当前位置:文档之家› 图解DoS与DDos攻击工具基本技术

图解DoS与DDos攻击工具基本技术

图解DoS与DDos攻击工具基本技术
图解DoS与DDos攻击工具基本技术

DoS (Denial of Service)攻击其中文含义是拒绝服务攻击,这种攻击行动使网站服务器充斥大量要求回复的信息,消耗网络带宽或系统资源,导致网络或系统不胜负荷以至于瘫痪而停止提供正常的网络服务。黑客不正当地采用标准协议或连接方法,向攻击的服务发出大量的讯息,占用及超越受攻击服务器所能处理的能力,使它当(Down)机或不能正常地为用户服务。

“拒绝服务”是如何攻击的

通过普通的网络连线,使用者传送信息要求服务器予以确定。服务器于是回复用户。用户被确定后,就可登入服务器。

“拒绝服务”的攻击方式为:用户传送众多要求确认的信息到服务器,使服务器里充斥着这种无用的信息。

所有的信息都有需回复的虚假地址,以至于当服务器试图回传时,却无法找到用户。服务器于是暂时等候,有时超过一分钟,然后再切断连接。服务器切断连接时,黑客再度传送新一批需要确认的信息,这个过程周而复始,最终导致服务器无法动弹,瘫痪在地。

在这些 DoS 攻击方法中,又可以分为下列几种:

TCP SYN Flooding

Smurf

Fraggle

1.TCP Syn Flooding

由于TCP协议连接三次握手的需要,在每个TCP建立连接时,都要发送一个带SYN标记的数据包,如果在服务器端发送应答包后,客户端不发出确认,服务器会等待到数据超时,如果大量的带SYN标记的数据包发到服务器端后都没有应答,会使服务器端的TCP资源迅速枯竭,导致正常的连接不能进入,甚至会导致服务器的系统崩溃。这就是TCP

SYN Flooding攻击的过程。

图1 TCP Syn攻击

TCP Syn 攻击是由受控制的大量客户发出 TCP 请求但不作回复,使服务器资源被占用,再也无法正常为用户服务。服务器要等待超时(Time Out)才能断开已分配的资源。

2.Smurf 黑客采用 ICMP(Internet Control Message Protocol RFC792)技术进行攻击。常用的ICMP有 PING 。首先黑客找出网络上有哪些路由器会回应 ICMP 请求。然后用一个虚假的 IP 源地址向路由器的广播地址发出讯息,路由器会把这讯息广播到网络上所连接的每一台设备。这些设备又马上回应,这样会产生大量讯息流量,从而占用所有设备的资源及网络带宽,而回应的地址就是受攻击的目标。例如用500K bit/sec 流量的 ICMP echo (PING)包广播到100 台设备,产生 100 个 PING 回应,便产生 50M bit/sec流量。这些流量流向被攻击的服务器,便会使这服务器瘫痪。

ICMP Smurf 的袭击加深了ICMP的泛滥程度,导致了在一个数据包产生成千的ICMP数据包发送到一个根本不需要它们的主机中去,传输多重信息包的服务器用作Smurf 的放大器。

图2 Smurf 攻击图

3.Fraggle:Fraggle

基本概念及做法像 Smurf, 但它是采用UDP echo 讯息。

如何阻挡“拒绝服务”的攻击

阻挡“拒绝服务”的攻击的常用方法之一是:在网络上建立一个过滤器(filter)或侦测器(sniffer),在信息到达网站服务器之前阻挡信息。过滤器会侦察可疑的攻击行动。如果某种可疑行动经常出现,过滤器能接受指示,阻挡包含那种信息,让网站服务器的对外连接线路保持畅通。

DDoS:

DDoS(Distributed Denial of Service)其中文含义为分布式拒绝服务攻击。

Distributed DoS 是黑客控制一些数量的PC 机或路由器,用这些 PC 机或路由器发动 DoS 攻击。因为黑客自己的 PC 机可能不足够产生出大量的讯息,使遭受攻击的网络服务器处理能力全部被占用。

黑客采用 IP Spoofing 技术,令他自己的 IP 地址隐藏,所以很难追查。如果是在Distributed DoS 情况下,被追查出来的都是被黑客控制的用户的 IP 地址;他们本身也是受害者。

黑客一般采用一些远程控制软件,好像Trinoo, Tribal Flood Network, Stacheldraht 及其他DoS 程序。美国政府资助的cERT (Computer Emergency Response Team) 及 FBI都有免费软件如 find_dosv31,给企业检查自己的网络有没有被黑客安装这些远程控制软件。但黑客亦同时在修改软件以逃避这些检查软件。这是一场持久的网上战争。

图3 黑客图

攻击者在Client(客户端)操纵攻击过程。每个Handler(主控端)是一台已被入侵并运行了特定程序的系统主机。每个主控端主机能够控制多个Agent(代理端)。每个代理端也是一台已被入侵并运行某种特定程序的系统主机。每个响应攻击命令的代理端会向被攻击目标主机发送拒绝服务攻击数据包。

为了提高分布式拒绝服务攻击的成功率,攻击者需要控制成百上千的被入侵主机。这些主机通常是Linux和SUN机器,但这些攻击工具也能够移植到其它平台上运行。这些攻击工具入侵主机和安装程序的过程都是自动化的。这个过程可分为以下几个步骤:

1、探测扫描大量主机以寻找可入侵主机目标。

2、入侵有安全漏洞的主机并获取控制权。

3、在每台入侵主机中安装攻击程序。

4、利用已入侵主机继续进行扫描和入侵。

由于整个过程是自动化的,攻击者能够在5秒钟内入侵一台主机并安装攻击工具。也就是说,在短短的一小时内可以入侵数千台主机。

几种常见分布式拒绝服务攻击工具的特征

至今为止,攻击者最常使用的分布式拒绝服务攻击程序包括4种:Trinoo、TFN、TFN2K和Stacheldraht。

以下是攻击者常用的分布式拒绝服务攻击工具:

Trinoo

客户端、主控端和代理端主机相互间通讯时使用如下端口:

1524 tcp

27665 tcp

27444 udp

31335 udp

重要提示:以上所列出的只是该工具的缺省端口,仅作参考。这些端口可以轻易被修改。

TFN(Tribal Flood Network)

客户端、主控端和代理端主机相互间通讯时使用ICMP ECHO和ICMP ECHO REPLY数据包Stacheldraht

客户端、主控端和代理端主机相互间通讯时使用如下端口和数据包:

16660 tcp

65000 tcp

ICMP ECHO

ICMP ECHO REPLY

重要提示:以上所列出的只是该工具的缺省端口,仅作参考。这些端口可以轻易被修改。

TFN2K

客户端、主控端和代理端主机相互间通讯时并没有使用任何指定端口(在运行时指定或由程序随机选择),但结合了UDP、ICMP和TCP数据包进行通讯。

拒绝服务攻击工具"进化"过程

最容易的攻击方法之一是拒绝服务(Denial of Service)攻击。在TCP/IP堆栈中存在许多漏洞,如允许碎片包、大数据包、IP路由选择、半公开TCP连接、数据包flood等等,这些都能够降低系统性能,甚至使系统崩溃。

每发现一个漏洞,相应的攻击程序往往很快就会出现。每一个攻击程序都是独立的。一个特定的漏洞攻击程序往往只影响某一版本的TCP/IP协议(虽然 Mircosoft拥有非常庞大的个人计算机市场,大多数的家庭用户几乎完全没有意识到这些漏洞的存在,也不知道如何得到和使用安全漏洞的补丁程序,多种漏洞攻击方法导致目标系统崩溃的机率相当高。)

拒绝服务攻击程序可从互联网上下载得到,如以下网址:

接着就是用Unix shell脚本将多种的拒绝服务攻击程序组合到一个工具里。"rape"就是这样一种工具:

这种工具的优点是允许一个攻击者使用多种攻击方法同时攻击单个IP地址(这增加了攻击成功的概率),但也意味着必须将所有编译好的攻击程序打包好(如Unix的"tar"文件),以方便传输和进行攻击。

在允许使用多种拒绝服务攻击方法的情况下,同时又是一个单一的、更易于保存/传输/和使用的已编译程序,就是类似于Mixter编写的"targa.c"这种程序。Targa程序在一个C源程序中

结合了以下多种攻击方法:

但是,即使是象"targa"这类多种拒绝服务攻击组合工具,一个攻击者在同一时间内也只能攻击一个IP地址。

为了增加攻击的效率,一群攻击者们需要通过IRC频道或电话来保持联系,每一个人攻击不同的系统,实现团体攻击。这种方法在探测漏洞、入侵系统、安装后门和rootkit的行动中也经常被使用。

即使存在一些使用限制,但至少在两年内,这个工具不断地增加各种攻击程序,形成了一个名为 "Denial of Service Cluster"(拒绝服务集群)软件包。"trinoo"工具就是这样一个例子。而在计算机黑客界中也有一个由Mixter编写的类似工具"Tribe Flood Network"(TFN)。

与trinoo只实现UDP攻击相比,TFN支持ICMP flood、UDP flood、SYN flood和Smurf攻击等。这些攻击通过发送ICMP_ECHOREPLY(ICMP Type 0)包命令控制。TFN也使用了与trinoo 一样的Blowfish加密算法。

在今后的日子里,这些拒绝服务工具包将会得到进一步的发展与完善,功能更强大,隐蔽性更强,关键字符串和控制命令口令将使用更强壮加密算法,甚至对自身进行数字签名,或在被非攻击者自己使用时自行消毁,使用加密通讯通道,使用象ICMP这种令防火墙更难监测或防御的协议进行数据包传输,等等。

常见的DoS攻击

拒绝服务攻击是一种对网络危害巨大的恶意攻击。今天,DoS具有代表性的攻击手段包括Ping of Death、TearDrop、UDP flood 、SYN flood、Land Attack、IP Spoofing DoS等。我们看看它们又是怎么实现的。

