设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [21176] 2020-08-04_DOS攻击与网络溯源技术
返回列表 发新帖
查看: 0|回复: 0

[21176] 2020-08-04_DOS攻击与网络溯源技术

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-08-04_DOS攻击与网络溯源技术 D O S 攻 击 与 网 络 溯 源 技 术 L e m o n S e c   2 0 2 0 - 0 8 - 0 4 1 . D o S 攻 击 D o S 攻 击 ( D e n i a l   o f   S e r v i c e , 拒 绝 服 务 攻 击 ) 通 过 消 耗 计 算 机 的 某 种 资 源 , 例 如 计 算 资 源 、 网 络 连 接 等 , 造 成 资 源 耗 尽 , 导 致 服 务 端 无 法 为 合 法 用 户 提 供 服 务 或 只 能 提 供 降 级 服 务 。 在 S D N 网 络 的 集 中 式 架 构 中 , 控 制 器 是 天 然 的 网 络 中 心 , 负 责 整 个 网 络 的 管 理 和 控 制 工 作 , 很 容 易 成 为 D o S 攻 击 的 目 标 。 1 . 1   S D N   网 络 下 的   D o S   攻 击 在 O p e n F l o w 网 络 架 构 中 , 控 制 器 是 网 络 的 核 心 , 承 担 了 整 个 网 络 的 控 制 管 理 工 作 ; 控 制 器 需 要 对 整 个 网 络 进 行 不 同 粒 度 的 管 理 , 网 络 本 身 的 数 据 传 输 需 求 会 对 控 制 层 面 造 成 不 小 的 压 力 ; 尤 其 当 存 在 恶 意 攻 击 时 , 控 制 层 面 甚 至 可 能 无 法 对 合 法 用 户 的 请 求 做 出 响 应 , 形 成 D o S 攻 击 。 虽 然 目 前 已 有 流 表 合 并 技 术 等 研 究 方 向 能 够 缓 解 转 发 规 则 过 细 带 来 的 压 力 , 但 是 恶 意 攻 击 者 只 需 修 改 数 据 包 头 部 , 增 加 流 表 合 并 难 度 , 仍 会 对 整 个 网 络 造 成 严 重 影 响 。 1 . 2   饱 和 攻 击 在 众 多 D o S 攻 击 中 , 有 一 种 攻 击 为 S D N 网 络 所 特 有 ; S e u n g w o n   S h i n 将 其 命 名 为 数 据 层 到 控 制 层 的 饱 和 攻 击 , 简 称 为 饱 和 攻 击 。 该 攻 击 的 理 论 依 据 及 造 成 的 危 害 具 体 如 下 。 当 新 的 流 请 求 到 达 O p e n F l o w 交 换 机 后 , 交 换 机 会 将 该 数 据 流 的 第 一 个 报 文 信 息 与 交 换 机 内 部 的 转 发 规 则 进 行 匹 配 。 当 所 有 的 流 表 都 不 存 在 与 该 数 据 流 相 匹 配 的 转 发 规 则 且 交 换 机 设 置 为 r e a c t i v e 模 式 时 , 数 据 包 会 被 交 换 机 封 装 到 P a c k e t - I n 消 息 中 , 并 上 发 给 控 制 器 ; 由 控 制 器 进 行 路 由 计 算 并 通 过 P a c k e t _ O u t 消 息 向 交 换 机 下 发 新 的 转 发 规 则 。 当 攻 击 者 同 时 通 过 不 同 的 交 换 机 , 持 续 地 向 网 络 中 发 送 大 量 交 换 机 无 法 匹 配 的 数 据 流 , 会 造 成 控 制 器 与 交 换 机 同 时 忙 于 处 理 攻 击 者 发 送 的 非 法 数 据 流 , 造 成 无 法 满 足 正 常 用 户 的 合 法 请 求 , 从 而 导 致 D o S 攻 击 。 S e u n g w o n   S h i n 提 出 , 在 这 种 机 制 下 , 会 产 生 两 种 攻 击 效 果 ; 首 先 是 由 于 同 时 请 求 的 报 文 过 多 , 大 量 消 耗 控 制 器 资 源 , 导 致 正 常 数 据 流 的 请 求 无 法 得 到 服 务 或 者 服 务 受 到 影 响 ; 其 次 , 由 于 攻 击 者 伪 造 了 大 量 的 数 据 流 , 控 制 器 会 向 转 发 层 面 的 交 换 机 发 送 大 量 无 用 的 转 发 规 则 , 导 致 交 换 机 无 法 存 储 正 常 数 据 流 的 流 表 信 息 。 除 此 之 外 , 大 量 报 文 会 占 用 连 接 控 制 器 的 链 路 , 进 一 步 令 正 常 服 务 请 求 难 以 得 到 响 应 。 此 攻 击 利 用 了 S D N 网 络 的 集 中 式 架 构 , 实 施 难 度 小 , 攻 击 者 只 要 产 生 大 量 无 法 匹 配 流 表 的 报 文 , 就 能 达 到 同 时 消 耗 控 制 层 面 资 源 与 数 据 层 面 资 源 的 目 的 。 