WEB服務(wù)器攻擊分析

1、WEB服務(wù)器攻擊分析1.1. 故障現(xiàn)象描述1. 故障現(xiàn)象描述客戶對外服務(wù)的WEB服務(wù)器無法訪問，內(nèi)網(wǎng)機器訪問互聯(lián)網(wǎng)速度較慢。2. 基本環(huán)境描述用戶基本網(wǎng)絡(luò)拓?fù)淙缦拢河脩舻腎nternet出口基本網(wǎng)絡(luò)拓?fù)淙缟蠄D所示，其中出口帶寬為1M，內(nèi)部上網(wǎng)和對外服務(wù)的Web服務(wù)器共享該帶寬。服務(wù)器IP地址為。1.2. 分析方案設(shè)計1. 分析目標(biāo)確認(rèn)Web服務(wù)器無法訪問是由于網(wǎng)絡(luò)原因引起的還是其他原因引起的，確認(rèn)訪問互聯(lián)網(wǎng)慢是由于流量引起的還是由于其他原因引起的。2. 分析設(shè)備部署我們在交換機上部署分析設(shè)備，鏡像出口的網(wǎng)絡(luò)流量，對出口的流量進(jìn)行捕獲并進(jìn)行分析。1.3. 分析情況1. 基本流量分析首先利用科來網(wǎng)

2、絡(luò)分析系統(tǒng)的實時網(wǎng)絡(luò)流量監(jiān)控分析功能，對網(wǎng)絡(luò)中的重要流量參數(shù)進(jìn)行監(jiān)控分析，確認(rèn)是否由于網(wǎng)絡(luò)擁塞導(dǎo)致服務(wù)器無法訪問，并確認(rèn)有無異常流量?？傮w流量監(jiān)控視圖總體流量概要統(tǒng)計n 總體流量分析在測試過程中，鏈路總流量在200Kbytes/s左右，峰值流量大概為1.6Mbps，鏈路利用率較大，網(wǎng)絡(luò)擁塞可能是導(dǎo)致上網(wǎng)慢的主要原因。n 網(wǎng)絡(luò)中的數(shù)據(jù)包分析網(wǎng)絡(luò)中的數(shù)據(jù)包率為2392PPS。計算出的平均包長為82bytes左右，平均包長很小，明顯有異?，F(xiàn)象。從包大小分布中我們可以看出，網(wǎng)絡(luò)中小包（<64Bytes）數(shù)量為2261PPS，占絕大多數(shù)，比較異常。n 廣播包和多播包網(wǎng)絡(luò)中的每秒廣播包和多播包數(shù)量很

3、少，正常。分析結(jié)論：網(wǎng)絡(luò)沒有擁塞現(xiàn)象，但小包太多，明顯異常。2. 總體通訊情況分析利用科來網(wǎng)絡(luò)分析系統(tǒng)可以對網(wǎng)絡(luò)中的總體通訊情況分析，包括主機數(shù)量、會話數(shù)量、應(yīng)用請求數(shù)量的分析，查看是否存在異?，F(xiàn)象。分析結(jié)果如下：基本通訊情況分析發(fā)現(xiàn)的異常結(jié)果如下：n TCP流異常TCP同步發(fā)送為2771211，而同步確認(rèn)發(fā)送為2090個，同步發(fā)送數(shù)量遠(yuǎn)高于同步確認(rèn)數(shù)量，明顯為異常，需進(jìn)一步分析。n HTTP應(yīng)用異常HTTP連接97121個，HTTP請求440個，也就是說絕大多數(shù)的HTTP連接中沒有任何HTTP請求，明顯異常。分析結(jié)論：tcp同步發(fā)送和同步確認(rèn)數(shù)量明顯異常，http連接數(shù)量遠(yuǎn)遠(yuǎn)大于http請求

4、數(shù)量，這些異常很可能是由于攻擊造成的。3. 針對Web服務(wù)器訪問流量進(jìn)行分析利用科來網(wǎng)絡(luò)分析系統(tǒng)的端點分析視圖和節(jié)點瀏覽器，針對性的對web服務(wù)器主機流量進(jìn)行分析，確認(rèn)其沒有響應(yīng)的原因。Web服務(wù)器從上面圖上可以看出，web服務(wù)器只有接收的數(shù)據(jù)包，沒有發(fā)送數(shù)據(jù)包，ip會話和tcp會話數(shù)量非常大，同時全都是tcp同步接收。每秒數(shù)據(jù)包數(shù)近2000PPS，占整個網(wǎng)絡(luò)中數(shù)據(jù)包數(shù)的絕大多數(shù)。同時每秒接收流量達(dá)到992Kbps，占據(jù)的99%的出口接收流量，是造成網(wǎng)絡(luò)擁塞的主要原因。解碼分析通過對web服務(wù)器的流量進(jìn)行解碼分析，發(fā)現(xiàn)大量的internet主機向其發(fā)送http連接請求數(shù)據(jù)包，但服務(wù)器已經(jīng)完全沒有響應(yīng)，這是明顯的DoS攻擊行為特征。在DoS攻擊分析中也明確發(fā)現(xiàn)該主機收到了DoS攻擊。1.4. 分析結(jié)論Web服務(wù)器接收到大量來自互聯(lián)網(wǎng)的HTTP連接請求，每秒鐘的請求數(shù)量達(dá)到2000多個，而服務(wù)器沒有響應(yīng)，可能是無法承受大量的連接請求所致，這些大量的請求數(shù)據(jù)包導(dǎo)致出口鏈路出現(xiàn)擁塞，特別是入方向的利用率高達(dá)100%，從而使Internet訪問受到嚴(yán)重影響。實際上這些請求的數(shù)量可能遠(yuǎn)大于我們看到