死亡之ping ( ping of death ) :ICMP (Internet Control Message Protocol,Internet控制信息协议)在Internet上用于错误处理和传递控制信息。它的功能之一是与主机联系,通过发送一个"回音请求"(echo request)信息包看看主机是否"活着"。最普通的ping程序就是这个功能。而在TCP/IP的RFC文档中对包的最大尺寸都有严格限制规定,许多操作系统的TCP/IP协议栈都规定ICMP 包大小为64KB,且在对包的标题头进行读取之后,要根据该标题头里包含的信息来为有效载荷生成缓冲区。"Ping of Death " 就是故意产生畸形的测试Ping (Packet Internet Groper)包,声称自己的尺寸超过ICMP 上限,也就是加载的尺寸超过64KB上限,使未采取保护措施的网络系统出现内存分配错误,导致TCP/IP 协议栈崩溃,最终接收方荡机。

泪滴( teardrop ) :泪滴攻击利用在TCP/IP 协议栈实现中信任IP 碎片中的包的标题头所包含的信息来实现自己的攻击。IP 分段含有指示该分段所包含的是原包的哪一段的信息,某些TCP/IP协议栈(例如NT 在service pack 4 以前)在收到含有重叠偏移的伪造分段时将崩溃。UDP 洪水(UDP flood) :如今在Internet上UDP (用户数据包协议)的应用比较广泛,很多提供WWW和Mail等服务设备通常是使用Unix 的服务器,它们默认打开一些被黑客恶意利用的UDP服务。如echo服务会显示接收到的每一个数据包,而原本作为测试功能的chargen服务会在收到每一个数据包时随机反馈一些字符。UDP flood假冒攻击就是利用这两个简单的TCP/IP 服务的漏洞进行恶意攻击,通过伪造与某一主机的Chargen 服务之间的一次的UDP 连接,回复地址指向开着Echo 服务的一台主机,通过将Chargen 和Echo服务互指,来回传送毫无用处且占满带宽的垃圾数据,在两台主机之间生成足够多的无用数据流,这一拒绝服务攻击飞快地导致网络可用带宽耗尽。SYN 洪水( SYN flood ) :我们知道当用户进行一次标准的TCP(Transmission Control Protocol)连接时,会有一个3次握手过程。首先是请求服务方发送一个SYN(Synchronize Sequence Number)消息,服务方收到SYN后,会向请求方回送一个SYN-ACK表示确认,当请求方收到SYN-ACK后,再次向服务方发送一个ACK消息,这样一次TCP连接建立成功。"SYN Flooding "则专门针对TCP协议栈在两台主机间初始化连接握手的过程进行DoS攻击,其在实现过程中只进行前2个步骤:当服务方收到请求方的SYN-ACK确认消息后,请求方由于采用源地址欺骗等手段使得服务方收不到ACK回应,于是服务方会在一定时间处于等待接收请求方ACK消息的状态。而对于某台服务器来说,可用的TCP连接是有限的,因为他们只有有限的内存缓冲区用于创建连接,如果这一缓冲区充满了虚假连接的初始信息,该服务器就会对接下来的连接停止响应,直至缓冲区里的连接企图超时。如果恶意攻击方快速连续地发送此类连接请求,该

服务器可用的TCP连接队列将很快被阻塞,系统可用资源急剧减少,网络可用带宽迅速缩小,长此下去,除了少数幸运用户的请求可以插在大量虚假请求间得到应答外,服务器将无法向用户提供正常的合法服务。

Land (Land Attack)攻击:在Land 攻击中,黑客利用一个特别打造的SYN 包--它的原地址和目标地址都被设置成某一个服务器地址进行攻击。此举将导致接受服务器向它自己的地址发送SYN-ACK 消息,结果这个地址又发回ACK 消息并创建一个空连接,每一个这样的连接都将保留直到超时,在Land 攻击下,许多UNIX将崩溃,NT 变得极其缓慢(大约持续五分钟)。

IP欺骗DOS攻击:这种攻击利用TCP协议栈的RST位来实现,使用IP欺骗,迫使服务器把合法用户的连接复位,影响合法用户的连接。假设现在有一个合法用户(100.100.100.100)已经同服务器建立了正常的连接,攻击者构造攻击的TCP数据,伪装自己的IP为100.100.100.100,并向服务器发送一个带有RST位的TCP数据段。服务器接收到这样的数据后,认为从100.100.100.100发送的连接有错误,就会清空缓冲区中已建立好的连接。这时,合法用户100.100.100.100再发送合法数据,服务器就已经没有这样的连接了,该用户就被拒绝服务而只能重新开始建立新的连接。

常见的DDoS攻击

smurf、Fraggle 攻击、Trinoo、Tribe Flood Network(TFN)、TFN2k以及Stacheldraht 是比较常见的DDoS攻击程序,我们再看看它们的原理,其攻击思路基本相近。Smurf 攻击:Smurf是一种简单但有效的DDoS 攻击技术,Smurf还是利用ping程序进行源IP 假冒的直接广播进行攻击。在Internet上广播信息可以通过一定的手段(通过广播地址或其他机制)发送到整个网络中的机器。当某台机器使用广播地址发送一个ICMP echo请求包时(例如Ping),一些系统会回应一个ICMP echo回应包,这样发送一个包会收到许多的响应包。Smurf攻击就是使用这个原理来进行的,同时它还需要一个假冒的源地址。也就是说Smurf在网络中发送的源地址为要攻击的主机地址,目的地址为广播地址的ICMP echo请求包,使许多的系统同时响应并发送大量的信息给被攻击主机(因为他的地址被攻击者假冒了)。Smurf是用一个伪造的源地址连续ping一个或多个计算机网络,这就导致所有计算机响应的那个主机地址并不是实际发送这个信息包的攻击计算机。这个伪造的源地址,实际上就是攻击的目标,它将被极大数量的响应信息量所淹没。对这个伪造信息包做出响应的计算机网络就成为攻击的不知情的同谋。一个简单的smurf 攻击最终导致网络阻塞和第三方崩溃,这种攻击方式要比ping of death 洪水的流量高出一两个数量级。这种使用网络发送一个包而引出大量回应的方式也被叫做Smurf "放大"。

Fraggle 攻击:Fraggle 攻击对Smurf 攻击作了简单的修改,使用的是UDP 应答消息而非ICMP。

"trinoo "攻击:trinoo 是复杂的DDoS 攻击程序,是基于UDP flood的攻击软件。它使用"master "程序对实际实施攻击的任何数量的"代理"程序实现自动控制。当然在攻击之前,侵入者为了安装软件,已经控制了装有master程序的计算机和所有装有代理程序的计算机。攻击者连接到安装了master程序的计算机,启动master程序,然后根据一个IP地址的列表,由master程序负责启动所有的代理程序。接着,代理程序用UDP 信息包

冲击网络,向被攻击目标主机的随机端口发出全零的4字节UDP包,在处理这些超出其处理能力垃圾数据包的过程中,被攻击主机的网络性能不断下降,直到不能提供正常服务,乃至崩溃。它对IP地址不做假,因此此攻击方法用得不多。

"Tribal Flood Network "和"TFN2K " 攻击:Tribe Flood Network与trinoo 一样,使用一个master程序与位于多个网络上的攻击代理进行通讯,利用ICMP给代理服务器下命令,其来源可以做假。TFN可以并行发动数不胜数的DoS攻击,类型多种多样,而且还可建立带有伪装源IP地址的信息包。可以由TFN发动的攻击包括:SYN flood、UDP flood、ICMP回音请求flood及Smurf(利用多台服务器发出海量数据包,实施DoS 攻击)等攻击。TFN的升级版TFN2k进一步对命令数据包加密,更难查询命令内容,命令来源可以做假,还有一个后门控制代理服务器。

"stacheldraht "攻击:Stacheldraht也是基于TFN和trinoo一样的客户机/服务器模式,其中Master程序与潜在的成千个代理程序进行通讯。在发动攻击时,侵入者与master程序进行连接。Stacheldraht增加了新的功能:攻击者与master程序之间的通讯是加密的,对命令来源做假,而且可以防范一些路由器用RFC2267过滤,若检查出有过滤现象,它将只做假IP地址最后8位,从而让用户无法了解到底是哪几个网段的哪台机器被攻击;同时使用rcp (remote copy,远程复制)技术对代理程序进行自动更新。Stacheldraht 同TFN一样,可以并行发动数不胜数的DoS攻击,类型多种多样,而且还可建立带有伪装源IP地址的信息包。Stacheldraht所发动的攻击包括UDP 冲击、TCP SYN 冲击、ICMP 回音应答冲击

如何防止DoS/DdoS攻击

DoS攻击几乎是从互联网络的诞生以来,就伴随着互联网络的发展而一直存在也不断发展和升级。值得一提的是,要找DoS的工具一点不难,黑客群居的网络社区都有共享黑客软件的传统,并会在一起交流攻击的心得经验,你可以很轻松的从Internet上获得这些工具,像以上提到的这些DoS攻击软件都是可以从网上随意找到的公开软件。所以任何一个上网者都可能构成网络安全的潜在威胁。DoS攻击给飞速发展的互联网络安全带来重大的威胁。然而从某种程度上可以说,DoS攻击永远不会消失而且从技术上目前没有根本的解决办法。

