dos攻擊原理和防御方法-閱讀頁(yè)
2025-08-09 16:43本頁(yè)面
【正文】 包，導(dǎo)致系統(tǒng)掛起或死機(jī)。因此，只要拒絕這樣的報(bào)文，目的系統(tǒng)就能避免受到攻擊。 ip smallpacket 太小的包：太短的IP包也可能被用來進(jìn)行攻擊，是否允許這樣的包通過，可以由用戶配置進(jìn)行選擇(缺省為32字節(jié)) ip intercept ipeq 源IP地址等于目的IP地址的IP報(bào)文，可被黑客用來進(jìn)行攻擊?！ p icmp intercept fragment 分片的ICMP報(bào)文，是否允許這樣的包通過，可以由用戶配置進(jìn)行選擇。 ip icmp intercept ICMP flood，該攻擊通過向目標(biāo)IP發(fā)送大量ICMP包，占用帶寬，從而導(dǎo)致合法報(bào)文無法到達(dá)目的地，達(dá)到攻擊目的；檢測(cè)時(shí)，對(duì)于發(fā)向目的地址為路由器接口地址的ICMP報(bào)文進(jìn)行記數(shù)，一旦報(bào)文的接收頻率高出正常范圍，則懷疑存在攻擊行為，嚴(yán)格控制報(bào)文的流經(jīng)頻率；直到頻率低出范圍，又開始放行；此處理方式有一定的局限性：即當(dāng)拒絕過量包時(shí)也拒絕了合法的包，但在綜合考慮系統(tǒng)自身的承受能力的前提下，此方法是最合理的?！ p fraggle intercept 攻擊fraggle嚴(yán)格說來，是一個(gè)smurf的變種，它針對(duì)許多防火墻對(duì)于ICMP包檢查比較嚴(yán)格的前提，不再向廣播地址發(fā)ICMP請(qǐng)求包，而是改為發(fā)送UDP包，當(dāng)目的網(wǎng)段的計(jì)算機(jī)收到該包并檢查到目的端口不可達(dá)時(shí)，將發(fā)給受害主機(jī)一個(gè)“目的端口不可達(dá)”的差錯(cuò)報(bào)文，大量的報(bào)文同時(shí)涌向受害主機(jī)，因而達(dá)到攻擊目的；此檢測(cè)與smurf檢測(cè)大同小異，僅僅類型不同而已?！ p tcp intercept list 消耗系統(tǒng)有限資源的攻擊，最有名的當(dāng)屬SYN泛洪，這是一種蓄意侵入三次握手并打開大量半開TCP/IP連接而進(jìn)行的攻擊，該攻擊利用IP欺騙，向受害者的系統(tǒng)發(fā)送看起來合法的SYN請(qǐng)求，而事實(shí)上該源地址不存在或當(dāng)時(shí)不在線，因而回應(yīng)的ACK消息無法到達(dá)目的，而受害者的系統(tǒng)最后被大量的這種半開連接充滿，資源耗盡，而合法的連接無法被響應(yīng)；對(duì)于此攻擊，我們采用一種簡(jiǎn)單的攔截方式：閥值攔截，一旦某服務(wù)器收到的SYN請(qǐng)求的報(bào)文頻率超過閥值限度則對(duì)多余的進(jìn)行攔截，一方面削弱了syn攻擊強(qiáng)度，另一方面不至于消耗過多的路由器資源而導(dǎo)致自身的拒絕服務(wù)?！ ‘?dāng)然，對(duì)于動(dòng)態(tài)防火墻來說，本身他就是一種被動(dòng)的防御行為，事先在軟件上面必須要有周全的考慮，才能在防范中做到游刃有余，還有一點(diǎn)也是非常重要的，那就是防火墻的性能，和交換機(jī)一樣，要做到線速轉(zhuǎn)發(fā)就需要足夠的背板交叉容量的支撐, 任何防火墻都是
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號(hào)-1