WEB服務(wù)器攻擊分析

1、WEB服務(wù)器攻擊分析1.1. 故障現(xiàn)象描述1. 故障現(xiàn)象描述客戶對(duì)外服務(wù)的WEB服務(wù)器無(wú)法訪問(wèn)，內(nèi)網(wǎng)機(jī)器訪問(wèn)互聯(lián)網(wǎng)速度較慢。2. 基本環(huán)境描述用戶基本網(wǎng)絡(luò)拓?fù)淙缦拢河脩舻腎nternet出口基本網(wǎng)絡(luò)拓?fù)淙缟蠄D所示，其中出口帶寬為1M，內(nèi)部上網(wǎng)和對(duì)外服務(wù)的Web服務(wù)器共享該帶寬。服務(wù)器IP地址為。1.2. 分析方案設(shè)計(jì)1. 分析目標(biāo)確認(rèn)Web服務(wù)器無(wú)法訪問(wèn)是由于網(wǎng)絡(luò)原因引起的還是其他原因引起的，確認(rèn)訪問(wèn)互聯(lián)網(wǎng)慢是由于流量引起的還是由于其他原因引起的。2. 分析設(shè)備部署我們?cè)诮粨Q機(jī)上部署分析設(shè)備，鏡像出口的網(wǎng)絡(luò)流量，對(duì)出口的流量進(jìn)行捕獲并進(jìn)行分析。1.3. 分析情況1. 基本流量分析首先利用科來(lái)網(wǎng)

2、絡(luò)分析系統(tǒng)的實(shí)時(shí)網(wǎng)絡(luò)流量監(jiān)控分析功能，對(duì)網(wǎng)絡(luò)中的重要流量參數(shù)進(jìn)行監(jiān)控分析，確認(rèn)是否由于網(wǎng)絡(luò)擁塞導(dǎo)致服務(wù)器無(wú)法訪問(wèn)，并確認(rèn)有無(wú)異常流量?？傮w流量監(jiān)控視圖總體流量概要統(tǒng)計(jì)n 總體流量分析在測(cè)試過(guò)程中，鏈路總流量在200Kbytes/s左右，峰值流量大概為1.6Mbps，鏈路利用率較大，網(wǎng)絡(luò)擁塞可能是導(dǎo)致上網(wǎng)慢的主要原因。n 網(wǎng)絡(luò)中的數(shù)據(jù)包分析網(wǎng)絡(luò)中的數(shù)據(jù)包率為2392PPS。計(jì)算出的平均包長(zhǎng)為82bytes左右，平均包長(zhǎng)很小，明顯有異?，F(xiàn)象。從包大小分布中我們可以看出，網(wǎng)絡(luò)中小包（<64Bytes）數(shù)量為2261PPS，占絕大多數(shù)，比較異常。n 廣播包和多播包網(wǎng)絡(luò)中的每秒廣播包和多播包數(shù)量很

3、少，正常。分析結(jié)論：網(wǎng)絡(luò)沒(méi)有擁塞現(xiàn)象，但小包太多，明顯異常。2. 總體通訊情況分析利用科來(lái)網(wǎng)絡(luò)分析系統(tǒng)可以對(duì)網(wǎng)絡(luò)中的總體通訊情況分析，包括主機(jī)數(shù)量、會(huì)話數(shù)量、應(yīng)用請(qǐng)求數(shù)量的分析，查看是否存在異常現(xiàn)象。分析結(jié)果如下：基本通訊情況分析發(fā)現(xiàn)的異常結(jié)果如下：n TCP流異常TCP同步發(fā)送為2771211，而同步確認(rèn)發(fā)送為2090個(gè)，同步發(fā)送數(shù)量遠(yuǎn)高于同步確認(rèn)數(shù)量，明顯為異常，需進(jìn)一步分析。n HTTP應(yīng)用異常HTTP連接97121個(gè)，HTTP請(qǐng)求440個(gè)，也就是說(shuō)絕大多數(shù)的HTTP連接中沒(méi)有任何HTTP請(qǐng)求，明顯異常。分析結(jié)論：tcp同步發(fā)送和同步確認(rèn)數(shù)量明顯異常，http連接數(shù)量遠(yuǎn)遠(yuǎn)大于http請(qǐng)求

4、數(shù)量，這些異常很可能是由于攻擊造成的。3. 針對(duì)Web服務(wù)器訪問(wèn)流量進(jìn)行分析利用科來(lái)網(wǎng)絡(luò)分析系統(tǒng)的端點(diǎn)分析視圖和節(jié)點(diǎn)瀏覽器，針對(duì)性的對(duì)web服務(wù)器主機(jī)流量進(jìn)行分析，確認(rèn)其沒(méi)有響應(yīng)的原因。Web服務(wù)器從上面圖上可以看出，web服務(wù)器只有接收的數(shù)據(jù)包，沒(méi)有發(fā)送數(shù)據(jù)包，ip會(huì)話和tcp會(huì)話數(shù)量非常大，同時(shí)全都是tcp同步接收。每秒數(shù)據(jù)包數(shù)近2000PPS，占整個(gè)網(wǎng)絡(luò)中數(shù)據(jù)包數(shù)的絕大多數(shù)。同時(shí)每秒接收流量達(dá)到992Kbps，占據(jù)的99%的出口接收流量，是造成網(wǎng)絡(luò)擁塞的主要原因。解碼分析通過(guò)對(duì)web服務(wù)器的流量進(jìn)行解碼分析，發(fā)現(xiàn)大量的internet主機(jī)向其發(fā)送http連接請(qǐng)求數(shù)據(jù)包，但服務(wù)器已經(jīng)完全沒(méi)有響應(yīng)，這是明顯的DoS攻擊行為特征。在DoS攻擊分析中也明確發(fā)現(xiàn)該主機(jī)收到了DoS攻擊。1.4. 分析結(jié)論Web服務(wù)器接收到大量來(lái)自互聯(lián)網(wǎng)的HTTP連接請(qǐng)求，每秒鐘的請(qǐng)求數(shù)量達(dá)到2000多個(gè)，而服務(wù)器沒(méi)有響應(yīng)，可能是無(wú)法承受大量的連接請(qǐng)求所致，這些大量的請(qǐng)求數(shù)據(jù)包導(dǎo)致出口鏈路出現(xiàn)擁塞，特別是入方向的利用率高達(dá)100%，從而使Internet訪問(wèn)受到嚴(yán)重影響。實(shí)際上這些請(qǐng)求的數(shù)量可能遠(yuǎn)大于我們看到