面对凶多吉少的DoS险滩,我们该如何对付随时出现的黑客攻击呢?让我们首先对造成DoS攻击威胁的技术问题做一下总结。DoS攻击可以说是如下原因造成的:1.软件弱点是包含在操作系统或应用程序中与安全相关的系统缺陷,这些缺陷大多是由于错误的程序编制,粗心的源代码审核,无心的副效应或一些不适当的绑定所造成的。由于使用的软件几乎完全依赖于开发商,所以对于由软件引起的漏洞只能依靠打补丁,安装hot fixes和Service packs来弥补。当某个应用程序被发现有漏洞存在,开发商会立即发布一个更新的版本来修正这个漏洞。由于开发协议固有的缺陷导致的DoS攻击,可以通过简单的补丁来弥补系统缺陷。

2.错误配置也会成为系统的安全隐患。这些错误配置通常发生在硬件装置,系统或者应用程序中,大多是由于一些没经验的,无责任员工或者错误的理论所导致的。如果对网络中的路由器,防火墙,交换机以及其他网络连接设备都进行正确的配置会减小这些错误发生的可能性。如果发现了这种漏洞应当请教专业的技术人员来修理这些问题。

3.重复请求导致过载的拒绝服务攻击。当对资源的重复请求大大超过资源的支付能力时就会造成拒绝服务攻击(例如,对已经满载的Web服务器进行过多的请求使其过载)。

要避免系统免受DoS攻击,从前两点来看,网络管理员要积极谨慎地维护系统,确保无安全隐患和漏洞;而针对第三点的恶意攻击方式则需要安装防火墙等安全设备过滤DoS 攻击,同时强烈建议网络管理员应当定期查看安全设备的日志,及时发现对系统的安全威胁行为。

3 Dos/DDos攻击工具分析

3.1 Dos攻击工具分析

3.1.1 Flood

Flood的字面意思是“淹没”,Flood是Dos攻击的一种手段,具有高带宽的计算机可以通过大量发送TCP、UDP、ICMP报文,将低带宽的计算机“淹没”,降低受害者计算机的响应速度,最终导致系统蓝屏或者死机。

3.1.2 Smurf

攻击者首先(利用IP Spoofed)假冒目标主机向路由器发出ICMP Echo Request数据报。因为目的地址是广播地址,路由器收到数据报后会对该网段内的所有主机发出此ICMP包。而所有的主机在接收到此信息后对源地址(被假冒的攻击目标)发出ICMP Echo Request 响应。这样,所有的ICMP数据报在极短的时间内涌入目标主机,使目标主机因为无法响应如此多的系统中断而死机或暂停服务。

3.1.3 Land

Land利用向目标系统发送大量源地址和目标地址相同的包。目标系统接收到Land包后,向包中的目标地址(目标系统本身)发送SYN-ACK包,收到这个包后再向“目的地址”发送ACK,并创建一个空连接,从而目标系统在解释Land包时占用大量系统资源,使网络功能完全瘫痪。

图3 Land攻击

3.2 DDos攻击工具分析

3.2.1 Trinoo

Trinoo攻击是由大量主控端、代理端组成。Trinoo网络进行攻击时,攻击者先连接主控端,输入发动攻击指令,使用端口是27665/TCP,随后主控端与各代理端进行通信,传送攻击指令和目标主机IP,使用端口是27444/UDP,最后代理端向目标发动攻击。

3.2.2 TFN2K

TFN2K由客户程序、守护程序、主控端、代理端及目标主机组成。进行TFN2K攻击时,主控端通过TCP、UDP、ICMP或随机性使用其中之一的数据报向代理端主机发送命令。对目标主机攻击方法包括TCP/SYN、UDP、ICMP/PING、SMURF等。主控端和代理端之间数据报的头信息也是随机的,TFN2K的守护程序是完全沉默的,它不会对接收到的命令作任何响应。客户端重复发送每一个命令20次,并且认为守护程序应该至少能接收到1次。

这些命令数据报可能混杂了许多随机IP地址的伪造数据报。所有命令都经过CAST-255算法加密,加密密钥在程序编译时定义,并作为TFN2K客户端程序的口令,所有加密数据在发送前都被编码成打印的ACSⅡ字符。TFN2K守护程序接收数据报并解密数据,守护进程为每一个攻击产生子进程。TFN2K的客户守护程序还通过修改argv[0]的内容,即可以执行文件名以及修改进程名以更好地掩饰自己。

4 Dos /DDos攻击的检测

(1)根据分析,攻击者在进行DDos攻击前总需要解析目标的主机名。BIND域名服务器能够记录这些请求。在DDos攻击前,域名服务器会接收到大量的反向解析目标IP主机名的PTR查询请求。

(2)当DDos攻击一个网站时,会出现明显超出该网络正常工作时极限通信流量的现象。因此,可以在主干路由器建立ACL访问控制规则,以监测和过滤这些通信数据流。

(3)检测特大型的ICMP和UDP数据报。正常的UDP会话一般都使用小的UDP包,通常有效数据内容不超过10字节。正常的ICMP消息一般为64~128字节。那些明显大的数据报很有可能就是控制通信用的,主要含有加密后的目标地址和一些命令选项。一旦捕获到(没有经过伪造的)控制信息通信,DDos服务器的位置就无可遁形了,因为控制信息通信数据报的目标地址是不能伪造的。

(4)检查不属于正常连接通信的TCP和UDP数据报。最隐秘的DDos工具随机使用多种通信协议(包括基于连接的协议)通过信道发送数据。优秀的防火墙和路由规则能够发现这些数据报。另外那些连接高于1024而且不属于常用网络服务的目标端口也是非常值得怀疑的。

(5)检测数据段内容只包含文字和数字字符的数据报。检测数据段内容只包含文字和数字字符(例如:没有标点、空格和控制字符)的数据报。这往往是数据经过Base 64编码后而只会含有Base 64字符集的特征。TFN2K发送的控制信息数据报就是此种类型的数据报。TFN2K的特征模式是在数据段中有一种…A?(AAAA…),这里经过调整数据段大小和加密算法的结果。如果没有使用Base 64编码,对于使用了加密算法的数据报,这个连续字符就是…\0?。

(6)数据段内容只包含二进制和high-bit字符的数据报。虽然此时可能在传输二进制文件,但如果这些数据报不属于正常有效的通信时,可以怀疑正在传输的是没有被BASE 64编码但经过加密的控制信息通信数据报(如果实施这种规则,必须将20、21、80等端口的数据排除在外)。

5 Dos /DDos攻击及防范策略

由于软件缺陷和协议漏洞问题现无法解决,黑客往往利用这些缺陷和漏洞在INTERNET进行大规模Dos/DDos攻击,攻击实现容易,对网络危害巨大,再加之攻击时使用的是虚假的IP地址,攻击变化多样,这样导致防御困难。下面对Dos/DDos攻击防御进行探讨,最大限度的减少Dos/DDos攻击带来的危害。

(1)利用防火墙防范Dos/DDos攻击。目前绝大数的主流防火墙(如Cisco PIX、NetScreen、SmartHammer等)都支持IP Inspect(IP检测)功能,防火墙会对进入防火墙的信息进行严格的检测。这样,各种针对系统漏洞的攻击包会自动被系统过滤掉,从而保护了网络免受来自外部的系统漏洞攻击。

(2)使用路由器防范Dos/DDos攻击。对路由器进行合理设置,升级版本过低的IOS版

本,为路由器建立Log server,设置SYN包速率。设置ACL过滤、TCP监听功能,过滤不必要的UDP和ICMP数据报。使用Unicast reverst-path功能。

(3)提高计算机系统的安全性,安装杀毒软件及防火墙工具,及时对系统进行检测及病毒扫描,及时对系统升级,安装漏洞补丁,合理设置登录密码,及时审查日志,关闭不常用的服务。

(4)入侵检测系统(IDS)抵御Dos/DDos攻击。入侵检测系统对正常通信数据量作了基线定义(也可以自定义具体正常数据量),系统能够检测到与基线不一致的数据量,当检测到与基线不一致的数据量时会告知管理员,并做相应的处理。

(5)与网络服务提供商进行充分的协作。请求网络服务商说明实现路由的访问控制,以实现对带宽总量的限制以及不同的访问地址在同一时间对带宽的占有量。当受到攻击时,应及时告知服务商,寻求服务商提供说明及解决方案。

(6)退让策略,采用DNS轮循或通过网络负载、服务器集群等技术增加响应主机数量,但成本较高。

(7)协议改进,典型SYN Cookie技术,就是给每一个请求连接的IP地址分配一个Cookie,如果短时间内连续收到某个IP的重复SYN报文,就认定是受到了攻击,以后从这个IP地址来的包会被丢弃。

(8)作好使用分析,当受到Dos/DDos攻击时,就可以发现某IP地址发送过来的流量势必会大量增加。当检测是Dos/DDos攻击时,应当中断该IP的网络连接,拒绝该IP访问。

(9)遭受Dos/DDos攻击,立即启动预定的应对策略,尽快的反方向追踪攻击数据报的来源,并且迅速与网络提供商和有关应急组织取得联系,分析受影响的系统,确定涉及的其它节点,从而阻挡已知攻击节点的攻击流量,必要时断开网络连接。

6 结束语

Dos/DDos攻击严重的威胁着网络安全,给网络带来了巨大的灾难。攻击者往往利用协议漏洞和软件缺陷,所以我们增强计算机系统安全体系建设的同时也须加大网络安全管理力度,使用先进的防御技术及采用优秀的防御工具,对网络实施实时监控,在遭受攻击时采取一定的应对措施,定能有效的防范攻击。

DDoS攻击教程

先介绍一下DDoS攻击的原理:

DDoS把DoS又向前发展了一步,DDoS的行为更为自动化,它可以方便地协调从多台计算机上启动的进程,让一股DoS洪流冲击网络,并使网络因过载而崩溃。确切地讲,DDoS攻击是指在不同的高带宽主机上安装大量的DoS服务程序,它们等待来自中央客户端的命令,中央客户端随后通知全体受控服务程序,并批示它们对一个特定目标发送尽可能多的网络访问请求。