上 述 方 案 常 见 的 具 体 实 施 方 法 有 两 种 , 一 是 利 用 A R P 协 议 , 由 于 O p e n F l o w 交 换 机 只 具 有 简 单 的 转 发 功 能 , 交 换 机 在 收 到 A R P 请 求 后 , 会 向 控 制 器 转 发 询 问 , 攻 击 者 可 以 向 交 换 机 发 送 大 量 伪 造 的 A R P 请 求 实 现 对 控 制 器 的 攻 击 。 另 一 种 是 利 用 I C M P 报 文 , 当 攻 击 者 不 断 修 改 自 身 I P 地 址 , 并 向 网 络 发 送 大 量 I C M P 报 文 , 会 形 成 大 量 新 的 数 据 流 , 导 致 交 换 机 不 断 向 控 制 器 发 送 报 文 , 形 成 D o S 攻 击 。 以 上 两 种 方 式 属 于 利 用 O p e n F l o w 协 议 的 特 点 对 S D N 网 络 实 施 攻 击 的 范 例 。 1 . 3 常 见 D o S 攻 击 检 测 方 案 主 要 包 括 异 常 流 量 检 测 异 常 流 量 检 测 与 数 据 分 析 检 测 数 据 分 析 检 测 。 异 常 流 量 检 测 是 最 常 见 的 一 类 攻 击 检 测 方 式 。 针 对 D o S 攻 击 的 异 常 流 量 检 测 方 案 可 以 分 为 两 类 : 基 于 特 征 信 息 的 检 测 和 基 于 异 常 行 为 的 检 测 。 基 于 特 征 信 息 的 检 测 基 于 特 征 信 息 的 检 测 : 通 过 检 测 数 据 流 量 的 特 征 , 将 其 特 征 与 预 先 定 义 的 攻 击 类 型 的 特 征 进 行 比 对 , 当 数 据 流 量 的 特 征 与 预 先 定 义 的 攻 击 特 征 相 匹 配 , 则 判 断 网 络 中 发 生 了 该 攻 击 。 基 于 异 常 行 为 的 检 测 基 于 异 常 行 为 的 检 测 : 预 先 设 置 网 络 中 正 常 参 数 的 阈 值 范 围 , 通 过 分 析 网 络 中 相 关 参 数 的 数 值 并 将 其 与 阈 值 进 行 比 较 , 当 网 络 中 参 数 不 在 正 常 范 围 内 时 , 则 判 定 网 络 出 现 攻 击 。 除 了 异 常 流 量 检 测 法 外 , 目 前 常 见 的 D o S 攻 击 检 测 方 案 还 有 数 据 分 析 检 测 数 据 分 析 检 测 , 通 过 对 流 量 数 据 所 含 有 的 信 息 , 包 含 空 间 信 息 、 时 间 信 息 和 技 术 指 标 信 息 构 成 三 个 维 度 来 对 数 据 流 进 行 分 析 。 针 对 不 同 种 类 的 D o S 攻 击 , 下 表 列 出 了 一 些 常 见 D o S 攻 击 方 式 及 其 数 据 分 析 的 检 测 指 标 。
2 . D D O S 攻 击 方 式 2 . 1   S Y N   F l o o d 攻 击 S Y N -   F l o o d 攻 击 是 当 前 网 络 上 最 为 常 见 的 D D o S 攻 击 ， 也 是 最 为 经 典 的 拒 绝 服 务 攻 击 ， 它 利 用 了 T C P 协 议 实 现 上 的 一 个 缺 陷 ， 通 过 向 网 络 服 务 所 在 端 口 发 送 大 量 的 伪 造 源 地 址 的 攻 击 报 文 ， 就 可 能 造 成 目 标 服 务 器 中 的 半 开 连 接 队 列 被 占 满 ， 从 而 阻 止 其 他 合 法 用 户 进 行 访 问 。 这 种 攻 击 早 在 1 9 9 6 年 就 被 发 现 ， 但 至 今 仍 然 显 示 出 强 大 的 生 命 力 。 很 多 操 作 系 统 ， 甚 至 防 火 墙 、 路 由 器 都 无 法 有 效 地 防 御 这 种 攻 击 ， 而 且 由 于 它 可 以 方 便 地 伪 造 源 地 址 ， 追 查 起 来 非 常 困 难 。 它 的 数 据 包 特 征 通 常 是 ， 源 发 送 了 大 量 的 S Y N 包 ， 并 且 缺 少 三 次 握 手 的 最 后 一 步 握 手 A C K 回 复 。 2 . 1 . 1   原 理 例 如 ， 攻 击 者 首 先 伪 造 地 址 对 服 务 器 发 起 S Y N 请 求 （ 我 可 以 建 立 连 接 吗 ？ ） ， 服 务 器 就 会 回 应 一 个 A C K + S Y N （ 可 以 + 请 确 认 ） 。 而 真 实 的 I P 会 认 为 ， 我 没 有 发 送 请 求 ， 不 作 回 应 。 服 务 器 没 有 收 到 回 应 ， 会 重 试 3 - 5 次 并 且 等 待 一 个 S Y N   T i m e （ 一 般 3 0 秒 - 2 分 钟 ） 后 ， 丢 弃 这 个 连 接 。 如 果 攻 击 者 大 量 发 送 这 种 伪 造 源 地 址 的   S Y N 请 求 ， 服 务 器 端 将 会 消 耗 非 常 多 的 资 源 来 处 理 这 种 半 连 接 ， 保 存 遍 历 会 消 耗 非 常 多 的 C P U 时 间 和 内 存 ， 何 况 还 要 不 断 对 这 个 列 表 中 的 I P 进 行   S Y N + A C K 的 重 试 。 最 后 的 结 果 是 服 务 器 无 暇 理 睬 正 常 的 连 接 请 求 — 拒 绝 服 务 。 在 服 务 器 上 用 n e t s t a t   – a n 命 令 查 看 S Y N _ R E C V 状 态 的 话 ， 就 可 以 看 到 ：  
