拒絕服務及防范技術-文庫吧資料
2025-03-02 14:39本頁面
【正文】 一個特別的SYN包，它的原地址和目標地址都被設置成某一個服務器地址， 此舉將導致接受服務器向它自己的地址發(fā)送 SYNACK 消息，結果這個地址又發(fā)回 ACK消息并創(chuàng)建一個空連 接，每一個這樣的連接都將保留直到超時掉，對 Land 攻擊反應同許多 UNIX實現(xiàn)將崩潰， NT變得極其 緩慢（大約持續(xù)五分鐘）。于是，受害者主機會被這 些大量的應答包淹沒? 受影響的系統(tǒng)：大多數(shù)操作系統(tǒng)和路由器? 變種： fraggle，使用 UDP包，或稱為 udpsmurf 比如， 7號端口 (echo)，如果目標機器的端口開著，則送回應 答，否則，產(chǎn)生 ICM端口不可達消息? 技術細節(jié) 兩個主要的特點：使用偽造的數(shù)據(jù)包，使用廣播地址。? 受影響的系統(tǒng)：大多數(shù)操作系統(tǒng)? 攻擊細節(jié)– 連接請求是正常的，但是，源 IP地址往往是偽造的，并且是 一臺不可達的機器的 IP地址，否則，被偽造地址的機器會重 置這些半開連接– 一般，半開連接超時之后，會自動被清除，所以，攻擊者的 系統(tǒng)發(fā)出SYN包的速度要比目標機器清除半開連接的速度要 快– 任何連接到 Inter上并提供基于 TCP的網(wǎng)絡服務，都有可能 成為攻擊的目標– 這樣的攻擊很難跟蹤，因為源地址往往不可信，而且不在線SYN Flood? 攻擊特征 目標主機的網(wǎng)絡上出現(xiàn)大量的 SYN包，而沒有相應 的應答包 SYN包的源地址可能是偽造的，甚至無規(guī)律可循? 防止措施 針對網(wǎng)絡? 防火墻或者路由器可以在給定時間內(nèi)只允許有限數(shù)量的半 開連接? 入侵檢測，可以發(fā)現(xiàn)這樣的 DoS攻擊行為 打補丁? Linux和 Solaris使用了一種被稱為 SYN cookie的技術來解 決 SYN Flood攻擊：在半開連接隊列之外另設置了一套機 制，使得合法連接得以正常繼續(xù)Smurf? 原理：向廣播地址發(fā)送偽造地址的 ICMP Echo數(shù)據(jù)包。SYN Flood? 原理：利用 TCP連接三次握手過程，打開大量的半開 TCP連接，使得目標機器不能進一步接受 TCP連接。通過偽造與某一主機的 chargen 服務之間的一次的 UDP連接，回復地 址指向開著Echo服務的一臺主機，這樣就生成 在兩臺主機之間的足夠多的無用數(shù)據(jù)流，如果足夠多的數(shù)據(jù)流就會導致帶寬耗盡的服務攻擊。? 防御措施：主要是服務器應用最新的服務包， 或者在設置防火墻時對分段進行重組，而不是 轉(zhuǎn)發(fā)它們。 防火墻阻止這樣的 ping包TCP/IP允許數(shù)據(jù)包的最大容量為 65536C:\ping Pinging with 32 bytes of data ：Reply from : bytes=32 time=10ms TTL=255Reply from : bytes=32 time10ms TTL=255Reply from : bytes=32 time10ms TTL=255Reply from : bytes=32 time10ms TTL=255Ping statistics for :Packets: Sent = 4, Received = 4, Lost = 0 (0% loss), Approximate round trip times in milliseconds: Minimum = 0ms, Maximum = 10ms, Average = C:\ping l 65570 Bad value for option l, valid range is from 0 to 65500 IP碎片? IP
醫(yī)療健康相關推薦
鄂ICP備17016276號-1