分布式拒绝服务攻击(DDoS)原理及防范(2)

下面是我在实验室中模拟的一次Syn Flood攻击的实际过程

这一个局域网环境，只有一台攻击机（PIII667/128/mandrake），被攻击的是一台Solaris 8.0 (spark)的主机，网络设备是Cisco的百兆交换机。这是在攻击并未进行之前，在Solaris上进行snoop的记录，snoop与tcpdump等网络监听工具一样，也是一个很好的网络抓包与分析的工具。可以看到攻击之前，目标主机上接到的基本上都是一些普通的网络包。

…
…
? -> (broadcast) ETHER Type=886F (Unknown), size = 1510 bytes
? -> (broadcast) ETHER Type=886F (Unknown), size = 1510 bytes
? -> (multicast) ETHER Type=0000 (LLC/802.3), size = 52 bytes
? -> (broadcast) ETHER Type=886F (Unknown), size = 1510 bytes
192.168.0.66 -> 192.168.0.255 NBT Datagram Service Type=17 Source=GU[0]
192.168.0.210 -> 192.168.0.255 NBT Datagram Service Type=17 Source=ROOTDC[20]
192.168.0.247 -> 192.168.0.255 NBT Datagram Service Type=17 Source=TSC[0]
? -> (broadcast) ETHER Type=886F (Unknown), size = 1510 bytes
192.168.0.200 -> (broadcast) ARP C Who is 192.168.0.102, 192.168.0.102 ?
? -> (broadcast) ETHER Type=886F (Unknown), size = 1510 bytes
? -> (broadcast) ETHER Type=886F (Unknown), size = 1510 bytes
192.168.0.66 -> 192.168.0.255 NBT Datagram Service Type=17 Source=GU[0]
192.168.0.66 -> 192.168.0.255 NBT Datagram Service Type=17 Source=GU[0]
192.168.0.210 -> 192.168.0.255 NBT Datagram Service Type=17 Source=ROOTDC[20]
? -> (multicast) ETHER Type=0000 (LLC/802.3), size = 52 bytes
? -> (broadcast) ETHER Type=886F (Unknown), size = 1510 bytes
? -> (broadcast) ETHER Type=886F (Unknown), size = 1510 bytes……

接着，攻击机开始发包，DDoS开始了…，突然间sun主机上的snoop窗口开始飞速地翻屏，显示出接到数量巨大的Syn请求。这时的屏幕就好象是时速300公里的列车上的一扇车窗。这是在Syn Flood攻击时的snoop输出结果：


…
127.0.0.178 -> lab183.lab.net AUTH C port=1352
127.0.0.178 -> lab183.lab.net TCP D=114 S=1352 Syn Seq=674711609 Len=0 Win=65535
127.0.0.178 -> lab183.lab.net TCP D=115 S=1352 Syn Seq=674711609 Len=0 Win=65535
127.0.0.178 -> lab183.lab.net UUCP-PATH C port=1352
127.0.0.178 -> lab183.lab.net TCP D=118 S=1352 Syn Seq=674711609 Len=0 Win=65535
127.0.0.178 -> lab183.lab.net NNTP C port=1352
127.0.0.178 -> lab183.lab.net TCP D=121 S=1352 Syn Seq=674711609 Len=0 Win=65535
127.0.0.178 -> lab183.lab.net TCP D=122 S=1352 Syn Seq=674711609 Len=0 Win=65535
127.0.0.178 -> lab183.lab.net TCP D=124 S=1352 Syn Seq=674711609 Len=0 Win=65535
127.0.0.178 -> lab183.lab.net TCP D=125 S=1352 Syn Seq=674711609 Len=0 Win=65535
127.0.0.178 -> lab183.lab.net TCP D=126 S=1352 Syn Seq=674711609 Len=0 Win=65535
127.0.0.178 -> lab183.lab.net TCP D=128 S=1352 Syn Seq=674711609 Len=0 Win=65535
127.0.0.178 -> lab183.lab.net TCP D=130 S=1352 Syn Seq=674711609 Len=0 Win=65535
127.0.0.178 -> lab183.lab.net TCP D=131 S=1352 Syn Seq=674711609 Len=0 Win=65535
127.0.0.178 -> lab183.lab.net TCP D=133 S=1352 Syn Seq=674711609 Len=0 Win=65535
127.0.0.178 -> lab183.lab.net TCP D=135 S=1352 Syn Seq=674711609 Len=0 Win=65535…

这时候内容完全不同了，再也收不到刚才那些正常的网络包，只有DDoS包。大家注意一下，这里所有的Syn Flood攻击包的源地址都是伪造的，给追查工作带来很大困难。这时在被攻击主机上积累了多少Syn的半连接呢？我们用netstat来看一下：