可 以 看 到 大 量 的 S Y N 包 没 有 A C K 回 应 。 2 . 1 . 2   S Y N   F l o o d 防 护 目   前 市 面 上 有 些 防 火 墙 具 有 S Y N   P r o x y 功 能 ， 这 种 方 法 一 般 是 定 每 秒 通 过 指 定 对 象 （ 目 标 地 址 和 端 口 、 仅 目 标 地 址 或 仅 源 地 址 ） 的 S Y N 片 段 数 的 阀 值 ， 当 来 自 相 同 源 地 址 或 发 往 相 同 目 标 地 址 的 S Y N 片 段 数 达 到 这 些 阀 值 之 一 时 ， 防 火 墙 就 开 始 截 取 连 接 请 求 和 代 理 回 复 S Y N / A C K 片 段 ， 并 将 不 完 全 的 连 接 请 求 存 储 到 连 接 队 列 中 直 到 连 接 完 成 或 请 求 超 时 。 当 防 火 墙 中 代 理 连 接 的 队 列 被 填 满 时 ， 防 火 墙 拒 绝 来 自 相 同 安 全 区 域 （ z o n e ） 中 所 有 地 址 的 新 S Y N 片 段 ， 避 免 网 络 主 机 遭 受 不 完 整 的 三 次 握 手 的 攻 击 。 但 是 ， 这 种 方 法 在 攻 击 流 量 较 大 的 时 候 ， 连 接 出 现 较 大 的 延 迟 ， 网 络 的 负 载 较 高 ， 很 多 情 况 下 反 而 成 为 整 个 网 络 的 瓶 颈 ； R a n d o m   D r o p ： 随 机 丢 包 的 方 式 虽 然 可 以 减 轻 服 务 器 的 负 载 ， 但 是 正 常 连 接 的 成 功 率 也 会 降 低 很 多 ； 特 征 匹 配 ： I P S 上 会 常 用 的 手 段 ， 在 攻 击 发 生 的 当 时 统 计 攻 击 报 文 的 特 征 ， 定 义 特 征 库 ， 例 如 过 滤 不 带 T C P   O p t i o n s   的 s y n   包 等 ； 早   期 攻 击 工 具 （ 例 如 s y n k i l l e r ， x d o s ， h g o d 等 ） 通 常 是 发 送 6 4 字 节 的 T C P   S Y N 报 文 ， 而 主 机 操 作 系 统 在 发 起 T C P 连 接 请 求 时 发 送 S Y N   报 文 是 大 于 6 4 字 节 的 。 因 此 可 以 在 关 键 节 点 上 设 置 策 略 过 滤 6 4 字 节 的 T C P   S Y N 报 文 ， 某 些 宣 传 具 有 防 护 S Y N F l o o d 攻 击 的 产 品 就 是 这 么 做 的 。 随 着 工 具 的 改 进 ， 发 出 的 T C P   S Y N   报 文 完 全 模 拟 常 见 的 通 用 操 作 系 统 ， 并 且 I P 头 和 T C P 头 的 字 段 完 全 随 机 ， 这 时 就 无 法 在 设 备 上 根 据 特 定 的 规 则 来 过 滤 攻 击 报 文 。 这 时 就 需 要 根 据 经 验 判 断 I P   包 头 里 T T L 值 不 合 理 的 数 据 包 并 阻 断 ， 但 这 种 手 工 的 方 法 成 本 高 、 效 率 低 。 图 是 某 攻 击 工 具 属 性 设 置 。  
S Y N   C o o k i e ： 就 是 给 每 一 个 请 求 连 接 的 I P 地 址 分 配 一 个 C o o k i e ， 如 果 短 时 间 内 连 续 受 到 某 个 I P 的 重 复 S Y N 报 文 ， 就 认 定 是 受 到 了 攻 击 ， 以 后 从 这 个   I P 地 址 来 的 包 会 被 丢 弃 。 但 S Y N   C o o k i e 依 赖 于 对 方 使 用 真 实 的 I P 地 址 ， 如 果 攻 击 者 利 用 S O C K _ R A W 随 机 改 写 I P 报 文 中 的 源 地 址 ， 这 个 方 法 就 没 效 果 了 。 2 . 1 . 3   商 业 产 品 的 防 护 算 法 s y n   c o o k i e / s y n   p r o x y 类 防 护 算 法 ： 这 种 算 法 对 所 有 的 s y n 包 均 主 动 回 应 ， 探 测 发 起 s y n 包 的 源 I P 地 址 是 否 真 实 存 在 ； 如 果 该 I P 地 址 真 实 存 在 ， 则 该 I P 会 回 应 防 护 设 备 的 探 测 包 ， 从 而 建 立 T C P 连 接 ； 大 多 数 的 国 内 外 抗 拒 绝 服 务 产 品 采 用 此 类 算 法 。 s a f e r e s e t 算 法 ： 此 算 法 对 所 有 的 s y n 包 均 主 动 回 应 ， 探 测 包 特 意 构 造 错 误 的 字 段 ， 真 实 存 在 的 I P 地 址 会 发 送 r s t 包 给 防 护 设 备 ， 然 后 发 起 第 2 次 连 接 ， 从 而 建 立 T C P 连 接 ； 部 分 国 外 产 品 采 用 了 这 样 的 防 护 算 法 。 