对DoS而言,其攻击方式很多,主要使用的攻击有4种,分别是TCP-SYN flood,UDP flood,ICMP flood,smurf。

TCP--- 当用户进行一次标准的TCP连接时,会有一个3次握手过程。首先是请求服务方发送一个SYN消息,服务方收到SYN后,会向请求方回送一个SYN-ACK 表示确认,当请求方收到SYN-ACK后,再次向服务方发送一个ACK消息,这样,一次TCP连接建立成功。但是TCP-SYN flood在实现过程中只进行前2个步骤:

当服务方收到请求方的SYN-ACK确认消息后,请求方由于采用源地址欺骗等手段使得服务方收不到ACK回应,于是,服务方会在一定时间处于等待接收请求方ACK消息的状态。对于某台服务器来说,可用的TCP 连接是有限的,如果恶意攻击方快速连续地发送此类连接请求,该服务器可用的TCP连接队列将很快被阻塞,系统可用资源急剧减少,网络可用带宽迅速缩小,长此下去,网络将无法向用户提供正常的服务。

UDP---- 由于UDP(用户数据包协议)在网络中的应用比较广泛,基于UDP攻击种类也较多。如今在Internet 上提供WWW和Mail等服务设备通常是使用 Unix的服务器,它们默认一些被恶意利用的UDP服务,如echo 和chargen服务,它会显示接收到的每一个数据包,而原本作为测试功能的 chargen服务会在收到每一个数据包时随机反馈一些字符,如果恶意攻击者将这2个UDP服务互指,则网络可用带宽将很快耗尽。

ICMP---- 由于在早期的阶段,路由器对包的最大尺寸都有限制,许多操作系统对TCP/IP栈的实现在ICMP 包上都是规定64KB,并且在对包的标题头进行读取之后,要根据该标题头里包含的信息来为有效载荷生成缓冲区,当产生畸形的,声称自己的尺寸超过ICMP上限的包也就是加载的尺寸超过64K上限时,就会出现内存分配错误,导致TCP/IP堆栈崩溃,致使接受方当机。如果对方的操作系统已经可以防御堆栈崩溃,也占去许多带宽。

Smurf---- 一个简单的smurf攻击通过使用将回复地址设置成受害网络的广播地址的ICMP应答请求(ping)数据包来淹没受害主机的方式进行,最终导致该网络的所有主机都对此ICMP应答请求作出答复,导致网络阻塞,比ping of death洪水的流量高出一或两个数量级。更加复杂的Smurf将源地址改为第三方的受害者,最终导致第三方雪崩。

tfn2k的程序及分析:

在你执行

$tar zxvf tfn2k.tgz

以后

在src目录下就是源文件,

其中主要的两个文件就是tfn.c和td.c

你可以看一下Makefile文件

SERVER_OBJ = pass.o aes.o base64.o cast.o flood.o ip.o process.o tribe.o td.o

CLIENT_OBJ = pass.o aes.o base64.o cast.o ip.o tribe.o tfn.o

可以看出tfn和td各是由哪些.o链接而成的。

tfn.c:

tfn和td的网络通讯是经过CAST-256算法(RFC 2612)加密,还可能混杂了许多虚假数据包。参看security_through_obscurity()和encode64()等函数。

尽管tfn没有密码保护,每一个发送给td的命令都有一个16位二进制形式的数在ICMP_ECHOREPLY包的

id域。这个序列号通常是0x0000,这样看起来更象ping初始包的响应。参看passchk()函数。

tfn_sendto()函数是根据hosts.txt向td发命令。

usage()函数是使用帮助。

td.c:

td的守护程序是完全沉默的,它不会对接收到的命令有任何回应。客户端重复发送每一个命令20次(RETRY=20),并且认为守护程序应该至少能接收到其中一个。如果没有接收到需要重新发送,你也可以修改RETRY(tfn.c文件中)的值。

守护进程为每一个攻击产生子进程(td.c文件中)。

在看td.c文件时有些迷惑,它作为服务器端并没有绑定固定的端口,后来才明白从tfn到td的通讯是通过ICMP_ECHOREPLY数据包完成,这样在tfn和td就没有任何基于TCP或UDP的通讯了。

td试图通过修改argv[0]内容以掩饰自己。伪造的进程名在编译时指定,因此每次安装时都有可能不同。这个功能使TFN2K伪装成代理端主机的普通正常进程。只是简单地检查进程列表未必能找到td(及其子进程),在你运行

#./td

以后,在运行

#ps -af

可能根本就找不到td.(不要以为它没有运行啊!)。

td.c的tribe_cmd()是根据id(0--10)执行命令,它要调用process.c中的函数。

process.c 中的 commerce_syn(),commerce_udp(),commerce_icmp(),commerce_mix(),commerce_smurf() 等函数就是发动攻击的具体程序,根据id(0--11)分别对应着tcp,udp,icmp,mix,smurf等攻击。

防御措施:

见下列链接文章,我就不重复了。

其它DDoS工具

1. Trinoo: 它是基于UDP flood的攻击软件,它向被攻击目标主机的随机端口发出全零的4字节UDP包,在处理这些超出其处理能力垃圾数据包的过程中,被攻击主机的网络性能不断下降,直到不能提供正常服务,乃至崩溃,它对IP地址不做假,此攻击方法用得不如TFN多。

下载地址_blank

href=https://www.doczj.com/doc/3413642549.html,/dos/ddos/trinoo.tar.gz>https://www.doczj.com/doc/3413642549.html,/dos/dd os/trinoo.tar.gz

2. Stacheldraht:对命令来源做假,而且可以防范一些路由器用RFC2267过滤。若检查出有过滤现象,它将只做假IP地址最后8位,从而让用户无法了解到底是哪几个网段的哪台机器被攻击。此外,它还具有自动更新功能,可随软件的更新而自动更新。

下载地址_blank

href=https://www.doczj.com/doc/3413642549.html,/dos/ddos/stachel-yps.tar.gz>https://www.doczj.com/doc/3413642549.html,/d os/ddos/stachel-yps.tar.gz

DDOS

百科名片

DDOS

DDOS全名是Distributed Denial of service (分布式拒绝服务攻击),很多DOS 攻击源一起攻击某台服务器就组成了DDOS攻击,DDOS 最早可追溯到1996年最初,在中国2002年开始频繁出现,2003年已经初具规模.

目录

DDoS攻击概念

DDOS的产生

被DDoS攻击时的现象

大级别攻击运行原理

黑客如何组织一次DDoS攻击

DDOS攻击的目的

DDOS的主要几个攻击

TCP全连接攻击

?SYN攻击解析

?如何防止和减少DDOS攻击的危害

?预防为主保证安全

?寻找机会应对攻击

展开

编辑本段DDoS攻击概念

DoS的攻击方式有很多种,最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源,从而使服务器无法处理合法用户的指令。

DDoS攻击手段是在传统的DoS攻击基础之上产生的一类攻击方式。单一的DoS攻击一般是采用一对一方式的,当被攻击目标CPU速度低、内存小或者网络带宽小等等各项性能指标不高,它的效果是明显的。随着计算机与网络技术的发展,计算机的处理能力迅速增长,内存大大增加,同时也出现了千兆级别的网络,这使得DoS攻击的困难程度加大了- 目标对恶意攻击包的"消化能力"加强了不少,例如你的攻击软件每秒钟可以发送3,000个攻击包,但我的主机与网络带宽每秒钟可以处理10,000个攻击包,这样一来攻击就不会产生什么效果。

这时候分布式的拒绝服务攻击手段(DDoS)就应运而生了。你理解了DoS攻击的话,它的原理就很简单。如果说计算机与网络的处理能力加大了10倍,用一台攻击机来攻击不再能起作用的话,攻击者使用10台攻击机同时攻击呢?用100台呢?DDoS 就是利用更多的傀儡机来发起进攻,以比从前更大的规模来进攻受害者。

高速广泛连接的网络给大家带来了方便,也为DDoS攻击创造了极为有利的条件。在低速网络时代时,黑客占领攻击用的傀儡机时,总是会优先考虑离目标网络距离近的机器,因为经过路由器的跳数少,效果好。而现在电信骨干节点之间的连接都是以G为级别的,大城市之间更可以达到2.5G的连接,这使得攻击可以从更远的地方或者其他城市发起,攻击者的傀儡机位置可以在分布在更大的范围,选择起来更灵活了。

编辑本段DDOS的产生

DDOS 最早可追述到1996年最初,在中国2002年开始频繁出现,2003年已经初具规模。近几年由于宽带的普及,很多网站开始盈利,其中很多非法网站利润巨大,造成同行之间互相攻击,还有一部分人利用网络攻击来敲诈钱财。同时windows平台的漏洞大量的被公布,流氓软件,病毒,木马大量充斥着网络,有些懂技术的人可以很容易非法入侵控制大量的个人计算机来发起DDOS攻击从中谋利。攻击已经成为互联网上的一种最直接的竞争方式,而且收入非常高,利益的驱使下,攻击已经演变成非常完善的产业链。通过在大流量网站的网页里注入病毒木马,木马可以通过windows平台的漏洞感染浏览网站的人,一旦中了木马,这台计算机就会被后台操作的人控制,这台计算机也就成了所谓的肉鸡,每天都有人专门收集肉鸡然后以几毛到几块的一只的价格出售,因为利益需要攻击的人就会购买,然后遥控这些肉鸡攻击服务器。

编辑本段被DDoS攻击时的现象

能瞬间造成对方电脑死机或者假死,我曾经在测试过,攻击不到1秒钟,电脑就已经死机和假死,鼠标图标不动了,系统发出滴滴滴滴的声音,告诉你们,不要学我哦,小心将电脑主板搞坏了