# netstat -an | grep SYN …
…
192.168.0.183.9 127.0.0.79.1801 0 0 24656 0 SYN_RCVD
192.168.0.183.13 127.0.0.79.1801 0 0 24656 0 SYN_RCVD
192.168.0.183.19 127.0.0.79.1801 0 0 24656 0 SYN_RCVD
192.168.0.183.21 127.0.0.79.1801 0 0 24656 0 SYN_RCVD
192.168.0.183.22 127.0.0.79.1801 0 0 24656 0 SYN_RCVD
192.168.0.183.23 127.0.0.79.1801 0 0 24656 0 SYN_RCVD
192.168.0.183.25 127.0.0.79.1801 0 0 24656 0 SYN_RCVD
192.168.0.183.37 127.0.0.79.1801 0 0 24656 0 SYN_RCVD
192.168.0.183.53 127.0.0.79.1801 0 0 24656 0 SYN_RCVD……

其中SYN_RCVD表示当前未完成的TCP SYN队列，统计一下：

# netstat -an | grep SYN | wc -l
5273
# netstat -an | grep SYN | wc -l
5154
# netstat -an | grep SYN | wc -l
5267
…..

共有五千多个Syn的半连接存储在内存中。这时候被攻击机已经不能响应新的服务请求了，系统运行非常慢，也无法ping通。

这是在攻击发起后仅仅70秒钟左右时的情况。

DDoS的防范
到目前为止，进行DDoS攻击的防御还是比较困难的。首先，这种攻击的特点是它利用了TCP/IP协议的漏洞，除非你不用TCP/IP，才有可能完全抵御住DDoS攻击。一位资深的安全专家给了个形象的比喻：DDoS就好象有1,000个人同时给你家里打电话，这时候你的朋友还打得进来吗？

不过即使它难于防范，也不是说我们就应该逆来顺受，实际上防止DDoS并不是绝对不可行的事情。互联网的使用者是各种各样的，与DDoS做斗争，不同的角色有不同的任务。我们以下面几种角色为例：

  • 企业网管理员
  • ISP、ICP管理员
  • 骨干网络运营商

企业网管理员
网管员做为一个企业内部网的管理者，往往也是安全员、守护神。在他维护的网络中有一些服务器需要向外提供WWW服务，因而不可避免地成为DDoS的攻击目标，他该如何做呢？可以从主机与网络设备两个角度去考虑。

主机上的设置
几乎所有的主机平台都有抵御DoS的设置，总结一下，基本的有几种：

  • 关闭不必要的服务
  • 限制同时打开的Syn半连接数目
  • 缩短Syn半连接的time out 时间
  • 及时更新系统补丁
时间： 2024-08-19 20:58:48

分布式拒绝服务攻击(DDoS)原理及防范(2)的相关文章

分布式拒绝服务攻击(DDoS)原理

DoS的进犯方法有许多种,最根本的DoS进犯就是运用合理的效劳恳求来占用过多的效劳资源,从而使合法用户无法得到效劳的呼应. DDoS进犯手法是在传统的DoS进犯根底之上发生的一类进犯方法.单一的DoS进犯通常是选用一对一方法的,当进犯方针CPU速度低.内存小或许网络带宽小等等各项功能指标不高它的作用是显著的.跟着计算机与网络技能的开展,计算机的处置才干迅速增长,内存大大添加,一同也呈现了千兆级另外网络,这使得DoS进犯的艰难程度加大了 - 方对准歹意进犯包的"消化才干"加强了不少,例如

巧妙的化解分布式拒绝服务攻击(DDoS)

对于在线企业特别是电信运营商数据中心网络来说,分布式拒绝服务攻击(DDoS)的出现无疑是一场灾难,对于它的有效防护一直是网络应用中的一个难题. 一直以来DDoS是人们非常头疼的一个问题 ,它是一种很难用传统办法去防护的攻击手段,除了服务器外,带宽也是它的攻击目标.和交通堵塞一样,DDoS已经成为一种网络公害. 传统防护:有心无力 防止DDoS攻击,比较常用的有黑洞法.设置路由访问控制列表过滤和串联防火墙安全设备等几种 黑洞法:具体做法是当服务器遭受攻击之后,在网络当中设置访问控制,将所有的流量放

该如何抵御一场无情的分布式拒绝服务攻击(DDoS)