s y n 重 传 算 法 ： 该 算 法 利 用 了 T C P / I P 协 议 的 重 传 特 性 ， 来 自 某 个 源 I P 的 第 一 个 s y n 包 到 达 时 被 直 接 丢 弃 并 记 录 状 态 ， 在 该 源 I P 的 第 2 个 s y n 包 到 达 时 进 行 验 证 ， 然 后 放 行 。 综 合 防 护 算 法 ： 结 合 了 以 上 算 法 的 优 点 ， 并 引 入 了 I P 信 誉 机 制 。 当 来 自 某 个 源 I P 的 第 一 个 s y n 包 到 达 时 ， 如 果 该 I P 的 信 誉 值 较 高 ， 则 采 用 s y n c o o k i e   算 法 ； 而 对 于 信 誉 值 较 低 的 源 I P ， 则 基 于 协 议 栈 行 为 模 式 ， 如 果 s y n 包 得 到 验 证 ， 则 对 该 连 接 进 入 s y n c o o k i e 校 验 ， 一 旦 该 I P 的 连 接 得 到 验 证 则 提 高 其 信 誉 值 。 有 些 设 备 还 采 用 了 表 结 构 来 存 放 协 议 栈 行 为 模 式 特 征 值 ， 大 大 减 少 了 存 储 量 。 2 . 2   A C K   F l o o d 攻 击 2 . 2 . 1   原 理 A C K   F l o o d 攻 击 是 在 T C P 连 接 建 立 之 后 ， 所 有 的 数 据 传 输 T C P 报 文 都 是 带 有 A C K 标 志 位 的 ， 主 机 在 接 收 到 一 个 带 有 A C K 标 志 位 的 数 据 包 的 时 候 ， 需 要 检 查 该 数 据 包 所 表 示 的 连 接 四 元 组 是 否 存 在 ， 如 果 存 在 则 检 查 该 数 据 包 所 表 示 的 状 态 是 否 合 法 ， 然 后 再 向 应 用 层 传 递 该 数 据 包 。 如 果 在 检 查 中 发 现 该 数 据 包 不 合 法 ， 例 如 该 数 据 包 所 指 向 的 目 的 端 口 在 本 机 并 未 开 放 ， 则 主 机 操 作 系 统 协 议 栈 会 回 应 R S T 包 告 诉 对 方 此 端 口 不 存 在 。 这 里 ， 服 务 器 要 做 两 个 动 作 ： 查 表 、 回 应   A C K / R S T 。 这 种 攻 击 方 式 显 然 没 有 S Y N   F l o o d 给 服 务 器 带 来 的 冲 击 大 ， 因 此 攻 击 者 一 定 要 用 大 流 量 A C K 小 包 冲 击 才 会 对 服 务 器 造 成 影 响 。 按 照 我 们 对 T C P 协 议 的 理 解 ， 随 机 源 I P 的 A C K 小 包 应 该 会 被 S e r v e r 很 快 丢 弃 ， 因 为 在 服 务 器 的 T C P 堆 栈 中 没 有 这 些 A C K 包 的 状 态 信 息 。 但 是 实 际 上 通 过 测 试 ， 发 现 有 一 些 T C P 服 务 会 对 A C K F l o o d 比 较 敏 感 ， 比 如 说 J S P   S e r v e r ， 在 数 量 并 不 多 的 A C K 小 包 的 打 击 下 ， J S P   S e r v e r 就 很 难 处 理 正 常 的 连 接 请 求 。 对 于 A p a c h e 或 者 I I S 来 说 ， 1 0 k p p s 的 A C K   F l o o d 不 构 成 危 胁 ， 但 是 更 高 数 量 的 A C K   F l o o d 会 造 成 服 务 器 网 卡 中 断 频 率 过 高 ， 负 载 过 重 而 停 止 响 应 。 可 以 肯 定 的 是 ， A C K   F l o o d 不 但 可 以 危 害 路 由 器 等 网 络 设 备 ， 而 且 对 服 务 器 上 的 应 用 有 不 小 的 影 响 。 抓 包 ：  
如 果 没 有 开 放 端 口 ， 服 务 器 将 直 接 丢 弃 ， 这 将 会 耗 费 服 务 器 的 C P U 资 源 。 如 果 端 口 开 放 ， 服 务 器 回 应 R S T 。 2 . 2 . 2   A C K   F l o o d 防 护 利 用 对 称 性 判 断 来 分 析 出 是 否 有 攻 击 存 在 。 所 谓 对 称 型 判 断 ， 就 是 收 包 异 常 大 于 发 包 ， 因 为 攻 击 者 通 常 会 采 用 大 量 A C K 包 ， 并 且 为 了 提 高 攻 击 速 度 ， 一 般 采 用 内 容 基 本 一 致 的 小 包 发 送 。 这 可 以 作 为 判 断 是 否 发 生 A C K   F l o o d 的 依 据 ， 但 是 目 前 已 知 情 况 来 看 ， 很 少 有 单 纯 使 用 A C K   F l o o d 攻 击 ， 都 会 和 其 他 攻 击 方 法 混 合 使 用 ， 因 此 ， 很 容 易 产 生 误 判 。 