编辑本段大级别攻击运行原理

一个比较完善的DDoS攻击体系分成四大部分,先来看一下最重要的第2和第3部分:它们分别用做控制和实际发起攻击。请注意控制机与攻击机的区别,对第4部分的受害者来说,DDoS的实际攻击包是从第3部分攻击傀儡机上发出的,第2部分的控制机只发布命令而不参与实际的攻击。对第2和第3部分计算机,黑客有控制权或者是部分的控制权,并把相应的DDoS程序上传到这些平台上,这些程序与正常的程序一样运行并等待来自黑客的指令,通常它还会利用各种手段隐藏自己不被别人发现。在平时,这些傀儡机器并没有什么异常,只是一旦黑客连接到它们进行控制,并发出指令的时候,攻击傀儡机就成为害人者去发起攻击了。

有的朋友也许会问道:"为什么黑客不直接去控制攻击傀儡机,而要从控制傀儡机上转一下呢?"。这就是导致DDoS攻击难以追查的原因之一了。做为攻击者的角度来说,肯定不愿意被捉到,而攻击者使用的傀儡机越多,他实际上提供给受害者的分析依据就越多。在占领一台机器后,高水平的攻击者会首先做两件事:1. 考虑如何留好后门!2. 如何清理日志。这就是擦掉脚印,不让自己做的事被别人查觉到。比较不敬业的黑客会不管三七二十一把日志全都删掉,但这样的话网管员发现日志都没了就会知道有人干了坏事了,顶多无法再从日志发现是谁干的而已。相反,真正的好手会挑有关自己的日志项目删掉,让人看不到异常的情况。这样可以长时间地利用傀儡机。

但是在第3部分攻击傀儡机上清理日志实在是一项庞大的工程,即使在有很好的日志清理工具的帮助下,黑客也是对这个任务很头痛的。这就导致了有些攻击机弄得不是很干净,通过它上面的线索找到了控制它的上一级计算机,这上级的计算机如果是黑客自己的机器,那么他就会被揪出来了。但如果这是控制用的傀儡机的话,黑客自身还是安全的。控制傀儡机的数目相对很少,一般一台就可以控制几十台攻击机,清理一台计算机的日志对黑客来讲就轻松多了,这样从控制机再找到黑客的可能性也大大降低。

编辑本段黑客如何组织一次DDoS攻击

步骤

这里用"组织"这个词,是因为DDoS并不象入侵一台主机那样简单。一般来说,黑客进行DDoS攻击时会经过这样的步骤:

搜集了解目标的情况

下列情况是黑客非常关心的情报:

被攻击目标主机数目、地址情况

目标主机的配置、性能

目标的带宽

对于DDoS攻击者来说,攻击互联网上的某个站点,如http : //www . mytarget . com,有一个重点就是确定到底有多少台主机在支持这个站点,一个大的网站可能有很多台主机利用负载均衡技术提供同一个网站的www服务。以yahoo为例,一般会有下列地址都是提供http : //www . yahoo . com 服务的:

66.218.71.87

66.218.71.88

66.218.71.89

66.218.71.80

66.218.71.81

66.218.71.83

66.218.71.84

66.218.71.86

如果要进行DDoS攻击的话,应该攻击哪一个地址呢?使66.218.71.87这台机器瘫掉,但其他的主机还是能向外提供www服务,所以想让别人访问不到http://www . yahoo . com 的话,要所有这些IP地址的机器都瘫掉才行。在实际的应用中,一个IP地址往往还代表着数台机器:网站维护者使用了四层或七层交换机来做负载均衡,把对一个IP地址的访问以特定的算法分配到下属的每个主机上去。这时对于DDoS攻击者来说情况就更复杂了,他面对的任务可能是让几十台主机的服务都不正常。

所以说事先搜集情报对DDoS攻击者来说是非常重要的,这关系到使用多少台傀儡机才能达到效果的问题。简单地考虑一下,在相同的条件下,攻击同一站点的2台主机需要2台傀儡机的话,攻击5台主机可能就需要5台以上的傀儡机。有人说做攻击的傀儡机越多越好,不管你有多少台主机我都用尽量多的傀儡机来攻就是了,反正傀儡机超过了时候效果更好。

但在实际过程中,有很多黑客并不进行情报的搜集而直接进行DDoS的攻击,这时候攻击的盲目性就很大了,效果如何也要靠运气。其实做黑客也象网管员一样,是不能偷懒的。一件事做得好与坏,态度最重要,水平还在其次。

占领傀儡机

黑客最感兴趣的是有下列情况的主机:

链路状态好的主机

性能好的主机

安全管理水平差的主机

这一部分实际上是使用了另一大类的攻击手段:利用形攻击。这是和DDoS并列的攻击方式。简单地说,就是占领和控制被攻击的主机。取得最高的管理权限,或者至少得到一个有权限完成DDoS攻击任务的帐号。对于一个DDoS攻击者来说,准备好一定数量的傀儡机是一个必要的条件,下面说一下他是如何攻击并占领它们的。

首先,黑客做的工作一般是扫描,随机地或者是有针对性地利用扫描器去发现互联网上那些有漏洞的机器,像程序的溢出漏洞、cgi、Unicode、ftp、数据库漏洞…(简直举不胜举啊),都是黑客希望看到的扫描结果。随后就是尝试入侵了,具体的手段就不在这里多说了,感兴趣的话网上有很多关于这些内容的文章。

总之黑客现在占领了一台傀儡机了!然后他做什么呢?除了上面说过留后门擦脚印这些基本工作之外,他会把DDoS攻击用的程序上载过去,一般是利用ftp。在攻击机上,会有一个DDoS的发包程序,黑客就是利用它来向受害目标发送恶意攻击包的。

实际攻击

经过前2个阶段的精心准备之后,黑客就开始瞄准目标准备发射了。前面的准备做得好的话,实际攻击过程反而是比较简单的。就象图示里的那样,黑客登录到做为控制台的傀儡机,向所有的攻击机发出命令:"预备~ ,瞄准~,开火!"。这时候埋伏在攻击机中的DDoS攻击程序就会响应控制台的命令,一起向受害主机以高速度发送大量的数据包,导致它死机或是无法响应正常的请求。黑客一般会以远远超出受害方处理能力的速度进行攻击,他们不会"怜香惜玉"。

老道的攻击者一边攻击,还会用各种手段来监视攻击的效果,在需要的时候进行一些调整。简单些就是开个窗口不断地ping目标主机,在能接到回应的时候就再加大一些流量或是再命令更多的傀儡机来加入攻击。

防范DDOS攻击的工具软件:CC v2.0

防范DDOS比较出色的防火墙:硬件有Cisco的Guard、Radware的DefensePro,绿盟的黑洞,傲盾硬件的KFW系列,傲盾软件的傲盾防火墙。软件有冰盾DDOS防火墙、8Signs Firewall等。

编辑本段DDOS攻击的目的

黑客一般都出于商业目的,比如有人雇佣黑客对一个网站进行攻击,事后给钱,不过如果该网站报警,那么黑客和这位雇佣黑客的幕后黑手将受到法律严惩!

编辑本段DDOS的主要几个攻击

编辑本段TCP全连接攻击

和SYN攻击不同,它是用合法并完整的连接攻击对方,SYN攻击采用的是半连接攻击方式,而全连接攻击是完整的,合法的请求,防火墙一般都无法过滤掉这种攻击,这种攻击在现在的DDOS软件中非常常见,有UDP碎片还有SYN洪水,甚至还有TCP洪水攻击,这些攻击都是针对服务器的常见流量攻击

SYN变种攻击

发送伪造源IP的SYN数据包但是数据包不是64字节而是上千字节这种攻击会造成一些防火墙处理错误锁死,消耗服务器CPU内存的同时还会堵塞带宽。

DDOS攻击与防范技术原理 课程设计报告

上海电机学院课程设计报告 课程名称:计算机网络安全 课题名称: DDOS攻击与防范技术原理 姓名:苏瀚 班级: BX1009 学号: 101003200921 指导老师:熊鹏 报告日期: 2013年06月27日 电子信息学院

上海电机学院实训/课程设计任务书 课程名称网络安全课程设计课程代码033208C1 实训/课程设计课题清单1.ARP 协议原理攻击及防范技术2.DHCP 协议攻击及防范技术3.DDOS攻击与防范技术原理4.ACL 包过滤技术应用 5. CAM表攻击与防范技术 6. TCP SYN攻击与防范技术 7. 网络设备终端登录原理与安全管理 8. 组建高弹性冗余网络 设计时间2013年06 月24 日——2013年06 月28 日 一、实训/课程设计任务汇总 1. 课题分配—--2~3人一组。 2. 最终提供的主操作界面应该方便用户的操作。 3. 最后提交的课程设计成果包括: a) 课程设计报告打印稿。 b) 课程设计报告电子稿。 c) 小组课程设计报告打印稿 d) 小组课程设计报告电子稿 e) 源程序文件(电子稿)。 f) 可执行程序文件。(电子稿) 二、对实训/课程设计成果的要求(包括实训/课程设计报告、图纸、图表、实物等软硬件要求) 分析课程设计题目的要求;写出详细的需求分析; 根据功能需求,写出详细的设计说明;(包括工作原理) 编写程序代码(有必要的注释),调试程序使其能正确运行; 设计完成的软件要便于操作和使用,有整齐、美观的使用界面; 设计完成后提交课程设计报告(按学校要求装订)和源代码文件的电子文档。报告需要交电子版和打印版,源程序交电子版。

dos与ddos攻击与防范

江西现代职业技术学院 毕业设计(论文) 题目:Dos与DDos攻击与防范措施 姓名钟培林 学院信息工程学院 专业计算机网络信息技术 班级08计网五年 指导教师涂晓燕 提交时间年月日 封面格式说明: 1、论文封面中注明:论文题目、指导教师、作者姓名、学院、专业; 2、页边距:上3.6cm、下3cm,左侧3cm、右侧2.5cm; 3、段落格式:1.5倍行间距; 4、纸张大小:A4。

