荔园在线
荔园之美，在春之萌芽，在夏之绽放，在秋之收获，在冬之沉淀
[回到开始]
[上一篇][下一篇]
发信人: lovebo (waiting for you ), 信区: Security
标 题: [转载]30天打造专业红客－[第25天]DDOS攻击
发信站: 荔园晨风BBS站 (2005年06月20日14:59:20 星期一), 站内信件
[第25天]DDOS攻击
好了
今天我们来说说 DDOS 攻击 这里我不准备提供任何工具的下载地址 因为我反对不聊的攻
击 如果你攻击反华网站还差不多
其实在前几天我总结过网络攻击的几种形式（详见：http://www.91one.net/dvbbs/dispbb
s.asp?boardID=16&ID=698） 也就几种：1。务拒绝攻击------死亡之ping （ping of
death） 泪滴（teardrop） UDP洪水（UDP flood）
SYN洪水（SYN flood）--现在最流行的DDOS攻击的一种
Land攻击 Smurf攻击 Fraggle攻击 电子邮件炸弹 畸形消息攻击
2。利用型攻击
3。信息收集型攻击
4。假消息攻击
这里我就不详细说明了 大家可以参考上篇文章
当然DDOS是属于网络攻击里的 我是这么理解的 有的人把网络攻击和DDOS攻击连同是 不对
的 虽然现在主要是才用DDOS 但也不能“抹杀”其他一些攻击方式的辉煌啊
要想理解DDoS的概念，我们就必须先介绍一下DoS（拒绝服务），DoS的英文全称是Denial
of Service，也就是“拒绝服务”的意思。从网络攻击的各种方法和所产生的破坏情况来
看，DoS算是一种很简单但又很有效的进攻方式。它的目的就是拒绝你的服务访问，破坏组
织的正常运行，最终它会使你的部分Internet连接和网络系统失效。DoS的攻击方式有很多
种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无
法得到服务。DoS攻击的原理如图1所示。
从图1我们可以看出DoS攻击的基本过程：首先攻击者向服务器发送众多的带有虚假地址的
请求，服务器发送回复信息后等待回传信息，由于地址是伪造的，所以服务器一直等不到
回传的消息，分配给这次请求的资源就始终没有被释放。当服务器等待一定的时间后，连
接会因超时而被切断，攻击者会再度传送新的一批请求，在这种反复发送伪地址请求的情
况下，服务器资源最终会被耗尽。
DDoS攻击手段是在传统的DoS攻击基础之上产生的一类攻击方式。单一的DoS攻击一般是采
用一对一方式的，当攻击目标CPU速度低、内存小或者网络带宽小等等各项性能指标不高它
的效果是明显的。随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存大大
增加，同时也出现了千兆级别的网络，这使得DoS攻击的困难程度加大了-目标对恶意攻击
包的"消化能力"加强了不少，例如你的攻击软件每秒钟可以发送3,000个攻击包，但我的主
机与网络带宽每秒钟可以处理10,000个攻击包，这样一来攻击就不会产生什么效果。
这时侯分布式的拒绝服务攻击手段（DDoS）就应运而生了。你理解了DoS攻击的话，它
的原理就很简单。如果说计算机与网络的处理能力加大了10倍，用一台攻击机来攻击不再
能起作用的话，攻击者使用10台攻击机同时攻击呢？用100台呢？DDoS就是利用更多的傀儡
机来发起进攻，以比从前更大的规模来进攻受害者。
高速广泛连接的网络给大家带来了方便，也为DDoS攻击创造了极为有利的条件。在低
速网络时代时，黑客占领攻击用的傀儡机时，总是会优先考虑离目标网络距离近的机器，
因为经过路由器的跳数少，效果好。而现在电信骨干节点之间的连接都是以G为级别的，大