一   些 防 火 墙 应 对 的 方 法 是 ： 建 立 一 个 h a s h 表 ， 用 来 存 放 T C P 连 接 “ 状 态 ” ， 相 对 于 主 机 的 T C P   s t a c k 实 现 来 说 ， 状 态 检 查 的 过 程 相 对 简 化 。 例 如 ， 不 作 s e q u e n c e   n u m b e r 的 检 查 ， 不 作 包 乱 序 的 处 理 ， 只 是 统 计 一 定 时 间 内 是 否 有 A C K 包 在 该 “ 连 接 ” ( 即 四 元 组 ) 上 通 过 ， 从 而 “ 大 致 ” 确 定 该 “ 连 接 ” 是 否 是 “ 活 动 的   ” 。 2 . 3   U D P   F l o o d 攻 击 2 . 3 . 1   原 理 U D P   F l o o d 是 日 渐 猖 厥 的 流 量 型 D o S 攻 击 ， 原 理 也 很 简 单 。 常 见 的 情 况 是 利 用 大 量 U D P 小 包 冲 击 D N S 服 务 器 或 R a d i u s 认 证 服 务 器 、 流 媒 体 视 频 服 务 器 。 1 0 0 k   p p s 的 U D P   F l o o d 经 常 将 线 路 上 的 骨 干 设 备 例 如 防 火 墙 打 瘫 ， 造 成 整 个 网 段 的 瘫 痪 。 由 于 U D P 协 议 是 一 种 无 连 接 的 服 务 ， 在 U D P   F L O O D 攻 击 中 ， 攻 击 者 可 发 送 大 量 伪 造 源 I P 地 址 的 小 U D P 包 。 但 是 ， 由 于 U D P 协 议 是 无 连 接 性 的 ， 所 以 只 要 开 了 一 个 U D P 的 端 口 提 供 相 关 服 务 的 话 ， 那 么 就 可 针 对 相 关 的 服 务 进 行 攻 击 。 正 常 应 用 情 况 下 ， U D P 包 双 向 流 量 会 基 本 相 等 ， 而 且 大 小 和 内 容 都 是 随 机 的 ， 变 化 很 大 。 出 现 U D P   F l o o d 的 情 况 下 ， 针 对 同 一 目 标 I P 的 U D P 包 在 一 侧 大 量 出 现 ， 并 且 内 容 和 大 小 都 比 较 固 定 。 攻 击 工 具 ： 5 3 端 口 的 U D P   F l o o d 攻 击 抓 图 ：
U D P   F l o o d 大 包 攻 击 （ 占 带 宽 ， 分 片 ） ： 2 . 3 . 2   U D P   F l o o d 防 护 U D P 协 议 与 T C P   协 议 不 同 ， 是 无 连 接 状 态 的 协 议 ， 并 且 U D P 应 用 协 议 五 花 八 门 ， 差 异 极 大 ， 因 此 针 对 U D P   F l o o d 的 防 护 非 常 困 难 。 其 防 护 要 根 据 具 体 情 况 对 待 ： 判 断 包 大 小 ， 如 果 是 大 包 攻 击 则 使 用 防 止 U D P 碎 片 方 法 ： 根 据 攻 击 包 大 小 设 定 包 碎 片 重 组 大 小 ， 通 常 不 小 于 1 5 0 0 。 在 极 端 情 况 下 ， 可 以 考 虑 丢 弃 所 有 U D P 碎 片 。 攻 击 端 口 为 业 务 端 口 ： 根 据 该 业 务 U D P 最 大 包 长 设 置 U D P 最 大 包 大 小 以 过 滤 异 常 流 量 。 攻 击 端 口 为 非 业 务 端 口 ： 一 个 是 丢 弃 所 有 U D P 包 ， 可 能 会 误 伤 正 常 业 务 ； 一 个 是 建 立 U D P 连 接 规 则 ， 要 求 所 有 去 往 该 端 口 的 U D P 包 ， 必 须 首 先 与 T C P 端 口 建 立 T C P 连 接 。 不 过 这 种 方 法 需 要 很 专 业 的 防 火 墙 或 其 他 防 护 设 备 支 持 。 2 . 4   I C M P   F l o o d 攻 击 2 . 4 . 1   原 理 I C M P   F l o o d   的 攻 击 原 理 和 A C K   F l o o d 原 理 类 似 ， 属 于 流 量 型 的 攻 击 方 式 ， 也 是 利 用 大 的 流 量 给 服 务 器 带 来 较 大 的 负 载 ， 影 响 服 务 器 的 正 常 服 务 。 由 于 目 前 很 多 防 火 墙 直 接 过 滤 I C M P 报 文 ， 因 此 I C M P   F l o o d 出 现 的 频 度 较 低 。 比 较 下 面 两 幅 图 ， 就 应 该 可 以 看 出 是 否 有 I C M P   F l o o d 攻 击 。  
