WEB服務(wù)器攻擊分析

1、WEB服務(wù)器攻擊分析1.1. 故障現(xiàn)象描述故障現(xiàn)象描述客戶對(duì)外服務(wù)的WEB服務(wù)器無(wú)法訪問(wèn)，內(nèi)網(wǎng)機(jī)器訪問(wèn)互聯(lián)網(wǎng)速度較慢?；经h(huán)境描述用戶基本網(wǎng)絡(luò)拓?fù)淙缦拢簂liLcniu L交換機(jī)路由器胡域網(wǎng)用戶基本網(wǎng)絡(luò)拓?fù)淙缦拢簂liLcniu L交換機(jī)路由器胡域網(wǎng)甲曲服備器用戶的Internet出口基本網(wǎng)絡(luò)拓?fù)淙缟蠄D所示，其中出口帶寬為1M,內(nèi)部上網(wǎng)和對(duì)外服務(wù)的Web服 務(wù)器共享該帶寬。服務(wù)器IP地址為xx.xx.142.202。分析方案設(shè)計(jì)分析目標(biāo)確認(rèn)Web服務(wù)器無(wú)法訪問(wèn)是由于網(wǎng)絡(luò)原因引起的還是其他原因引起的，確認(rèn)訪問(wèn)互聯(lián)網(wǎng)慢是由于流量 引起的還是由于其他原因引起的。分析設(shè)備部署 我們?cè)诮粨Q機(jī)上部署分析設(shè)

2、備，鏡像出口的網(wǎng)絡(luò)流量，對(duì)出口的流量進(jìn)行捕獲并進(jìn)行分析。分析情況基本流量分析首先利用科來(lái)網(wǎng)絡(luò)分析系統(tǒng)的實(shí)時(shí)網(wǎng)絡(luò)流量監(jiān)控分析功能，對(duì)網(wǎng)絡(luò)中的重要流量參數(shù)進(jìn)行監(jiān)控分析， 確認(rèn)是否由于網(wǎng)絡(luò)擁塞導(dǎo)致服務(wù)器無(wú)法訪問(wèn)，并確認(rèn)有無(wú)異常流量。工!*：E afHe-amp主血工!*：E afHe-amp主血M址址扌邈日乙丸霍|警輩總體流量監(jiān)控視圖總體流量概要統(tǒng)計(jì)總體流量分析在測(cè)試過(guò)程中，鏈路總流量在200Kbytes/s左右，峰值流量大概為1.6Mbps，鏈路利用率較大，網(wǎng)絡(luò) 擁塞可能是導(dǎo)致上網(wǎng)慢的主要原因。網(wǎng)絡(luò)中的數(shù)據(jù)包分析網(wǎng)絡(luò)中的數(shù)據(jù)包率為2392PPS。計(jì)算出的平均包長(zhǎng)為82bytes左右,平均包長(zhǎng)很小，

3、明顯有異?，F(xiàn)象。 從包大小分布中我們可以看出，網(wǎng)絡(luò)中小包（64Bytes）數(shù)量為2261PPS，占絕大多數(shù)，比較異常。廣播包和多播包網(wǎng)絡(luò)中的每秒廣播包和多播包數(shù)量很少，正常。 分析結(jié)論：網(wǎng)絡(luò)沒(méi)有擁塞現(xiàn)象，但小包太多，明顯異常?？傮w通訊情況分析利用科來(lái)網(wǎng)絡(luò)分析系統(tǒng)可以對(duì)網(wǎng)絡(luò)中的總體通訊情況分析，包括主機(jī)數(shù)量、會(huì)話數(shù)量、應(yīng)用請(qǐng)求數(shù)量 的分析，查看是否存在異?，F(xiàn)象。分析結(jié)果如下：.-根克-盤(pán)斷伽邊1F為P蟲(chóng)病毒労析Y疑攻擊勺折礙恢雯剌E5攻擊廿折TC2F端扌弗可讎會(huì)臨.怖1F會(huì)活iTCPiSi能十頂當(dāng)前ffi豐稱P電址澈55遠(yuǎn)拄LP地址址陽(yáng)S3匕題滾霸計(jì)曜總iiH瀚60樁路層他謖數(shù)7RM層苗迎魁12

4、傳諭層協(xié)諛數(shù)2芻話慝協(xié)迎救11應(yīng)用.辰協(xié)識(shí)數(shù)37臼慕蹄媒計(jì)】p會(huì)話96.662TCP會(huì)話97.613ucptS1015s 1網(wǎng)4計(jì)TOP底齒扯送2,771,211TCP同忻爺認(rèn)眩送2,0T 丁錯(cuò)束連攝鈕3,576T曲悅肪送DB6口 D旳甘音眩更詢Efi回應(yīng)191:t EmoilM分祈數(shù)基5PTTP性接0P0P1J5 掛1B FTP高翅彌FTP上傳FIPT閂 HnpfSffiiltt數(shù)且HTTPiS 求HTTP謖萸97.121基本通訊情況分析發(fā)現(xiàn)的異常結(jié)果如下：TCP流異常TCP 同步發(fā)送為 2771211，而同步確認(rèn)發(fā)送為2090個(gè)，同步發(fā)送數(shù)量遠(yuǎn)高于同步確認(rèn)數(shù)量，明顯為 異常，需進(jìn)一步分析。

