愛華網(wǎng)分布式拒絕服務(wù)(DDoS:Distributed Denial of Service)攻擊指借助于客戶/服務(wù)器技術(shù)，將多個計算機(jī)聯(lián)合起來作為攻擊平臺，對一個或多個目標(biāo)發(fā)動DDoS攻擊，從而成倍地提高拒絕服務(wù)攻擊的威力。通常，攻擊者使用一個偷竊帳號將DDoS主控程序安裝在一個計算機(jī)上，在一個設(shè)定的時間主控程序?qū)⑴c大量代理程序通訊，代理程序已經(jīng)被安裝在網(wǎng)絡(luò)上的許多計算機(jī)上。代理程序收到指令時就發(fā)動攻擊。利用客戶/服務(wù)器技術(shù)，主控程序能在幾秒鐘內(nèi)激活成百上千次代理程序的運(yùn)行。
拒絕服務(wù)攻擊_分布式拒絕服務(wù)攻擊 -分布式拒絕服務(wù)
分布式拒絕服務(wù)
英文名DDOS，是Distributed Denial of Service的縮寫,俗稱洪水攻擊。
拒絕服務(wù)攻擊_分布式拒絕服務(wù)攻擊 -攻擊方式
DDoS攻擊通過大量合法的請求占用大量網(wǎng)絡(luò)資源，以達(dá)到癱瘓網(wǎng)絡(luò)的目的。 這種攻擊方式可分為以下幾種：
通過使網(wǎng)絡(luò)過載來干擾甚至阻斷正常的網(wǎng)絡(luò)通訊；
通過向服務(wù)器提交大量請求，使服務(wù)器超負(fù)荷；
阻斷某一用戶訪問服務(wù)器；
阻斷某服務(wù)與特定系統(tǒng)或個人的通訊。
IP Spoofing
DDOS攻擊示意圖
IP欺騙攻擊是一種黑客通過向服務(wù)端發(fā)送虛假的包以欺騙服務(wù)器的
做法。具體說，就是將包中的源IP地址設(shè)置為不存在或不合法的值。服務(wù)器一旦接受到該包便會返回接受請求包，但實際上這個包永遠(yuǎn)返回不到來源處的計算機(jī)。這種做法使服務(wù)器必需開啟自己的監(jiān)聽端口不斷等待，也就浪費(fèi)了系統(tǒng)各方面的資源。
LAND attack
這種攻擊方式與SYN floods類似，不過在LAND attack攻擊包中的原地址和目標(biāo)地址都是攻擊對象的IP。這種攻擊會導(dǎo)致被攻擊的機(jī)器死循環(huán)，最終耗盡資源而死機(jī)。
ICMP floods
ICMPfloods是通過向未良好設(shè)置的路由器發(fā)送廣播信息占用系統(tǒng)資源的做法。
Application
與前面敘說的攻擊方式不同，Application level floods主要是針對應(yīng)用軟件層的，也就是高于OSI的。它同樣是以大量消耗系統(tǒng)資源為目的，通過向IIS這樣的網(wǎng)絡(luò)服務(wù)程序提出無節(jié)制的資源申請來迫害正常的網(wǎng)絡(luò)服務(wù)。
拒絕服務(wù)攻擊_分布式拒絕服務(wù)攻擊 -被分布式拒絕服務(wù)攻擊時的現(xiàn)象
被攻擊主機(jī)上有大量等待的TCP連接
網(wǎng)絡(luò)中充斥著大量的無用的數(shù)據(jù)包，源地址為假
制造高流量無用數(shù)據(jù)，造成網(wǎng)絡(luò)擁塞，使受害主機(jī)無法正常和外界通訊
利用受害主機(jī)提供的服務(wù)或傳輸協(xié)議上的缺陷，反復(fù)高速的發(fā)出特定的服務(wù)請求，使受害主機(jī)無法及時處理所有正常請求
嚴(yán)重時會造成系統(tǒng)死機(jī)
拒絕服務(wù)攻擊_分布式拒絕服務(wù)攻擊 -分類
按照TCP/IP協(xié)議的層次可將DDOS攻擊分為基于ARP的攻擊、基于ICMP的攻擊、基于IP的攻擊、基于UDP的攻擊、基于TCP的攻擊和基于應(yīng)用層的攻擊。
基于ARP
ARP是無連接的協(xié)議，當(dāng)收到攻擊者發(fā)送來的ARP應(yīng)答時。它將接收ARP應(yīng)答包中所提供的信息。更新ARP緩存。因此，含有錯誤源地址信息的ARP請求和含有錯誤目標(biāo)地址信息的ARP應(yīng)答均會使上層應(yīng)用忙于處理這種異常而無法響應(yīng)外來請求，使得目標(biāo)主機(jī)喪失網(wǎng)絡(luò)通信能力。產(chǎn)生拒絕服務(wù)，如ARP重定向攻擊。