  2 . 4 . 2   I C M P   F l o o d 防 护 其 防 御 也 很 简 单 ， 直 接 过 滤 I C M P 报 文 。 这 里 就 不 做 详 细 说 明 。 2 . 5   C o n n e c t i o n   F l o o d 攻 击 2 . 5 . 1   原 理 C o n n e c t i o n   F l o o d 是 典 型 的 并 且 非 常 的 有 效 的 利 用 小 流 量 冲 击 大 带 宽 网 络 服 务 的 攻 击 方 式 ， 这 种 攻 击 方 式 目 前 已 经 越 来 越 猖 獗 。 这 种 攻 击 的 原 理 是 利 用 真 实 的 I P 地 址 向 服 务 器 发 起 大 量 的 连 接 ， 并 且 建 立 连 接 之 后 很 长 时 间 不 释 放 ， 占 用 服 务 器 的 资 源 ， 造 成 服 务 器 服 务 器 上 残 余 连 接 ( W A I T 状 态 ) 过 多 ， 效 率 降 低 ， 甚 至 资 源 耗 尽 ， 无 法 响 应 其 他 客 户 所 发 起 的 连 接 。 其 中 一 种 攻 击 方 法 是 每 秒 钟 向 服 务 器 发 起 大 量 的 连 接 请 求 ， 这 类 似 于 固 定 源 I P 的 S Y N   F l o o d 攻 击 ， 不 同 的 是 采 用 了 真 实 的 源 I P 地 址 。 通 常 这 可 以 在 防 火 墙 上 限 制 每 个 源 I P 地 址 每 秒 钟 的 连 接 数 来 达 到 防 护 目 的 。 但 现 在 已 有 工 具 采 用 慢 速 连 接 的 方 式 ， 也 即 几 秒 钟 才 和 服 务 器 建 立 一 个 连 接 ， 连 接 建 立 成 功 之 后 并 不 释 放 并 定 时 发 送 垃 圾 数 据 包 给 服 务 器 使 连 接 得 以 长 时 间 保 持 。 这 样 一 个 I P 地 址 就 可 以 和 服 务 器 建 立 成 百 上 千 的 连 接 ， 而 服 务 器 可 以 承 受 的 连 接 数 是 有 限 的 ， 这 就 达 到 了 拒 绝 服 务 的 效 果 。 另 外 ， 蠕 虫 大 规 模 爆 发 的 时 候 ， 由 于 蠕 虫 代 码 则 比 较 简 单 ， 传 播 过 程 中 会 出 现 大 量 源 I P 地 址 相 同 的 包 ， 对 于   T C P   蠕 虫 则 表 现 为 大 范 围 扫 描 行 为 。 这 是 在 判 断 C o n n e c t i o n   F l o o d 时 需 要 注 意 的 。 在 受 攻 击 的 服 务 器 上 使 用 n e t s t a t   – a n 来 看 ： 存 在 大 量 连 接 状 态 ， 来 自 少 数 的 几 个 源 。 如 果 统 计 的 话 ， 可 以 看 到 连 接 数 对 比 平 时 出 现 异 常 。 并 且 增 长 到 某 一 值 之 后 开 始 波 动 ， 说 明 此 时 可 能 已 经 接 近 性 能 极 限 。 因 此 ， 对 这 种 攻 击 的 判 断 ： 在 流 量 上 体 现 并 不 大 ， 甚 至 可 能 会 很 小 ； 大 量 的 E S T A B L I S H 状 态 ； 新 建 的 E S T A B L I S H 状 态 总 数 有 波 动 。 2 . 5 . 2   C o n n e c t i o n   F l o o d 防 护 主 动 清 除 残 余 连 接 。 对 恶 意 连 接 的 I P 进 行 封 禁 。 限 制 每 个 源 I P 的 连 接 数 。 可 以 对 特 定 的 U R L 进 行 防 护 。 反 查 P r o x y 后 面 发 起 H T T P   G e t   F l o o d 的 源 。
2 . 6   H T T P   G e t 攻 击 2 . 6 . 1   原 理 这 种 攻 击 主 要 是 针 对 存 在 A S P 、 J S P 、 P H P 、 C G I 等 脚 本 程 序 ， 并 调 用 M S S Q L S e r v e r 、 M y S Q L S e r v e r 、 O r a c l e 等 数 据 库 的 网 站 系 统 而 设 计 的 ， 特 征 是 和 服 务 器 建 立 正 常 的 T C P 连 接 ， 并 不 断 的 向 脚 本 程 序 提 交 查 询 、 列 表 等 大 量 耗 费 数 据 库 资 源 的 调 用 ， 典 型 的 以 小 博 大 的 攻 击 方 法 。 一 般 来 说 ， 提 交 一 个 G E T 或 P O S T 指 令 对 客 户 端 的 耗 费 和 带 宽 的 占 用 是 几 乎 可 以 忽 略 的 ， 而 服 务 器 为 处 理 此 请 求 却 可 能 要 从 上 万 条 记 录 中 去 查 出 某 个 记 录 ， 这 种 处 理 过 程 对 资 源 的 耗 费 是 很 大 的 ， 常 见 的 数 据 库 服 务 器 很 少 能 支 持 数 百 个 查 询 指 令 同 时 执 行 ， 而 这 对 于 客 户 端 来 说 却 是 轻 而 易 举 的 ， 因 此 攻 击 者 只 需 通 过 P r o x y 代 理 向 主 机 服 务 器 大 量 递 交 查 询 指 令 ， 只 需 数 分 钟 就 会 把 服 务 器 资 源 消 耗 掉 而 导 致 拒 绝 服 务 ， 常 见 的 现 象 就 是 网 站 慢 如 蜗 牛 、 A S P 程 序 失 效 、 P H P 连 接 数 据 库 失 败 、 数 据 库 主 程 序 占 用 C P U 偏 高 。 