论文题目:Dos与DDos攻击与防范措施 姓名:钟培林 班级:04计网(2)班 指导教师:涂晓燕 摘要::通过专业防火墙+入侵检测系统,建立网络级的检测和防范屏障。在企业网内部通过加强安全教育,提高安全意识,结合简单易行的检测方法,安装杀毒软件和最新系统补丁,能有效地将DoS和DDoS攻击造成的损失降到最小。 关键词::DoS;DDoS;攻击;防范 摘要格式说明: 1、要求写出设计(论文)名称、作者、班级、指导教师、摘要及关键词,摘要字 数限制在300字以内; 2、设计(论文)名称除标明处外,均用四号宋体; 3、页边距:上3.6cm、下3cm,左侧3cm、右侧2.5cm; 4、段落格式:1.5倍行间距; 5、纸张大小:A4。

目录 一、概述 (1) 二、防火墙 (4) (一)包过滤型 (5) 1.包过滤型产品 (8) 2.包过滤技术的优点 (14) 3.※※※※※※ (18) (二)※※※※※※※※※※ (22) 1.※※※※※※※※ (24) 2.※※※※※※※※※※ (30) 3.※※※※※※ (31) (三)※※※※※※※※※※ (33) 三、※※※※※※ (36) (一)※※※※※※※※※※ (38) (二)※※※※※※※※※※ (43) 四、※※※※※※※ (45) 五、结论与体会 (48) 参考文献 (50) 目录格式说明: 1、毕业论文篇幅长的要写出目录,使人一看就可以了解论文的大致内容。目录要 标明页数,以便论文审查者阅读方便; 2、除标明处外,均用小四号宋体; 3、页边距:上3.6cm、下3cm,左侧3cm、右侧2.5cm; 4、段落格式:1.5倍行间距; 5、纸张大小:A4。

图解DoS与DDos攻击工具基本技术

DoS (Denial of Service)攻击其中文含义是拒绝服务攻击,这种攻击行动使网站服务器充斥大量要求回复的信息,消耗网络带宽或系统资源,导致网络或系统不胜负荷以至于瘫痪而停止提供正常的网络服务。黑客不正当地采用标准协议或连接方法,向攻击的服务发出大量的讯息,占用及超越受攻击服务器所能处理的能力,使它当(Down)机或不能正常地为用户服务。 “拒绝服务”是如何攻击的 通过普通的网络连线,使用者传送信息要求服务器予以确定。服务器于是回复用户。用户被确定后,就可登入服务器。 “拒绝服务”的攻击方式为:用户传送众多要求确认的信息到服务器,使服务器里充斥着这种无用的信息。 所有的信息都有需回复的虚假地址,以至于当服务器试图回传时,却无法找到用户。服务器于是暂时等候,有时超过一分钟,然后再切断连接。服务器切断连接时,黑客再度传送新一批需要确认的信息,这个过程周而复始,最终导致服务器无法动弹,瘫痪在地。 在这些 DoS 攻击方法中,又可以分为下列几种: TCP SYN Flooding Smurf Fraggle 1.TCP Syn Flooding 由于TCP协议连接三次握手的需要,在每个TCP建立连接时,都要发送一个带SYN标记的数据包,如果在服务器端发送应答包后,客户端不发出确认,服务器会等待到数据超时,如果大量的带SYN标记的数据包发到服务器端后都没有应答,会使服务器端的TCP资源迅速枯竭,导致正常的连接不能进入,甚至会导致服务器的系统崩溃。这就是TCP SYN Flooding攻击的过程。

图1 TCP Syn攻击 TCP Syn 攻击是由受控制的大量客户发出 TCP 请求但不作回复,使服务器资源被占用,再也无法正常为用户服务。服务器要等待超时(Time Out)才能断开已分配的资源。 2.Smurf 黑客采用 ICMP(Internet Control Message Protocol RFC792)技术进行攻击。常用的ICMP有 PING 。首先黑客找出网络上有哪些路由器会回应 ICMP 请求。然后用一个虚假的 IP 源地址向路由器的广播地址发出讯息,路由器会把这讯息广播到网络上所连接的每一台设备。这些设备又马上回应,这样会产生大量讯息流量,从而占用所有设备的资源及网络带宽,而回应的地址就是受攻击的目标。例如用500K bit/sec 流量的 ICMP echo (PING)包广播到100 台设备,产生 100 个 PING 回应,便产生 50M bit/sec流量。这些流量流向被攻击的服务器,便会使这服务器瘫痪。 ICMP Smurf 的袭击加深了ICMP的泛滥程度,导致了在一个数据包产生成千的ICMP数据包发送到一个根本不需要它们的主机中去,传输多重信息包的服务器用作Smurf 的放大器。 图2 Smurf 攻击图 3.Fraggle:Fraggle 基本概念及做法像 Smurf, 但它是采用UDP echo 讯息。 如何阻挡“拒绝服务”的攻击

实验四:DoSDDoS攻击与防范

实验四:DoS/DDoS攻击与防范 一、实验目的 通过本实验对DoS/DDoS攻击的深入介绍和实验操作,了解DoS/DDoS攻击的原理和危害,并且具体掌握利用TCP、UDP、ICMP等协议的DoS/DDoS攻击原理。了解针对DoS/DDoS攻击的防范措施和手段。 实验具体目的如下: 1.了解SYN-FLOOD攻击的原理、特点 2.了解UDP-FLOOD攻击的原理、特点 3.了解DDoS攻击的原理、特点 4.了解针对DoS/DDoS攻击的防御手段 二、实验准备 1.要求实验室内网络是连通的,组内每台计算机均可以访问另外一台计算机。 2.下载相关工具和软件包 3.在计算机中安装相应的软件。 三、实验涉及到的相关软件下载: a.wireshark:这是一款网络封包分析软件,撷取网络封包,并尽可能显示出最为详细的网络封包资料。 b.SuperDDoS:这是一款简单的SYN攻击器,能对设定好的目标发送大量非法的SYN数据包。 c.UDPFLOOD:这是一款功能较为完善的UDP攻击器,可以设置攻击时间、攻击速度等,攻击方式是向目标机发送大量UDP数据包。 d.独裁者DDoS:这是一款功能齐全的DDoS攻击器,除了能够联合肉鸡发动攻击,还具有控制攻击时间,启动信使服务等众多功能,并且有四种攻击方式可供选择。 e.Tomcat:这是一款功能较为常用的服务器 f.java_jdk:这是java运行环境,运行tomcat服务器必须安装jdk。 四、实验原理 1、DoS攻击: DoS是Denial of Service的简称,即拒绝服务,目的是使计算机或网络无法提供正常的服务。其攻击方式众多,常见的有SYN-FLOOD,UDP-FLOOD。 2、A.SYN-FLOOD攻击:

DOS攻击及其防范

DOS攻击及其防范 ::河北通信2004年第三期:: ,,,攻击及其防范翟晓磊河北信息产业股份有限公司摘要 DOS 攻击是一种常见的有效而简单的网络攻击技术。本文介绍了DOS 攻击的概念、原理和分类,阐述了DOS 攻击的技术扩展和防范技术,提出了针对整个系统的DOS 攻击防范策略建议,并展望了未来DOS 攻击技术和防范技术的发展趋势。关键词 DOS DDOS DRDOS 防范 , 引言随着互联网的快速发展,网络安全已经成为我们生活中密不可分的部分。而,,,攻击由于其攻击简单、易达目的而逐渐成为现在常见的攻击方式。这种攻击最早可回溯到,,,,年,月。在,,,,至,,,,年间,美国,,,,,,,陆续公布出现不同手法的,,,攻击事件。,,,,年,月,,,,攻击发展到极致,全球包括,,,,,、,,,、,,,,在内的十多个著名网站相继被黑客以,,,,(分布式拒绝服务)的手法进行攻击,致使公司损失惨重,,,,攻击的严重性才真正浮上台面。,,,,年,,月份,,,,,攻击又开始猖獗,全球,,台互联网域名解析服务器差点全被攻破。对于业界来说,,,,攻击的原理极为简单,不过,迄今为止仍然没有一项技术能很好防范这类简单攻击。本文针对正在抬头的,,,攻击,结合近日出现的新技术和产品,分析未来的攻击手段变化以及可能的防范措施。 , ,,,攻击概述 ,(, ,,,攻击的概念 ,,,(,,,,,, ,, ,,,,,;,,拒绝服务)攻击广义上指任何可以导致对方的服务器不能正常提供服务的攻击。确切地说,,,,攻击是指故意攻击网络协议实现的缺陷或直接通过各种手段耗尽被攻击对象的资源,目的是让目标计算机或网络无法提供正常的服务,使目标系统停止响应甚至崩溃。这些服务资源包括网络带宽、文件系统空间容量、开放的进程或者允许的连接等。 ,(, ,,,攻击的原理与思想file:///C/Documents and Settings/Administrator/My Do... Sites/mysite2/txqk/2004-3/three--03-13 DOS攻击及其防范.htm(第 1,10 页)2007-6-28 9:54:49::河北通信2004年第