基于ICMP
攻擊者向一個子網(wǎng)的廣播地址發(fā)送多個ICMP Echo請求數(shù)據(jù)包。并將源地址偽裝成想要攻擊的目標(biāo)主機(jī)的地址。這樣，該子網(wǎng)上的所有主機(jī)均對此ICMP Echo請求包作出答復(fù)，向被攻擊的目標(biāo)主機(jī)發(fā)送數(shù)據(jù)包，使該主機(jī)受到攻擊，導(dǎo)致網(wǎng)絡(luò)阻塞。
基于IP
TCP/IP中的IP數(shù)據(jù)包在網(wǎng)絡(luò)傳遞時，數(shù)據(jù)包可以分成更小的片段。到達(dá)目的地后再進(jìn)行合并重裝。在實現(xiàn)分段重新組裝的進(jìn)程中存在漏洞，缺乏必要的檢查。利用IP報文分片后重組的重疊現(xiàn)象攻擊服務(wù)器，進(jìn)而引起服務(wù)器內(nèi)核崩潰。如Teardrop是基于IP的攻擊。
基于應(yīng)用層
應(yīng)用層包括SMTP，HTTP，DNS等各種應(yīng)用協(xié)議。其中SMTP定義了如何在兩個主機(jī)間傳輸郵件的過程，基于標(biāo)準(zhǔn)SMTP的郵件服務(wù)器，在客戶端請求發(fā)送郵件時，是不對其身份進(jìn)行驗證的。另外，許多郵件服務(wù)器都允許郵件中繼。攻擊者利用郵件服務(wù)器持續(xù)不斷地向攻擊目標(biāo)發(fā)送垃圾郵件，大量侵占服務(wù)器資源。
拒絕服務(wù)攻擊_分布式拒絕服務(wù)攻擊 -黑客是如何組織一次分布式拒絕服務(wù)攻擊的？
這里用"組織"這個詞，是因為DDoS并不象入侵一臺主機(jī)那樣簡單。一般來說，黑客進(jìn)行DDoS攻擊時會經(jīng)過這樣的步驟：
1. 搜集了解目標(biāo)的情況
下列情況是黑客非常關(guān)心的情報：
被攻擊目標(biāo)主機(jī)數(shù)目、地址情況
目標(biāo)主機(jī)的配置、性能
目標(biāo)的帶寬
對于DDoS攻擊者來說，攻擊互聯(lián)網(wǎng)上的某個站點(diǎn)，如http://www.mytarget.com，有一個重點(diǎn)就是確定到底有多少臺主機(jī)在支持這個站點(diǎn)，一個大的網(wǎng)站可能有很多臺主機(jī)利用負(fù)載均衡技術(shù)提供同一個網(wǎng)站的www服務(wù)。以yahoo為例，一般會有下列地址都是提供http://www.yahoo.com 服務(wù)的：
66.218.71.87
66.218.71.88
66.218.71.89
66.218.71.80
66.218.71.81
66.218.71.83
66.218.71.84
66.218.71.86
如果要進(jìn)行DDoS攻擊的話，應(yīng)該攻擊哪一個地址呢？使66.218.71.87這臺機(jī)器癱掉，但其他的主機(jī)還是能向外提供www服務(wù)，所以想讓別人訪問不到http://www.yahoo.com 的話，要所有這些IP地址的機(jī)器都癱掉才行。在實際的應(yīng)用中，一個IP地址往往還代表著數(shù)臺機(jī)器：網(wǎng)站維護(hù)者使用了四層或七層交換機(jī)來做負(fù)載均衡，把對一個IP地址的訪問以特定的算法分配到下屬的每個主機(jī)上去。這時對于DDoS攻擊者來說情況就更復(fù)雜了，他面對的任務(wù)可能是讓幾十臺主機(jī)的服務(wù)都不正常。
所以說事先搜集情報對DDoS攻擊者來說是非常重要的，這關(guān)系到使用多少臺傀儡機(jī)才能達(dá)到效果的問題。簡單地考慮一下，在相同的條件下，攻擊同一站點(diǎn)的2臺主機(jī)需要2臺傀儡機(jī)的話，攻擊5臺主機(jī)可能就需要5臺以上的傀儡機(jī)。有人說做攻擊的傀儡機(jī)越多越好，不管你有多少臺主機(jī)我都用盡量多的傀儡機(jī)來攻就是了，反正傀儡機(jī)超過了時候效果更好。
但在實際過程中，有很多黑客并不進(jìn)行情報的搜集而直接進(jìn)行DDoS的攻擊，這時候攻擊的盲目性就很大了，效果如何也要靠運(yùn)氣。其實做黑客也象網(wǎng)管員一樣，是不能偷懶的。一件事做得好與壞，態(tài)度最重要，水平還在其次。
2. 占領(lǐng)傀儡機(jī)
