搜索

[28184] 2020-02-23_浅谈CC攻击原理与防范

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-02-23_浅谈CC攻击原理与防范 浅 谈 C C 攻 击 原 理 与 防 范 S u d o 高   O t s 安 全   2 0 2 0 - 0 2 - 2 3 概 念 概 念 C C 攻 击 的 原 理 就 是 攻 击 者 控 制 某 些 主 机 不 停 地 发 大 量 数 据 包 给 对 方 服 务 器 造 成 服 务 器 资 源 耗 尽 ， 一 直 到 宕 机 崩 溃 。 C C 主 要 是 用 来 攻 击 页 面 的 ， 每 个 人 都 有 这 样 的 体 验 ： 当 一 个 网 页 访 问 的 。 人 数 特 别 多 的 时 候 ， 打 开 网 页 就 慢 了 ，   C C 就 是 模 拟 多 个 用 户 ( 多 少 线 程 就 是 多 少 用 户 ) 不 停 地 进 行 访 问 那 些 需 要 大 量 数 据 操 作 ( 就 是 需 要 大 量 C P U 时 间 ) 的 页 面 ， 造 成 服 务 器 资 源 的 浪 费 ， C P U 长 时 间 处 于 1 0 0 % ，   永 远 都 有 处 理 不 完 的 连 接 直 至 就 网 络 拥 塞 ， 正 常 的 访 问 被 中 止 。   攻 击 方 式 攻 击 方 式 通 常 发 起   C C   攻 击 是 使 用 专 门 的 攻 击 工 具 ， 同 时 模 拟 成 多 个 用 户 ， 向 目 标 网 站 发 起 多 个 请 求 ， 一 般 这 些 软 件 为 了 防 止 地 址 被 屏 蔽 ， 还 内 置 通 过 代 理 攻 击 的 功 能 。 可 以 通 过 多 个 代 理 服 务 器 对 目 标 发 起 攻 击 ， 使 封   I P   的 防 御 方 式 变 的 失 效 。   防 御 思 路 防 御 思 路 我 们 抛 开 购 买 的 软 件 来 防 护   下 面 主 要 从 程 序 角 度 来 做 防 护 。 某 人 使 用 过 某 某 网 站 卫 士 来 预 防 攻 击 他 的 评 价 ： 从 界 面 上 看 ， 似 乎 是 防 止 了 大 量 的 C C 攻 击 ， 但 登 录 网 站 后 发 现 ， 流 量 依 旧 异 常 ， 攻 击 还 是 依 旧 ， 看 起 来 这 个 网 站 卫 士 的 效 果 并 没 有 达 到 。 从 原 理 上 看 ， 基 本 上 所 有 的 防 火 墙 都 会 检 测 并 发 的 T C P / I P 连 接 数 目 ， 超 过 一 定 数 目 一 定 频 率 就 会 被 认 为 是 C o n n e c t i o n - F l o o d ， 但 如 果 I P 的 数 量 足 够 大 ， 使 得 单 个 I P 的 连 接 数 较 少 ， 那 么 防 火 墙 未 必 能 阻 止 C C 攻 击 。 启 用 了 某 某 网 站 卫 士 之 后 ， 反 而 更 容 易 被 C C 攻 击 ， 因 为 这 个 网 站 卫 士 并 不 能 过 滤 掉 C C 攻 击 ， 攻 击 的 I P 经 过 其 加 速 后 ， 更 换 成 为 这 个 网 站 卫 士 的 I P ， 在 网 站 服 务 器 端 显 示 的 I P 都 是 相 同 的 ， 导 致 服 务 器 端 无 法 过 滤 这 些 I P 。   因 为   C C   攻 击 通 过 工 具 软 件 发 起 ， 而 普 通 用 户 通 过 浏 览 器 访 问 ， 这 就 是 区 别 。 我 们 只 有 想 到 办 法 对 这 二 者 作 出 正 确 的 判 断 ， 屏 蔽 来 自 机 器 的 流 量 攻 击 就 没 问 题 了 。   思 路 一 ： 思 路 一 ：   普 通 浏 览 器 发 起 请 求 时 ， 除 了 要 访 问 的 地 址 以 外 ，   H t t p   头 中 还 会 带 有   R e f e r e r   ，   U s e r A g e n t   等 多 项 信 息 。 遇 到 攻 击 时 可 以 通 过 访 问 日 志 查 看 访 问 信 息 ， 看 攻 击 的 流 量 是 否 有 明 显 特 征 ， 比 如 固 定 的   R e f e r e r   或   U s e r A g e n t   ， 如 果 能 找 到 特 征 ， 就 可 以 直 接 屏 蔽 掉 了 。   