这 种 攻 击 的 特 点 是 可 以 完 全 绕 过 普 通 的 防 火 墙 防 护 ， 轻 松 找 一 些 P r o x y 代 理 就 可 实 施 攻 击 ， 缺 点 是 对 付 只 有 静 态 页 面 的 网 站 效 果 会 大 打 折 扣 ， 并 且 有 些 P r o x y 会 暴 露 攻 击 者 的 I P 地 址 。 攻 击 工 具 ： 在 遭 受 攻 击 的 服 务 器 上 抓 包 ， 大 量 不 同 I P 在 请 求 资 源 。 在 实 际 情 况 中 ， 也 有 可 能 使 用 代 理 地 址 连 接 。 2 . 6 . 2   H T T P   G e t 防 护 对 是 否 H T T P   G e t 的 判 断 ， 要 统 计 到 达 每 个 服 务 器 的 每 秒 钟 的 G E T   请 求 数 ， 如 果 远 远 超 过 正 常 值 ， 就 要 对 H T T P 协 议 解 码 ， 找 出 H T T P   G e t 及 其 参 数 （ 例 如 U R L 等 ） 。 然 后 判 断 某 个 G E T   请 求 是 来 自 代 理 服 务 器 还 是 恶 意 请 求 。 并 回 应 一 个 带 k e y 的 响 应 要 求 请 求 发 起 端 作 出 相 应 的 回 馈 。 如 果 发 起 端 并 不 响 应 则 说 明 是 利 用 工 具 发 起 的 请 求 ， 这 样 H T T P   G e t 请 求 就 无 法 到 达 服 务 器 ， 达 到 防 护 的 效 果 。 2 . 7   U D P   D N S   Q u e r y   F l o o d 攻 击 2 . 7 . 1   原 理 U D P   D N S   Q u e r y   F l o o d 攻 击 实 质 上 是 U D P   F l o o d 的 一 种 ， 但 是 由 于 D N S 服 务 器 的 不 可 替 代 的 关 键 作 用 ， 一 旦 服 务 器 瘫 痪 ， 影 响 一 般 都 很 大 。 U D P   D N S   Q u e r y   F l o o d 攻 击 采 用 的 方 法 是 向 被 攻 击 的 服 务 器 发 送 大 量 的 域 名 解 析 请 求 ， 通 常 请 求 解 析 的 域 名 是 随 机 生 成 或 者
是 网 络 世 界 上 根 本 不 存 在 的 域 名 ， 被 攻 击 的 D N S   服 务 器 在 接 收 到 域 名 解 析 请 求 的 时 候 首 先 会 在 服 务 器 上 查 找 是 否 有 对 应 的 缓 存 ， 如 果 查 找 不 到 并 且 该 域 名 无 法 直 接 由 服 务 器 解 析 的 时 候 ， D N S   服 务 器 会 向 其 上 层 D N S 服 务 器 递 归 查 询 域 名 信 息 。 域 名 解 析 的 过 程 给 服 务 器 带 来 了 很 大 的 负 载 ， 每 秒 钟 域 名 解 析 请 求 超 过 一 定 的 数 量 就 会 造 成 D N S 服 务 器 解 析 域 名 超 时 。 根 据 微 软 的 统 计 数 据 ， 一 台 D N S 服 务 器 所 能 承 受 的 动 态 域 名 查 询 的 上 限 是 每 秒 钟 9 0 0 0 个 请 求 。 而 我 们 知 道 ， 在 一 台 P 3 的 P C 机 上 可 以 轻 易 地 构 造 出 每 秒 钟 几 万 个 域 名 解 析 请 求 ， 足 以 使 一 台 硬 件 配 置 极 高 的 D N S 服 务 器 瘫 痪 ， 由 此 可 见 D N S   服 务 器 的 脆 弱 性 。 同 时 需 要 注 意 的 是 ， 蠕 虫 扩 散 也 会 带 来 大 量 的 域 名 解 析 请 求 。 2 . 7 . 2   U D P   D N S   Q u e r y   F l o o d 防 护 在 U D P   F l o o d 的 基 础 上 对   U D P   D N S   Q u e r y   F l o o d   攻 击 进 行 防 护 根 据 域 名   I P   自 学 习 结 果 主 动 回 应 ， 减 轻 服 务 器 负 载 （ 使 用   D N S   C a c h e ） 对 突 然 发 起 大 量 频 度 较 低 的 域 名 解 析 请 求 的 源   I P   地 址 进 行 带 宽 限 制   在 攻 击 发 生 时 降 低 很 少 发 起 域 名 解 析 请 求 的 源   I P   地 址 的 优 先 级 限 制 每 个 源   I P   地 址 每 秒 的 域 名 解 析 请 求 次 数   3 . 网 络 溯 源 技 术 网 络 安 全 不 能 仅 依 赖 于 防 护 , 还 应 该 聚 焦 于 检 测 与 响 应 , 其 中 进 行 网 络 攻 击 溯 源 是 一 种 有 效 的 响 应 方 式 。 进 行 网 络 溯 源 的 主 要 目 的 是 重 建 攻 击 路 径 , 这 样 网 络 管 理 员 就 能 够 识 别 攻 击 者 的 地 址 ; 从 而 进 行 追 责 , 最 终 形 成 威 慑 。 溯 源 技 术 通 常 被 分 为 两 大 类 : 主 动 溯 源 和 被 动 溯 源 主 动 溯 源 和 被 动 溯 源 。 