5、HTTP 應(yīng)用異常HTTP連接97121個(gè)，HTTP請(qǐng)求440個(gè)，也就是說(shuō)絕大多數(shù)的HTTP連接中沒(méi)有任何HTTP請(qǐng)求， 明顯異常。分析結(jié)論：tcp同步發(fā)送和同步確認(rèn)數(shù)量明顯異常，http連接數(shù)量遠(yuǎn)遠(yuǎn)大于http請(qǐng)求數(shù)量，這些異常 很可能是由于攻擊造成的。針對(duì)Web服務(wù)器訪問(wèn)流量進(jìn)行分析利用科來(lái)網(wǎng)絡(luò)分析系統(tǒng)的端點(diǎn)分析視圖和節(jié)點(diǎn)瀏覽器，針對(duì)性的對(duì)web服務(wù)器主機(jī)流量進(jìn)行分析，確 認(rèn)其沒(méi)有響應(yīng)的原因。92JZ05EI山珂/麻両Ti莎誦莎麗堆史林対萌I辰血碑擊井址I出讒丄吒應(yīng)曲麗抽掃苗 冋疑廿謝甫fi冶話孔p孟障|uj92JZ05EI山珂/麻両Ti莎誦莎麗堆史林対萌I辰血碑擊井址I出讒丄吒應(yīng)曲麗抽掃

6、苗 冋疑廿謝甫fi冶話孔p孟障|uj盂話jWnOFTlWI1= Mm3 IPfc | 叫1吱-展.恨 電qu.m.幻weKIOE IWWH,4丹烷曲kbiMA逹啊邑IOBjHF0IdWtdDSL1.M5爐臺(tái)怔Tbg逐T卯廳趕JSTCP同歩碼J.J 忸I(lǐng) 1 SO?r |麻制BI TVE-h?n腳屢夕W.W?4,K*.572.7WMB嘻咯毘l肛L.4：l6hbpil脈4 3fl?kbpsLZJ?kbps. I-1 Ii.滋L帕1.WSWeb 服務(wù)器從上面圖上可以看出，web服務(wù)器只有接收的數(shù)據(jù)包，沒(méi)有發(fā)送數(shù)據(jù)包，ip會(huì)話和tcp會(huì)話數(shù)量非常 大，同時(shí)全都是 tcp 同步接收。每秒數(shù)據(jù)包數(shù)近200

7、0PPS,占整個(gè)網(wǎng)絡(luò)中數(shù)據(jù)包數(shù)的絕大多數(shù)。同時(shí)每秒接收流量達(dá)到992Kbps, 占據(jù)的 99%的出口接收流量，是造成網(wǎng)絡(luò)擁塞的主要原因。跆旳曰R厚崑再 2畫(huà)底劃,.跆旳曰R厚崑再 2畫(huà)底劃,.號(hào)HKcnnx卜 najiia J3.I.IE.IHJ?：ri24ftW53S3I.JSmHK.DmWEJSUBAGLM:i z- ： I-, i ：1IIT注理LittH加dd.ilGJifiH.Eii 由低|-S7U23I3S4:-KuWMWc：IP：IM?5AHJNZHIS.2I5：I5I9|MffiirihDmJEonmjBniLi-iE3h帰屜EH護(hù)1CKK皿伽 4 93UC.U&.ddE.il

8、MC|97UZMI3K:-bHe-期.咸;IS&記:l婭flmMj?Mflftr*SIWWJ!anjMJMrMLrEXE, 口REHRVKra：rixl曙就：. I ：. IL.I：I.I 叮.II?T.ij!:kuLkr: 1:口的 |冉!爭(zhēng) AQl L1 弓 b Eia itf-M b i me eixit ：Ec:d ：|4j/jiH li iRE. I VJjipr: 1:g iM3h1n .0. = C47JF1I 0f.3&0 S jEf!,. | Iu-E4. Eh :CiCMELdiM 1 ：-八-G-.H7/J |0曲斷 1.3 .lilF/二 | daflTS 常止 Z .

9、 IM ?( 4m 1. ./HT/jj QieCIJ.qplTQ IVjilOw 11 : UlMrd皿心：| :LF,. g.EU3EAJ.:正 Hi iwh3fc土卩護(hù)3fc土卩護(hù)IE阻理&聲陝衣| H|U#fl jra=*B蝕胃坯艸婭9D,Db：30,403,4解碼分析通過(guò)對(duì)web服務(wù)器的流量進(jìn)行解碼分析，發(fā)現(xiàn)大量的internet主機(jī)向其發(fā)送http連接請(qǐng)求數(shù)據(jù)包，但 服務(wù)器已經(jīng)完全沒(méi)有響應(yīng)，這是明顯的 DoS 攻擊行為特征。/謝IBB 1豆Tm細(xì) 363踰解関K擊另折 麗矗堀律jjiff 冋D祐oa由皺尸圏flMfaxS收蠱岡 W口匪可H!i矽折jttfll合運(yùn) 何鬲TCF合誦4*適勺在DoS攻擊分析中也明確發(fā)現(xiàn)該主機(jī)收到了 DoS攻擊。1.4. 分析結(jié)論Web 服務(wù)器接收到大量來(lái)自互聯(lián)網(wǎng)的 HTTP 連接請(qǐng)求，每秒鐘的請(qǐng)求數(shù)量達(dá)到 2000 多個(gè)，而服務(wù)器 沒(méi)有響應(yīng)，可能是無(wú)法承受大量的連接請(qǐng)求所致，這些大量的請(qǐng)求數(shù)