黑客最感興趣的是有下列情況的主機(jī)：
鏈路狀態(tài)好的主機(jī)
性能好的主機(jī)
安全管理水平差的主機(jī)
這一部分實際上是使用了另一大類的攻擊手段：利用形攻擊。這是和DDoS并列的攻擊方式。簡單地說，就是占領(lǐng)和控制被攻擊的主機(jī)。取得最高的管理權(quán)限，或者至少得到一個有權(quán)限完成DDoS攻擊任務(wù)的帳號。對于一個DDoS攻擊者來說，準(zhǔn)備好一定數(shù)量的傀儡機(jī)是一個必要的條件，下面說一下他是如何攻擊并占領(lǐng)它們的。
首先，黑客做的工作一般是掃描，隨機(jī)地或者是有針對性地利用掃描器去發(fā)現(xiàn)互聯(lián)網(wǎng)上那些有漏洞的機(jī)器，象程序的溢出漏洞、cgi、Unicode、ftp、數(shù)據(jù)庫漏洞…(簡直舉不勝舉啊)，都是黑客希望看到的掃描結(jié)果。隨后就是嘗試入侵了，具體的手段就不在這里多說了，感興趣的話網(wǎng)上有很多關(guān)于這些內(nèi)容的文章。
總之黑客現(xiàn)在占領(lǐng)了一臺傀儡機(jī)了！然后他做什么呢？除了上面說過留后門擦腳印這些基本工作之外，他會把DDoS攻擊用的程序上載過去，一般是利用ftp。在攻擊機(jī)上，會有一個DDoS的發(fā)包程序，黑客就是利用它來向受害目標(biāo)發(fā)送惡意攻擊包的。
3. 實際攻擊
經(jīng)過前2個階段的精心準(zhǔn)備之后，黑客就開始瞄準(zhǔn)目標(biāo)準(zhǔn)備發(fā)射了。前面的準(zhǔn)備做得好的話，實際攻擊過程反而是比較簡單的。就象圖示里的那樣，黑客登錄到做為控制臺的傀儡機(jī)，向所有的攻擊機(jī)發(fā)出命令："預(yù)備~ ，瞄準(zhǔn)~，開火!"。這時候埋伏在攻擊機(jī)中的DDoS攻擊程序就會響應(yīng)控制臺的命令，一起向受害主機(jī)以高速度發(fā)送大量的數(shù)據(jù)包，導(dǎo)致它死機(jī)或是無法響應(yīng)正常的請求。黑客一般會以遠(yuǎn)遠(yuǎn)超出受害方處理能力的速度進(jìn)行攻擊，他們不會"憐香惜玉"。
老到的攻擊者一邊攻擊，還會用各種手段來監(jiān)視攻擊的效果，在需要的時候進(jìn)行一些調(diào)整。簡單些就是開個窗口不斷地ping目標(biāo)主機(jī)，在能接到回應(yīng)的時候就再加大一些流量或是再命令更多的傀儡機(jī)來加入攻擊。
拒絕服務(wù)攻擊_分布式拒絕服務(wù)攻擊 -防范
主機(jī)設(shè)置
所有的主機(jī)平臺都有抵御DoS的設(shè)置，總結(jié)一下，基本的有幾種：
關(guān)閉不必要的服務(wù)
限制同時打開的Syn半連接數(shù)目
縮短Syn半連接的time out 時間
及時更新系統(tǒng)補(bǔ)丁
網(wǎng)絡(luò)設(shè)置
網(wǎng)絡(luò)設(shè)備可以從防火墻與路由器上考慮。這兩個設(shè)備是到外界的接口設(shè)備，在進(jìn)行防DDoS設(shè)置的同時，要注意一下這是以多大的效率犧牲為代價的，對你來說是否值得。
1.防火墻
禁止對主機(jī)的非開放服務(wù)的訪問 限制同時打開的SYN最大連接數(shù) 限制特定IP地址的訪問 啟用防火墻的防DDoS的屬性 嚴(yán)格限制對外開放的服務(wù)器的向外訪問 第五項主要是防止自己的服務(wù)器被當(dāng)做工具去害人。
2.路由器
設(shè)置SYN數(shù)據(jù)包流量速率 升級版本過低的ISO 為路由器建立log server
拒絕服務(wù)攻擊_分布式拒絕服務(wù)攻擊 -Windows系統(tǒng)防御
對于windows系統(tǒng)來說，可以從以下幾個方面來進(jìn)行防御：
一. 啟用 SYN 攻擊保護(hù)
啟用 SYN 攻擊保護(hù)的命名值位于此注冊表項的下面：HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices。
值名稱： SynAttackProtect
建議值： 2
有效值： 0
愛華網(wǎng)本文地址 » http://www.klfzs.com/a/8103290103/46453.html