H T T P _ R e f e r e r   名 词 解 释     看 单 词 知 道 大 概 意 思 是   h t t p 的 访 问 来 源   H T T P   R e f e r e r 是 h e a d e r 的 一 部 分 ， 当 浏 览 器 向 w e b 服 务 器 发 送 请 求 的 时 候 ， 一 般 会 带 上 R e f e r e r ， 告 诉 服 务 器 我 是 从 哪 个 页 面 连 接 过 来 的 。   U s e r A g e n t   名 词 解 释 名 词 解 释 H T T P _ U S E R _ A G E N T 是 用 来 检 查 浏 览 页 面 的 访 问 者 在 用 什 么 操 作 系 统 （ 包 括 版 本 号 ） 浏 览 器 （ 包 括 版 本 号 ） 和 用 户 个 人 偏 好 的 代 码 。   U s e r A g e n t   标 准 格 式 是   ： 浏 览 器 标 识   ( 操 作 系 统 标 识 ;   加 密 等 级 标 识 ;   浏 览 器 语 言 )   渲 染 引 擎 标 识   版 本 信 息 （ 但 是 不 同 的 浏 览 器 的 格 式 是 不 同 的 ， 大 体 都 包 括 这 些 内 容 ）   下 图 就 是   浏 览 器 的     H T T P _ R e f e r e r   和       H T T P _ U S E R _ A G E N T  
大 家 明 白 了 的 吧   如 果 这 两 个 有 固 定 的 特 征 就 可 以 直 接 用 程 序 屏 蔽 了 ）   这 里 用 u s e r a g e n t 做 了 一 个 判 断 逻 辑 是 这 样 的   缓 存 最 近 访 问 的 二 十 条 记 录 ，   如 果 到 了 二 十 条 就 开 始 做 对 比 ， 如 果 这 二 十 条 的 u s e r - a g e n t   一 样 就 把 这 个 u s e r - a g e n t   给 封 了 ，   如 果 不 一 样 就 继 续 回 到 0   开 始 ，   为 了 避 免 网 站 一 个 人 访 问 的 情 况 下 误 杀 ， 加 上 一 个 时 间 判 断 效 果 最 好   比 如   三 秒 内 。   上 代 码 上 代 码 然 后 对 比 计 算 时 间 差 我 这 里 是 根 据 实 际 情 况 判 断 的   （ 考 虑 到 白 名 单 ，   黑 名 单 ，   i p 断 等 场 景 需 要 ） 好 了   u s e r A g e n t   防 御 大 概 就 说 这 么 多 。   思 路 二 ： 思 路 二 ： 上 面 也 说 了 用 u s e r A g e n t 可 以 根 据 情 况 来 屏 蔽 ，   但 是 这 个 玩 意 还 是 可 以 伪 造 的 ( p s ： 虽 然   比 较 困 难 ) ， 如 果 伪 造 了 我 们 就 要 像 其 它 办 法 了 ； 我 们 知 道 一 般 的 攻 击 软 件 一 般 来 说 功 能 都 比 较 简 单 ， 只 有 固 定 的 发 包 功 能 ， 是 不 支 持 完 成 的 h t t p 协 议 的   而 浏
览 器 会 完 整 的 支 持   H t t p   协 议 ， 我 们 可 以 利 用 这 一 点 来 进 行 一 下 防 御 。   用 户 初 次 访 问 的 时 候 我 们 定 义 个 规 则   t o k e n （ p s ： 这 个 应 该 是 有 唯 一 k e y   生 成 的 ） ， 保 存 在   C O O K I E   中 作 为   T o k e n   ， 用 户 必 须 要 带 有 正 确 的   T o k e n   才 可 以 访 问 后 端 服 务 。 当 用 户 第 一 次 访 问 时 ， 会 检 测 到 用 户 的   C O O K I E   里 面 并 没 有 这 个   T o k e n   ， 则 返 回 一 个   3 0 2   重 定 向 跳 转 ， 目 标 地 址 为 当 前 页 面 ， 同 时 在 返 回 的   H t t p   头 中 加 入   ， 对   C O O K I E   进 行 设 置 ， 使 用 户 带 有 这 个 T o k e n   。   