目標(biāo)的攻擊方法包括 TCP/SYN、 UDP、ICMP/PING或 BROADCAST PING (SMURF)數(shù)據(jù)包 flood等。所有這些特性都使發(fā)展防御 TFN2K攻擊的策略和技術(shù)都非常困難或效率低下。整個 TFN2K網(wǎng)絡(luò)可能使用不同的 TCP、 UDP或ICMP包進(jìn)行通訊。由一個主控端控制的多個代理端主機(jī)，能夠在攻擊過程中相互協(xié)同，保證攻擊的連續(xù)性。主控端向其代理端發(fā)送攻擊指定的目標(biāo)主機(jī)列表。當(dāng)前互聯(lián)網(wǎng)中的 UNIX、 Solaris和 Windows NT等平臺的主機(jī)能被用于此類攻擊，而且這個工具非常容易被移植到其它系統(tǒng)平臺上。 目標(biāo)主機(jī) —— 分布式攻擊的目標(biāo)（主機(jī)或網(wǎng)絡(luò)）。 主控端 —— 運行客戶端程序的主機(jī)。 70 分布式拒絕服務(wù)（ DDoS）攻擊工具分析 TFN2K ? 客戶端 —— 用于通過發(fā)動攻擊的應(yīng)用程序，攻擊者通過它來發(fā)送各種命令。 當(dāng)你是潛在的 DDoS攻擊受害者，你發(fā)現(xiàn)你的計算機(jī)被攻擊者用做主控端和代理端時，你不能因為你的系統(tǒng)暫時沒有受到損害而掉以輕心，攻擊者已發(fā)現(xiàn)你系統(tǒng)的漏洞，這對你的系統(tǒng)是一個很大的威脅。 比較好的防御措施就是和你的網(wǎng)絡(luò)服務(wù)提供商協(xié)調(diào)工作，讓他們幫助你實現(xiàn)路由的訪問控制和對帶寬總量的限制。經(jīng)常檢測系統(tǒng)配置信息，并注意查看每天的安全日志。 在網(wǎng)絡(luò)管理方面，要經(jīng)常檢查系統(tǒng)的物理環(huán)境，禁止那些不必要的網(wǎng)絡(luò)服務(wù)。對一些特權(quán)帳號（例如管理員帳號）的密碼設(shè)置要謹(jǐn)慎?？刹扇〉陌踩烙胧┯幸韵聨追N： 及早發(fā)現(xiàn)系統(tǒng)存在的攻擊漏洞，及時安裝系統(tǒng)補(bǔ)丁程序。 68 DDoS攻擊的防御策略 由于 DDoS攻擊具有隱蔽性，因此到目前為止我們還沒有發(fā)現(xiàn)對DDoS攻擊行之有效的解決方法。 ? 使用 DDoS檢測工具 ? 當(dāng)攻擊者想使其攻擊陰謀得逞時，他首先要掃描系統(tǒng)漏洞，目前市面上的一些網(wǎng)絡(luò)入侵檢測系統(tǒng)，可以杜絕攻擊者的掃描行為。 ? 檢測 DDoS攻擊的主要方法有以下幾種： ? 根據(jù)異常情況分析 ? 當(dāng)網(wǎng)絡(luò)的通訊量突然急劇增長，超過平常的極限值時，你可一定要提高警惕，檢測此時的通訊；當(dāng)網(wǎng)站的某一特定服務(wù)總是失敗時，你也要多加注意；當(dāng)發(fā)現(xiàn)有特大型的 ICP和 UDP數(shù)據(jù)包通過或數(shù)據(jù)包內(nèi)容可疑時都要留神。 Stacheldrah中有一個內(nèi)嵌的代理升級模塊，可以自動下載并安裝最新的代理程序。 ? Stacheldraht ? Stacheldraht也是從 TFN派生出來的，因此它具有 TFN的特性。攻擊方法增加了 Mix和 Targa3。它對 IP地址不做假，采用的通訊端口是： ? 攻擊者主機(jī)到主控端主機(jī)： 27665/TCP 主控端主機(jī)到代理端主機(jī)： 27444/UDP 代理端主機(jī)到主服務(wù)器主機(jī)： 31335/UDPFN ? TFN由主控端程序和代理端程序兩部分組成，它主要采取的攻擊方法為： SYN風(fēng)暴、 Ping風(fēng)暴、 UDP炸彈和 SMURF，具有偽造數(shù)據(jù)包的能力。下面我們來分析一下這些常用的黑客程序。 65 DDoS攻擊使用的常用工具 ? DDoS攻擊實施起來有一定的難度，它要求攻擊者必須具備入侵他人計算機(jī)的能力。 64 SYN Flood的基本 基本解決方法 ? 第一種是縮短 SYN Timeout時間，由于 SYN Flood攻擊的效果取決于服務(wù)器上保持的 SYN半連接數(shù)，這個值 =SYN攻擊的頻度 x SYN Timeout，所以通過縮短從接收到 SYN報文到確定這個報文無效并丟棄改連接的時間，例如設(shè)置為 20秒以下（過低的 SYN Timeout設(shè)置可能會影響客戶的正常訪問），可以成倍的降低服務(wù)器的負(fù)荷。 63 SYN Flood的基本原理 ? 假設(shè)一個用戶向服務(wù)器發(fā)送了 SYN報文后突然死機(jī)或掉線，那么服務(wù)器在發(fā)出 SYN+ACK應(yīng)答報文后是無法收到客戶端的 ACK報文的（第三次握手無法完成），這種情況下服務(wù)器端一般會重試（再次發(fā)送 SYN+ACK給客戶端）并等待一段時間后丟棄這個未完成的連接，這段時間的長度我們稱為 SYN Timeout，一般來說這個時間是分鐘的數(shù)量級（大約為 30秒 2分鐘）；一個用戶出現(xiàn)異常導(dǎo)致服務(wù)器的一個線程等待 1分鐘并不是什么很大的問題，但如果有一個惡意的攻擊者大量模擬這種情況，服務(wù)器端將為了維護(hù)一個非常大的半連接列表而消耗非常多的資源 數(shù)以萬計的半連接，即使是簡單的保存并遍歷也會消耗非常多的 CPU時間和內(nèi)存，何況還要不斷對這個列表中的 IP進(jìn)行 SYN+ACK的重試。 