其 中 , 主 动 溯 源 是 在 报 文 传 输 过 程 中 标 记 报 文 信 息 , 攻 击 一 旦 发 生 , 管 理 人 员 就 能 够 利 用 这 些 信 息 去 跟 踪 路 由 路 径 并 确 定 攻 击 源 。 被 动 溯 源 是 在 判 断 攻 击 发 生 之 后 才 开 始 采 取 措 施 , 使 用 工 具 分 析 流 量 情 况 等 信 息 进 行 溯 源 。 常 见 的 溯 源 方 案 常 见 的 溯 源 方 案 有 以 下 四 种 : 链 路 测 试 技 术 、 日 志 记 录 技 术 、 基 于 I C M P 的 报 文 技 术 和 概 率 包 标 记 技 术 。 链 路 测 试 技 术 链 路 测 试 技 术 是 逐 跳 地 对 路 由 器 进 行 测 试 以 重 建 攻 击 路 径 。 在 传 统 网 络 中 , 通 常 需 要 安 装 一 个 跟 踪 程 序 , 如 D o S   T r a c k e r , 到 靠 近 攻 击 者 的 路 由 器 中 , 监 视 传 入 的 数 据 包 , 找 到 攻 击 路 径 的 上 一 跳 , 重 复 该 过 程 , 逐 跳 回 溯 , 直 到 找 到 攻 击 源 。 日 志 记 录 技 术 日 志 记 录 技 术 是 在 中 转 设 备 上 存 储 途 经 它 的 报 文 信 息 , 在 需 要 处 理 时 , 使 用 大 数 据 分 析 技 术 对 海 量 数 据 进 行 分 析 , 来 达 到 寻 找 攻 击 源 的 目 的 。 基 于 基 于 I C M P 的 报 文 技 术 的 报 文 技 术 由 B e l l o v i n 提 出 ; 数 据 包 在 通 过 路 由 器 时 以 一 定 概 率 生 成 I C M P   t r a c e b a c k ( i T r a c e ) 消 息 ,   一 个 i T r a c e 消 息 由 下 一 跳 信 息 、 上 一 跳 信 息 以 及 一 个 时 间 戳 组 成 , 目 的 主 机 收 到 足 够 数 量 的 i T r a c e 消 息 后 , 能 构 造 出 消 息 的 转 发 路 径 。 概 率 包 标 记 技 术 概 率 包 标 记 技 术 使 用 I P 分 组 头 部 的 某 些 字 段 , 向 字 段 中 添 加 路 径 信 息 ; 这 种 方 法 与 I C M P 溯 源 法 类 似 , 受 害 者 收 到 足 够 的 分 组 后 重 构 攻 击 路 径 ; 该 方 法 相 对 于 基 于 I C M P 的 报 文 技 术 的 优 势 在 于 不 需 要 生 成 新 的 特 殊 报 文 。   4 . 溯 源 对 网 络 安 全 的 意 义 C h r i s   S a n d e r s   指 出 “ 预 防 终 将 失 败 ” , 网 络 安 全 应 该 聚 焦 到 检 测 和 响 应 上   。 网 络 溯 源 是 一 种 有 效 的 对 网 络 攻 击 的 响 应 方 式 。 对 网 络 攻 击 的 响 应 按 照 响 应 时 间 可 以 分 为 两 类 , 一 是 检 测 到 攻 击 后 立 即 作 出 响 应 , 如 启 动 防 护 方 案 、 迁 移 功 能 等 ; 另 一 种 是 进 行 网 络 溯 源 , 找 到 攻 击 源 进 行 事 故 遏 制 和 取 证 操 作 , 从 源 头 上 解 决 网 络 攻 击 。 前 一 种 方 法 能 够 快 速 对 攻 击 作 出 响 应 , 把 攻 击 隔 离 在 网 络 之 外 ; 但 是 , 这 种 方 式 只 是 对 网 络 进 行 防 护 , 无 法 找 到 攻 击 的 源 头 , 攻 击 者 很 难 受 到 惩 罚 。 后 一 种 方 法 虽 然 不 能 快 速 对 网 络 进 行 防 护 , 但 通 过 网 络 溯 源 找 到 攻 击 源 , 进 行 取 证 , 进 而 确 认 攻 击 者 , 才 能 从 根 本 上 解 决 攻 击 问 题 。 网 络 溯 源 对 网 络 安 全 具 有 十 分 重 要 的 意 义 , 它 不 仅 能 够 找 到 攻 击 者 并 对 其 进 行 屏 蔽 , 并 且 能 够 搜 集 到 对 攻 击 者 进 行 法 律 追 究 的 依 据 , 并 形 成 威 慑 。 因 此 , 从 长 远 考 虑 , 网 络 攻 击 溯 源 对 网 络 安 全 而 言 具 有 重 要 的 意 义 。   如 果 觉 得 文 章 对 你 有 帮 助 ， 请 支 持 下 点 击 右 下 角 “ 在 看 ” 原 文 链 接 ： h t t p s : / / b l o g . c s d n . n e t / d w j _ d a i w e n j i e / a r t i c l e / d e t a i l s / 8 8 8 5 5 8 2 5

回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:20 , Processed in 0.540896 second(s), 32 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表