客 户 端 如 果 是 一 个 正 常 的 浏 览 器 ， 那 么 就 会 支 持   H T T P   头 中 的   S E T   C O O K I E   和   3 0 2   重 定 向 指 令 ， 将 带 上 正 确 的   T o k e n   再 次 访 问 页 面 ， 这 时 候 后 台 检 测 到 正 确 的   T o k e n   ， 就 会 放 行 ， 这 之 后 用 户 的   H t t p   请 求 都 会 带 有 这 个   T o k e n   ， 所 以 并 不 会 受 到 阻 拦 。 客 户 端 如 果 是   C C   软 件 ， 那 么 一 般 不 会 支 持 这 些 指 令 ， 那 么 就 会 一 直 被 拦 在 最 外 层 ， 并 不 会 对 服 务 器 内 部 造 成 压 力 。   代 码 ： 这 里 主 要 用 p h p   代 码 来 说 明   t o k e n   生 成 算 法   大 致 这 样         U s e r A g e n t   +   c l i e n t _ i p   +   k e y       这 样 就 避 免 了 无 法 伪 造 ， 保 证 了 相 同 的 客 户 端 的   t o k e n 的 一 致 性 。 对   C C   攻 击 者 来 说 ， 在 使 用 固 定 或 者 唯 一   T o k e n   的 情 况 下 ， 攻 击 成 本 是 有 差 别 的 。   很 多 攻 击 软 件 是 可 以 设 置   h t t p   头 的 ， 如 果 使 用 固 定   T o k e n   ， 攻 击 者 只 需 要 在 本 机 获 取 一 次   T o k e n   ， 然 后 设 置 好   h t t p   头 就 可 以 直 接 发 起 攻 击 了 ， 攻 击 成 本 低 的 可 以 ,   但 是 如 果 使 用 可 变   T o k e n   ， 基 本 市 面 上 所 有   C C   软 件 全 都 无 法 使 用 了   , 我 们 这 个 就 是 可 变 的 t o k e n   ( 随   I P   地 址 变 化 是 为 了 防 止 通 过 一 台 机 器 获 取   T o k e n   之 后 ， 再 通 过 代 理 服 务 来 进 行 攻 击 )   实 际 上   t o k e n   只 能 挡 普 通 攻 击 ， 计 算   t o k e n   这 个 事 情 本 身 就 消 耗   C P U   资 源 ， 攻 击 的 时 候 为 了 省 带 宽 也 有 只 发 不 收 ， 只 要 入 口 带 宽 没 有 被 塞 满 ， 普 通   c c   攻 击 都 可 以 挡 住 。   但 是 如 果 暴 力 发 包 ， 只 发 不 收 的 攻 击 来 说 ， 带 宽 都 满 了 ， 并 并 不 能 通 过 这 种 方 式 进 行 防 御 。   弊 端 ： 弊 端 ： 这 样 的 t o k e n   对 搜 索 引 擎 不 够 友 好 ， 这   t o k e n   校 验 第 一 波 挡 住 的 是 搜 索 引 擎 的 爬 虫 。 所 以 ， 最 好 只 是 在 被 攻 击 的 时 候 开 启 这 个 功 能 ， 平 时 关 闭 掉 .   其 它 ： 其 它 ：   如 果 你 的 网 站 是 使 用 的 是 N g i n x 做 的 反 向 代 理 ， 那 么 可 以 利 用 N g i n x 原 生 的 l i m i t _ r e q 模 块 来 针 对 请 求 进 行 限 制 ， n g x _ h t t p _ l i m i t _ r e q _ m o d u l e  
总 结 ： 总 结 ：   综 上 所 述 ： 最 好 在 受 到 攻 击 的 时 候 才 开 启 t o k e n 。   p s :   并 没 有 绝 对 的 防 御 方 式 ， 我 们 所 能 做 的 也 就 是 不 断 提 高 攻 击 者 的 成 本 。 通 过 手 段 把 不 合 法 的 流 量 拦 住 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理