第三步，客戶端也返回一個確認(rèn)報文 ACK給服務(wù)器端，同樣TCP序列號被加一，到此一個 TCP連接完成。代理端主機(jī)是攻擊的執(zhí)行者，真正向受害者主機(jī)發(fā)送攻擊。主控端主機(jī)的上面安裝了特定的程序，因此它們可以接受攻擊者發(fā)來的特殊指令，并且可以把這些命令發(fā)送到代理主機(jī)上。攻擊者操縱整個攻擊過程，它向主控端發(fā)送攻擊命令。 60 DDOS原理 61 DDOS原理 ? 從圖可以看出， DDoS攻擊分為 3層：攻擊者、主控端、代理端，三者在攻擊中扮演著不同的角色。從圖 1我們可以看出 DoS攻擊只要一臺單機(jī)和一個 modem就可實現(xiàn)，與之不同的是 DDoS攻擊是利用一批受控制的機(jī)器向一臺機(jī)器發(fā)起攻擊，這樣來勢迅猛的攻擊令人難以防備，因此具有較大的破壞性。當(dāng)服務(wù)器等待一定的時間后，連接會因超時而被切斷，攻擊者會再度傳送新的一批請求，在這種反復(fù)發(fā)送偽地址請求的情況下，服務(wù)器資源最終會被耗盡。 DoS攻擊的原理如圖所示。它的目的就是拒絕你的服務(wù)訪問，破壞組織的正常運行，最終它會使你的部分 Inter連接和網(wǎng)絡(luò)系統(tǒng)失效。 2023年 3月 TCP Layer 源端口 宿端口 序 號 確 認(rèn) 號 HLEN 保留 碼位 窗口 校驗和 緊急指針 選 項 填充字節(jié) 數(shù) 據(jù) Words Bits 0 4 8 12 16 20 24 28 31 頭標(biāo) 54 端口掃描攻擊 ? .服務(wù) ? ＳＭＴＰ 服務(wù) ? ＰＯＰ３ 服務(wù) ? ＤＮＳ 服務(wù) ? ＳＮＭＰ服務(wù) 55 Sniffer攻擊 56 DOS原理 ? DoS的英文全稱是 Denial of Service，也就是“拒絕服務(wù) ”的意思。 TCP宿端口 ：同上 TCP旗標(biāo)字段（ flag）， 含有 1bit的 ACK bit。 丟掉了首段，目的地就不能重組。 與分組過濾有關(guān)的特性是： 分段示意圖： IP 選項：用于 Firewall中，對付 IP源路由。 其下有很多不同的層：如 Ether， token ring， FDDI， PPP等。 4. IP Body包含的是 TCP分組。 IP和 TCP兩種協(xié)議協(xié)同工作，要傳輸?shù)奈募涂梢詼?zhǔn)確無誤地被傳送和接收 45 TIP/IP ? TCP/IP協(xié)議族與 OSI七層模型的對應(yīng)關(guān)系，如下圖所示 2023年 3月 數(shù)據(jù)包是什么樣的？ TCP/IP/Ether 舉例 對分組過濾而言：涉及四層 1. Ether layer 2. IP layer 3. TCP layer 4. data layer 2023年 3月 分組與數(shù)據(jù)封包： Data Data Data Data Header Header Header Header Header Header Application layer (SMTP, Tel, FTP, etc) Transport layer (TCP,UDP,ICMP) Inter Layer (IP) Network Access Layer (Ether, FDDI, ATM, etc) 在每層，分組由兩部分構(gòu)成：首標(biāo)（頭）和本體（數(shù)據(jù)） 首標(biāo)包含與本層有關(guān)的協(xié)議信息，本體包括本層的所有數(shù)據(jù) 每層分組要包括來自上層的所有信息，同時加上本層的首標(biāo)，即封包 應(yīng)用層包括的就是要傳送出去的數(shù)據(jù) 2023年 3月 Ether layer 1. 分組＝ Ether Header＋ Ether Body 2. Header 說明： 3. Ether Body 包含的是 IP 分組 該分組的類型，如 AppleTalk數(shù)據(jù)包、 Novell數(shù)據(jù)包、 DECNET數(shù)據(jù)包等。 TCP協(xié)議確認(rèn)收到的 IP數(shù)據(jù)包。 TCP按 IP數(shù)據(jù)包原來的順序進(jìn)行重排。 TCP（ Transport control Protocal）傳輸控制協(xié)議具有重排 IP數(shù)據(jù)包順序和超時確認(rèn)的功能。 44 TIP/IP ? IP（ Inter Protocol）網(wǎng)際協(xié)議，把要傳輸?shù)囊粋€文件分成一個個的群組，這些群組被稱之為 IP數(shù)據(jù)包，每個 IP數(shù)據(jù)包都含有源地址和目的地址，知道從哪臺機(jī)器正確地傳送到另一臺機(jī)器上去。 42 MAC地址的前三個字節(jié) 制造商 00000C CISCO