实验10-拒绝服务攻击与防范

贵州大学实验报告 学院:计算机科学与技术学院专业:信息安全班级:姓名学号实验组实验时间2015.06.17 指导教师蒋朝惠成绩实验项目名称实验十拒绝服务攻击与防范 实验目的(一)拒绝服务(DoS)攻击与防范 通过本实验的学习, 使大家了解拒绝服务攻击的原理以及相应的防范方法。 通过一个SYN Flood的拒绝服务程序, 使大家加强对Dos攻击的理解。(二)分布式服务(DDoS)攻击与防范 通过本实验的学习, 使大家了解分布式拒绝服务(DDoS)攻击的原理以及相应的防范方法。 实 验 要 求 通过实验,理解和掌握DoS和DDoS的攻击原理以及相应的防范方法 实验原理(一)拒绝服务(DoS)攻击与防范 1.TCP协议介绍 传输控制协议是用来在不可靠的Internet上提供可靠的、端到端的字 节流通信协议,在FRC 793中有正式定义,还有一些解决错误的方案在 RFC1122中有记录,RFC1323则有TCP的功能扩展。常见到的TCP/IP协 议中,IP层不保证将数据报正确传输到目的地TCP则从本地机器接收 用户的数据流,将其分成不超过64KB的数据字段,将每个数据片段作 为单独的IP数据包发送出去,最后在目的地机器中将其再组合成完整 的字节流,TCP协议必须保证可靠性。发送方和接收方的TCP传输以数 据段的形式交换数据,i一个数据段包括固定20字节,加上可选部分, 后面再加上数据。TCP协议从发送方传输一个数据耳朵时候,其中有一 个确认号,它等于希望收到的下一个数据段的序号,接收方还要发送回 一个数据段,其中有一个确认号,它等于希望收到的下一个数据段的顺

序号。如果计时器在确认信息到达以前超时了,发送方会重新发送这个数据段。 从上面的内容可以在总体上了解一点TCP,重要的是熟悉TCP的数据头。 因为数据流的传输最重要的就是header里面的东西,至于发送的数据,只是TCP数据头附带上的、客户端和服务器端的服务响应就是痛header 里面的数据有关,两端信息交流和交换是根据header中内容实施的,因此,要了解DoS攻击原理,就必须对TCP的header中的内容非常熟悉。有关TCP数据段头格式参见7.1.3节内容。 TCP连接采用“3次握手”,其原理步骤如下所述。 在没有连接时,接受方服务器处于监听状态,等待其它机器发送连接请求。 第一步,客户端发送一个带SYN位的请求,向服务器表示需要连接。 第二步,服务器接收到这样的请求后,查看监听的端口是否为指定端口,如果不是,则发送RST=1应答,拒绝建立连接。如果是,那么服务器发送确认,SYN为服务器的一个内码,假设为100,ACK位则为客户端的请求序号加1,本例中发送的数据是:SYN=11,ACK=100,用这样的数据发送给客户端。向客户端标明,服务器连接已准备好,等待客户端的确认。 这时客户端接收到信息后,分析得到的信息,准备发送确认连接信号到服务器。 第三步,客户端发送确认信息建立连接的消息给服务器端,确认信息的SYN位是服务器发送的ACK位,ACK位是服务器发送的SYN位加1.级:SYN=11,ACK=101。 这时,连接已经建立好了,可以进行发送数据的过程。 服务器不会在每次接收到SYN请求就立刻恢复客户端建立连接,而是为连接请求分配内存空间,建立会话,并放到一个队列中。如果等待队列已经满了,那么服务器就不会再为新的连接分配资源,直接丢弃请求。 如果到了这种地步,那么服务器就是拒绝服务了。 2.拒绝服务(DoS)攻击

DOS与DDOS攻击与防范毕业设计(论文)

毕业设计(论文) 题目:DOS与DDOS攻击与防范

毕业设计(论文)原创性声明和使用授权说明 原创性声明 本人郑重承诺:所呈交的毕业设计(论文),是我个人在指导教师的指导下进行的研究工作及取得的成果。尽我所知,除文中特别加以标注和致谢的地方外,不包含其他人或组织已经发表或公布过的研究成果,也不包含我为获得及其它教育机构的学位或学历而使用过的材料。对本研究提供过帮助和做出过贡献的个人或集体,均已在文中作了明确的说明并表示了谢意。 作者签名:日期: 指导教师签名:日期: 使用授权说明 本人完全了解大学关于收集、保存、使用毕业设计(论文)的规定,即:按照学校要求提交毕业设计(论文)的印刷本和电子版本;学校有权保存毕业设计(论文)的印刷本和电子版,并提供目录检索与阅览服务;学校可以采用影印、缩印、数字化或其它复制手段保存论文;在不以赢利为目的前提下,学校可以公布论文的部分或全部内容。 作者签名:日期:

学位论文原创性声明 本人郑重声明:所呈交的论文是本人在导师的指导下独立进行研究所取得的研究成果。除了文中特别加以标注引用的内容外,本论文不包含任何其他个人或集体已经发表或撰写的成果作品。对本文的研究做出重要贡献的个人和集体,均已在文中以明确方式标明。本人完全意识到本声明的法律后果由本人承担。 作者签名:日期:年月日 学位论文版权使用授权书 本学位论文作者完全了解学校有关保留、使用学位论文的规定,同意学校保留并向国家有关部门或机构送交论文的复印件和电子版,允许论文被查阅和借阅。本人授权大学可以将本学位论文的全部或部分内容编入有关数据库进行检索,可以采用影印、缩印或扫描等复制手段保存和汇编本学位论文。 涉密论文按学校规定处理。 作者签名:日期:年月日 导师签名:日期:年月日

DOS攻击原理与防范措施

DDOS攻击原理与防范措施 JW114043 丁晓娟 债要:DDoS攻击手段是在传统的DoS攻击基础之上产生的一类攻击方式。单一的DoS攻击一般是采用一对一方式的,当攻击目标CPU速度低、内存小或者网络带宽小等等各项性能指标不高它的效果是明显的。随着计算机与网络技术的发展,计算机的处理能力迅速增长,内存大大增加,同时也出现了千兆级别的网络,这使得DoS攻击的困难程度加大了-目标对恶意攻击包的"消化能力"加强了不少。这时侯分布式的拒绝服务攻击手段(DDoS)就应运而生了。分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户/服务器技术,将多个计算机联合起来作为攻击平台,对一个或多个目标发动DoS攻击,从而成倍地提高拒绝服务攻击的威力。 关键词:DDOS(分布式拒绝服务攻击)、攻击运行原理、傀儡机、防范措施 1.引言 随着网络技术和网络应用的发展,网络安全问题显得越来越重要。拒绝服务攻击由于容易实施、难以防范、难以追踪等而成为最难解决的网络安全问题之一,给网络社会带来了极大的危害。同时,拒绝服务攻击也将是未来信息战的重要手段之一。因此,研究拒绝服务攻击及其对策是极为重要的。 2. 分布式拒绝服务攻击(DDOS) 2.1 DDOS攻击现象 (1)被攻击主机上有大量等待的TCP连接 (2)网络中充斥着大量的无用的数据包,源地址为假 (3)制造高流量无用数据,造成网络拥塞,使受害主机无法正常和外界通讯 (4)利用受害主机提供的服务或传输协议上的缺陷,反复高速的发出特定的服务请求,使受害主机无法及时处理所有正常请求 (5)严重时会造成系统死机

DOS攻击与DDOS攻击

组长:郝增强 组员:郭一鸣,朱永超,刘齐强 一.DOS攻击和DDOS攻击 DOS:Denial Of Service,拒绝服务攻击的缩写。指的是攻击者通过消耗受害网络的带宽和主机系统资源,挖掘编程缺陷,提供虚假路由或DNS信息,达到使计算机或网络无法提供正常的服务的目的。常见的有网络通讯受阻,访问服务被拒,服务器死机或服务受到破坏。 DDOS:Distributed Denial of service,分布式拒绝服务的缩写,指借助于客户/服务器技术,将多个计算机联合起来作为攻击平台,对一个或多个目标发动DoS攻击,从而成倍地提高拒绝服务攻击的威力。通常,攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计算机上,在一个设定的时间主控程序将与大量代理程序通讯,代理程序已经被安装在Internet上的许多计算机上。代理程序收到指令时就发动攻击。利用客户/服务器技术,主控程序能在几秒钟内激活成百上千次代理程序的运行。 单一的DOS攻击一般是采用一对一方式的,DDOS则是利用更多的傀儡机来发起攻击,以更大规模来攻击受害者。 二.DOS攻击方式和DDOS攻击方式 DOS攻击方式: Synflood: 该攻击以多个随机的源主机地址向目的主机发送SYN 包,而在收到目的主机的SYN ACK后并不回应,这样,目的主机就为这些源主机建立了大量的连接队列,而且由于没有收到ACK一直

维护着这些队列,造成了资源的大量消耗而不能向正常请求提供服务。 Smurf:该攻击向一个子网的广播地址发一个带有特定请求(如ICMP回应请求)的包,并且将源地址伪装成想要攻击的主机地址。子网上所有主机都回应广播包请求而向被攻击主机发包,使该主机受到攻击。 Land-based:攻击者将一个包的源地址和目的地址都设置为目标主机的地址,然后将该包通过IP欺骗的方式发送给被攻击主机,这种包可以造成被攻击主机因试图与自己建立连接而陷入死循环,从而很大程度地降低了系统性能。 Ping of Death:根据TCP/IP的规范,一个包的长度最大为65536字节。尽管一个包的长度不能超过65536字节,但是一个包分成的多个片段的叠加却能做到。当一个主机收到了长度大于65536字节的包时,就是受到了Ping of Death攻击,该攻击会造成主机的宕机。 Teardrop:IP数据包在网络传递时,数据包可以分成更小的片段。攻击者可以通过发送两段(或者更多)数据包来实现TearDrop攻击。第一个包的偏移量为0,长度为N,第二个包的偏移量小于N。为了合并这些数据段,TCP/IP堆栈会分配超乎寻常的巨大资源,从而造成系统资源的缺乏甚至机器的重新启动。 PingSweep:使用ICMP Echo轮询多个主机。 Pingflood: 该攻击在短时间内向目的主机发送大量ping包,造成网络堵塞或主机资源耗尽。

