DDoS網(wǎng)路攻擊

1、DoS、DDoS網(wǎng)路攻擊A0953306 沈惇鈺指導(dǎo)教授：梁明章DoS攻擊n“Denial of Service”，阻斷服務(wù)攻擊n是一種利用合理的服務(wù)請求佔用過多的服務(wù)資源，從而使合法用戶無法得到服務(wù)回應(yīng)的網(wǎng)路攻擊行為DoS攻擊n難以進行事前預(yù)防n利用網(wǎng)際網(wǎng)路協(xié)定（TCP/IP）的設(shè)計弱點n待管理者在網(wǎng)路不通或系統(tǒng)效能大幅降低時，才驚覺已遭到阻斷服務(wù)攻擊DoS攻擊n依據(jù)攻擊封包量的大小區(qū)分成軟體刺探(software exploits)跟洪水攻擊(flooding) n洪水攻擊(flooding)依據(jù)攻擊來源數(shù)量的多寡分成單一來源與多重來源攻擊軟體刺探（Software Exploits） n

2、利用存在於軟體或系統(tǒng)的瑕疵n透過傳送一個或是少量的封包到目標(biāo)主機n使得應(yīng)用程式或作業(yè)系統(tǒng)無法正確處理所送來封包中的資訊，而發(fā)生錯誤來達到癱瘓受害主機的目標(biāo)。n例如：land攻擊、ping of death、Teardrop Land 攻擊n利用將 TCP 協(xié)定中 SYN 封包中的來源位置和目的地位址都改成受害主機的IP位址n以不合邏輯的封包在受害主機上產(chǎn)生無窮迴圈，使受害主機產(chǎn)生混亂，造成其處理網(wǎng)路封包的速度降低來達成阻斷服務(wù)攻擊 Ping of Death攻擊n利用 ping 指令(透過送出 ICMP 來確認對方主機是否還活著)，將超過正常長度的封包送到受害主機，由於作業(yè)系統(tǒng)本身無法處理這種

3、變形封包，因此導(dǎo)致當(dāng)機的狀況n此問題只存在較老舊的OS中 Teardrop攻擊n利用IP層中封包分割重組間的漏洞，MTUn正常的TCP封包片段應(yīng)是一個個以互相接續(xù)方式傳入目標(biāo)主機，再由主機的IP層將其重組回原資料段。但若有經(jīng)過刻意製造的不正常封包序列(如封包大小改變等)，這些片段在目的地主機重組時，則可能造成一些系統(tǒng)當(dāng)機。 防範(fàn)n類似於對病毒或漏洞防範(fàn)的手法n更新軟體或利用軟體廠商所提供的修補檔n防火牆過濾不必要的 ICMP 封包單一來源洪水攻擊n主要透過消耗主機運算資源或頻寬資源來達成阻斷合法使用者存取主機資源的攻擊n例如：SYN Flood攻擊 SYN Flood攻擊 n利用 TCP 連線

4、時的三方交握(Three Way Handshaking)n攻擊者惡意送出許多TCP SYN封包給被攻擊端，而沒有後續(xù)連結(jié)的封包傳出時，被攻擊端的SYN queue因儲存太多正在等待連結(jié)的資訊而超過其容許量，因而導(dǎo)致暫停服務(wù)。ICMP封包攻擊n利用消耗網(wǎng)路頻寬的方式 n若攻擊者擁有的頻寬大於目標(biāo)網(wǎng)路的頻寬，則攻擊者可輕易以大量封包，塞爆目標(biāo)網(wǎng)路的頻寬，讓其使用者無法使用網(wǎng)路。n但若攻擊者所掌握的頻寬不足以塞爆目標(biāo)網(wǎng)路，則可透過其他方式取得所需的頻寬，例如Smurt攻擊。Smurt攻擊 n假冒目標(biāo)主機的 IP 位址向router發(fā)出廣播的ICMP Echo封包n當(dāng)封包送到廣播位址後，同一個網(wǎng)路內(nèi)

5、的主機都會收到廣播的封包，並同時向受害主機送出相對應(yīng)的回應(yīng)封包，這些突然的大量封包會阻塞受害者的網(wǎng)路頻寬，使目標(biāo)主機因為無法反應(yīng)如此多的系統(tǒng)干擾而導(dǎo)致當(dāng)機。多重來源洪水攻擊 n在 2000 年 2 月 9 日，美國幾個著名的商業(yè)網(wǎng)站包含 Yahoo、eBay、CNN、Amazon、E*TRAE 及 ZDNet，遭受駭客以分散式阻斷攻擊 （Distributed Denial of Service Attacks），使得正常使用者在這些網(wǎng)站遭受攻擊時無法連上這些網(wǎng)站。DDoS攻擊n利用許多分散在世界各處的DoS agent(攻擊代理人，或稱執(zhí)行者)，在某一時刻對特定目標(biāo)主機以前述各種攻擊手法的混

6、和方式，將大量封包傳入目標(biāo)網(wǎng)域，以阻絕被攻擊者的服務(wù)功能。n其手法特別之處是必須先選定一定數(shù)目的主機，入侵並植入其DDoS agent程式，並在攻擊發(fā)起時遠端操控它們的行為；攻擊原理和前述幾種攻擊相同。n目前常見的DDoS工具：TFN、Trinoo、TFN2K、Stacheldraht。分為：daemon 及 clientDDoS攻擊nDaemon：讓攻擊者置入其所攻陷的主機，並等著攻擊者指令發(fā)動攻擊nClient：位在攻擊者的主機上，負責(zé)將攻擊者所下的指令傳遞給各個 daemonn例如：ICMP flooding、UDP flooding、SYN flood、Smurt 攻擊DDoS攻擊n每一臺 daemon 主機以類似單一來源洪水攻擊的方式進行阻斷服務(wù)攻擊n分散式阻斷服務(wù)攻擊讓攻擊者可發(fā)動攻擊的來源分散在許多臺主機上，使其發(fā)動攻擊的能量更大，且能有效的隱藏自己n讓透過防火牆過濾來自特定來源的阻斷服務(wù)攻擊的過程更加複雜，及事後追查元兇的工作更難以