2015年5月17日星期天,网络犯罪分子向我所在的企业--HotSchedules公司,负责为来自餐厅.医院以及零售行业的超过200万员工提供云服务--发动了一场恶毒的分布式拒绝服务攻击.从星期天夜间到星期二下午,这些恶意人士在长达45个小时内阻挠着用户正常检查并管理自己的工作规划--而且从未透露其攻击动机. 虽然这对于每一位CEO来讲都是一场令人难忘的噩梦,但对我个人而言这却成了一次宝贵的经验并值得为公司的整场顽强对抗感到自豪.HotSchedules在过去16年当中曾成功化解过多次网络攻击,

分布式拒绝攻击(DDOS)软件tfn2k攻防

分布式拒绝攻击(DDOS)软件tfn2k攻防 首先,我写这篇文章的目的,并不是我想成为什么hacker之类,而且我不并不鼓励任何人利用它来做一些有损他人的事情,我只是想多一 些人关注网络安全,共同研究并防御DOS.因为我是深受其害:(,所以,这篇文章仅用于技术参考,供大家研究DDOS防御之用.如果你利用它来 做一些不合法的事情,那结果与我无关. 拒绝服务攻击(DOS,Denial Of Service)可以指任何使服务不能正常提供的操作.如软件bug,操作失误等.不过现在因为失误操作而造成 的d

[安全]DDOS攻击[分布式拒绝服务攻击]

分布式拒绝服务(Distributed Denial of Service)攻击指借助于客户/服务器技术,将多个计算机联合起来作为攻击平台,对一个或多个目标发动DDoS攻击,从而成倍地提高拒绝服务攻击的威力.通常,攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计算机上,在一个设定的时间主控程序将与大量代理程序通讯,代理程序已经被安装在网络上的许多计算机上.代理程序收到指令时就发动攻击.利用客户/服务器技术,主控程序能在几秒钟内激活成百上千次代理程序的运行. 工作原理 拒绝服务攻击即攻击者想办

世界最大分布式拒绝服务（DDoS）攻击 已达500Gbps

本文讲的是 世界最大分布式拒绝服务(DDoS)攻击 已达500Gbps,该破纪录的DDoS攻击是由第三方报告的,目前,除了其规模,尚有其他方面有待分析. 之前欧美有记录在案的是英国少年塞思·诺兰-麦克唐纳(Seth Nolan-Mcdonagh)发起的攻击300Gbps.在他把反垃圾邮件服务SpamHaus踢下线之后就被逮捕并投入监狱. 国内则是中国的阿里云遭受的450G带宽的DDoS攻击. Arbor年度报告(PDF:https://www.arbornetworks.com/images/d

巧妙的化解DDoS分布式拒绝服务攻击_网络冲浪

对于在线企业特别是电信运营商数据中心网络来说,分布式拒绝服务攻击(DDoS)的出现无疑是一场灾难,对于它的有效防护一直是网络应用中的一个难题. 一直以来DDoS是人们非常头疼的一个问题 ,它是一种很难用传统办法去防护的攻击手段,除了服务器外,带宽也是它的攻击目标.和交通堵塞一样,DDoS已经成为一种网络公害. 传统防护:有心无力 防止DDoS攻击,比较常用的有黑洞法.设置路由访问控制列表过滤和串联防火墙安全设备等几种 黑洞法:具体做法是当服务器遭受攻击之后,在网络当中设置访问控制,将所有的流量放

10种对于分布式拒绝服务攻击的应急解决方法 《转》

10种对于分布式拒绝服务攻击的应急解决方法来源:NCOD全球华人信息安全及黑客技术交流同盟 http://www.ncod.net翻译:广州寒路 8/28/2000     网络中的安全弱点层出不穷,它们往往被黑客们通过开发成工具(拒绝服务攻击)用来危急我们的主机系统,不停的应付这些安全问题是一件非常复杂并耗力的工作.在很长的一段时间里,几乎没有什么简单易行的方法来较好的防止这些攻击,人们只好靠加强事先的防范以及更严密的安全措施来加固系统.这篇文章很适用于那些经常为自己的网站担忧却又没有什么更好

分布式拒绝服务攻击与防范手段

一.从DoS到DDoS 拒绝服务(Denial of Service,DoS)由来已久.自从有了Internet,就有了拒绝服务式攻击方法.由于过去没有大型网站或机构受到过这种攻击,其劣性并不突出.直到2000年初,Yahoo!.eBay及Amazon等遭其暗算,它才露出庐山真面目. 在典型的Internet连接中,用户访问一个网站时,客户端会先向网站服务器发送一条信息要求建立连接,只有当服务器确认该请求合法,并将访问许可返回给用户时,用户才可对该服务器进行访问.DoS攻击的方法是,恶意用户会向