DOSDDOS原理及攻击防御方法浅谈

DoS的英文全称是Denial of Service,也就是“拒绝服务”的意思。广义的DOS 攻击是指:“任何导致被攻击的服务器不能正常提供服务的攻击方式”。DoS 攻击和其他类型的攻击不大一样攻击者并不是去寻找进入内部网络的入口 而是去阻止合法的用户访问资源或路由器。 DOS攻击的基本原理是设法使被攻击服务器充斥大量要求回复的信息,消耗网络带宽或系统资源导致网络或系统不胜负荷以至于瘫痪而宽或系统资源,导致网络或系统不胜负荷以至于瘫痪而停止提供正常的网络服务。DoS攻击一般是采用一对一方式的,当被攻击目标CPU速度低、内存小或者网络带宽小等等各项性能指标不高时攻击的效果就更明显。 随着计算机与网络技术的发展,计算机的处理能力迅速增长,内存大大增加,同时也出现了千兆级别的网络,这些变化都使得目标计算机有足够的资源来应付这些DoS攻击报文,这使得DoS攻击的困难程度加大,效果减小。 在这种情况下,DDoS攻击方法就应运而生,DDoS是英文Distributed Denial of Service的缩写,即“分布式拒绝服务”,它是一种基于DoS的特殊形式的拒绝服务攻击。前面已经提到了,当今的计算机和网络速度都普遍比较快,尤其是大型服务器和数据中心,那数据处理能力和网络速度简直令人叹为观止,因此传统的基于一对一的DoS攻击效果已不再那么明显。 于是,我们伟大的IT高手们秉承“办法总比困难多”的励志理念,汲取街头打架斗殴场景中的精髓,既然一个人打不过,那就来群殴。 DDoS攻击便是利用一批受控制的机器向一台机器发起攻击,这样来势迅猛的攻击令,即使性能再高的服务器也无法应付,因此产生的破坏性极大。主要目标是较大的站点,像商业公司、搜索引擎和政府部门的站点。 DDoS攻击的4个组成部分: 1).攻击者 攻击者所用的主机,也称为攻击主控台; 2).主控端

DDOS攻击与网络安全及国内外研究现状

DDOS攻击与网络安全及国内外研究现状 1 DDOS攻击与网络安全 近年来,蠕虫(Worn)分布式拒绝服务攻击(DDOS)和垃圾邮件(Spain)已经成为当今网络安全领域面临的三大威胁井在世界各国引起了高度的重视。其中分布式拒绝服务攻击(DDOS)以容易实施、难以防范、难以追踪等特点成为当前最常见的网络攻击技术,极大的影响了网络和业务主机系统提供有效的服务。统计表明,近年来DDOS攻击的数量一直呈上升趋势,且它所依靠的手段有所变化。人们开始充分认识到DDOS的破坏性,始于2000年包括Yahoo. CNN. eBay, Amazon在内的几大著名ISP都遭受了DDOS攻击,使得网络瘫痪达多个小时,损失惨重。而2002年下半年,仅次于美国、英国、日本等国的13台互联网根服务器遭到来历不明的网络攻击,其中9台根服务器因遭受攻击而陷入瘫痪,造成服务中断1小时,这一事件再次提醒人们:DOS攻击和DDOS攻击仍是网络的重要威胁之一。 单一的DOS攻击一般是采用一对一的方式,当被攻击目标CPU速度较低、内存较小或者网络带宽小等性能指标不高的情况下,它的攻击效果是比较明显的。随着与互联网技术的发展,计算机的CPU 处理能力迅速增长、内存大大增加,千兆级别网络出现,这些都加大了DOS进行有效攻击的难度。这时候分布式的拒绝服务攻击就应运而生了,它采用一种比较特殊的体系结构,利用更多的傀儡机来发起进攻,以比以前更大的规模来攻击目标,导致系统停止服务。 针对日益严重的DDOS攻击,人们也提出了各种防御措施,主要包括DDOS防御和DDOS攻击源追踪两方面,对防御DDOS攻击起到了一定的作用。同时攻击者也在不断寻求一种既能保护自身不被发现,又能更高效地实施攻击的技术和方法,僵尸网络就是这样的一个平台。由僵尸网络发起的分布式拒绝服务攻击也是目前僵尸网络的一个主要危害。僵尸网络实际上是一个攻击者有意构建的庞大计算机群,它真正引起重视起于2004年,国内于这一年发现了一个超过10万台数量的受控计算机群,涉及到学校公司,社会团体的各个方面,它所造成的影响短时间难以消除。它也是采用一种特殊的体系结构,由攻击者控制大量的僵尸计算机,直接为发起DDOS攻击提供了一个基础平台。 由DDOS发起的攻击事件非法占用系统资源,严重破坏了系统的可用性,如何对这类攻击进行有效的防范,对网络安全来说是非常重要的。 2 DDOS攻击的国内外研究现状 针对日益严重的DDo5攻击人们也提出了各种防御措施.比如边界过滤、速率限制、随机丢包、SYN Cokkie、SYN Cache、消极忽略、主动发送RST等,但是由于DDOS攻击中使用了源IP地址伪装技术,在这些防御方法中大都在一定程度

DDOS攻击分析方法与分析案例、解决方案

1. DDOS攻击分析方法与分析 1.1. DDOS 概论 DDOS 英语全名为Distributed Denial of Service 分布式拒绝攻击。是现在网络攻击中最经常使用也是最难以防御的一种网络攻击。其攻击原理与传统的DOS相似,都是利用合理的服务请求来占用过多的服务资源,从而使合法的用户无法得到服务响应。DDOS是传统的DOS的“增强版”。由传统的单台PC 的攻击扩展为大量的PC(一般是黑客占领的傀儡机,也就是“肉鸡”)集群的攻击。其攻击效果和规模是传统的DOS所无法相比的,下图为DDOS攻击的示意图: 如上图:黑客控制者一般会通过“跳板”即图中的2 控制傀儡机来发送自己的攻击指令,而傀儡机接受到攻击指令以后会向受害者发起潮水般的攻击。淹没正常的服务请求,造成正常的服务无法进行。 1.2. DDOS种类 DDOS的攻击方法很多,大体上可以分为三大类: ?主要以消耗系统资源为主的攻击 这种代表者为syn flood 和模拟正常用户访问请求反复查询数据库等大量消耗系统资源的攻击。消耗系统资源的攻击不需要很大的流量就能取得不错的攻击效果。例如SYN flood ,windows2000 系统当物理内存是4g的时候核心内存只有不到300M,系统所有核心模块都要使用核心内存所以能给半连接队列用的核心内存非常少。Windows 2003 默认安装情况下,WEB SERVER的80端口每秒钟接收5000个SYN数据包一分钟后网站就打不开了。标准SYN数据包64字节5000个等于5000*64 *8(换算成 bit)/1024=2500K也就是2.5M带宽,如此小的带宽就可以让服务器的端口瘫痪,由于攻击包的源IP是伪造的很难追查到攻击源,,所以这种攻击非常多。 ?消耗网络资源的攻击 代表者有UDP flood ,ICMP flood ,smurf等。此类攻击主要是通过大量的伪造数据包,来淹没正常的数据请求,实现拒绝服务。此类攻击的数据包多为大包,而且伪造现象明显。值得指出的是UDP flood 即可以消耗网络资源又能造成攻击主机的系统资源耗尽,这个和UDP的设计原理有关。当被攻击主机收到对自己没有开放UDP端口的请求的时候,会回送ICMP 端口不可达的信息,当大量的请求来临时,回送ICMP 信息所消耗的资源越来越大,最好导致系统没有资源分配给正常的请求。

DoS攻击实验

一.实验目的 通过练习使用DoS/DDoS攻击工具对目标主机进行攻击;理解Dos/DDoS攻击的原理及其实施过程;掌握检测和防范DoS/DDoS攻击的措施。 二.实验原理 拒绝服务攻击是一种非常有效的攻击技术,它利用协议或系统的缺陷,采用欺骗的策略进行网络攻击,最终目的是使目标主机因为资源全部被占用而不能处理合法用户提出的请求,即对外表现为拒绝提供服务。 1、DoS攻击 DoS攻击在众多网络攻击技术中是一种简单有效并且具有很大危害性的攻击方法。它通过各种手段消耗网络带宽和系统资源,或者攻击系统缺陷,使系统的正常服务陷于瘫痪状态,不能对正常用户进行服务,从而实现拒绝正常用户的访问服务。 2、DDoS攻击 DDoS攻击是基于DoS攻击的一种特殊形式。攻击者将多台受控制的计算机联合起来向目标计算机发起DoS攻击,它是一种大规模协作的攻击方式,主要瞄准比较大的商业站点,具有较大的破坏性。 DDoS攻击由攻击者、主控端和代理端组成。攻击者是整个DDoS攻击发起的源头,它事先已经取得了多台主控端计算机的控制权,主控端极端基分别控制着多台代理端计算机。在主控端计算机上运行着特殊的控制进程,可以接受攻击者发来的控制指令,操作代理端计算机对目标计算机发起DDoS攻击。 DDoS攻击之前,首先扫描并入侵有安全漏洞的计算机并取得其控制权,然后在每台被入侵的计算机中安装具有攻击功能的远程遥控程序,用于等待攻击者发出的入侵命令。这些工作是自动、高速完成的,完成后攻击者会消除它的入侵痕迹,使系统的正常用户一般不会有所察觉。攻击者之后会继续利用已控制的计算机扫描和入侵更多的计算机。重复执行以上步骤,将会控制越来越多的计算机。 三、实验环境 攻击者win7 64位ip:172.22.3.71,被攻击者虚拟机vm构造,与宿主机采用桥接,在同一网段,ip为172.22.49.184 四、实验步骤及分析结果

相关主题
相关文档 最新文档