城市之间更可以达到2.5G的连接，这使得攻击可以从更远的地方或者其他城市发起，攻击
者的傀儡机位置可以在分布在更大的范围，选择起来更灵活了。
DDoS攻击时的现象
被攻击主机上有大量等待的TCP连接
网络中充斥着大量的无用的数据包，源地址为假
制造高流量无用数据，造成网络拥塞，使受害主机无法正常和外界通讯
利用受害主机提供的服务或传输协议上的缺陷，反复高速的发出特定的服务请求，使受害
主机无法及时处理所有正常请求
严重时会造成系统死机
攻击运行原理
如图,一个比较完善的DDoS攻击体系分成四大部分，先来看一下最重要的第2和第3部分：它
们分别用做控制和实际发起攻击。请注意控制机与攻击机的区别，对第4部分的受害者来说
，DDoS的实际攻击包是从第3部分攻击傀儡机上发出的，第2部分的控制机只发布命令而不
参与实际的攻击。对第2和第3部分计算机，黑客有控制权或者是部分的控制权，并把相应
的DDoS程序上传到这些平台上，这些程序与正常的程序一样运行并等待来自黑客的指令，
通常它还会利用各种手段隐藏自己不被别人发现。在平时，这些傀儡机器并没有什么异常
，只是一旦黑客连接到它们进行控制，并发出指令的时候，攻击傀儡机就成为害人者去发
起攻击了。
有的朋友也许会问道："为什么黑客不直接去控制攻击傀儡机，而要从控制傀儡机上转
一下呢？"。这就是导致DDoS攻击难以追查的原因之一了。做为攻击者的角度来说，肯定不
愿意被捉到,而攻击者使用的傀儡机越多，他实际上提供给受害者的分析依据就越多。在占
领一台机器后，高水平的攻击者会首先做两件事：1. 考虑如何留好后门（我以后还要回来
的哦）！2. 如何清理日志。这就是擦掉脚印，不让自己做的事被别人查觉到。比较不敬业
的黑客会不管三七二十一把日志全都删掉，但这样的话网管员发现日志都没了就会知道有
人干了坏事了，顶多无法再从日志发现是谁干的而已。相反，真正的好手会挑有关自己的
日志项目删掉，让人看不到异常的情况。这样可以长时间地利用傀儡机。
但是在第3部分攻击傀儡机上清理日志实在是一项庞大的工程，即使在有很好的日志清
理工具的帮助下，黑客也是对这个任务很头痛的。这就导致了有些攻击机弄得不是很干净
，通过它上面的线索找到了控制它的上一级计算机，这上级的计算机如果是黑客自己的机
器，那么他就会被揪出来了。但如果这是控制用的傀儡机的话，黑客自身还是安全的。控
制傀儡机的数目相对很少，一般一台就可以控制几十台攻击机，清理一台计算机的日志对
黑客来讲就轻松多了，这样从控制机再找到黑客的可能性也大大降低。
如何组织一次DDoS攻击的？
这里用"组织"这个词，是因为DDoS并不象入侵一台主机那样简单。一般来说，黑客进行DDo
S攻击时会经过这样的步骤：
1. 搜集了解目标的情况
下列情况是黑客非常关心的情报：
被攻击目标主机数目、地址情况
目标主机的配置、性能
目标的带宽
对于DDoS攻击者来说，攻击互联网上的某个站点，如http://www.WWWW.com，有一个重
点就是确定到底有多少台主机在支持这个站点，一个大的网站可能有很多台主机利用负载
均衡技术提供同一个网站的www服务。以yahoo为例，一般会有下列地址都是提供http://ww
w.WWW.com服务的：
66.218.71.87
66.218.71.88
66.218.71.89
66.218.71.80
66.218.71.81
66.218.71.83
66.218.71.84
66.218.71.86
如果要进行DDoS攻击的话，应该攻击哪一个地址呢？使66.218.71.87这台机器瘫掉，
但其他的主机还是能向外提供www服务，所以想让别人访问不到http://www.WWW.com的话，
要所有这些IP地址的机器都瘫掉才行。在实际的应用中，一个IP地址往往还代表着数台机
器：网站维护者使用了四层或七层交换机来做负载均衡，把对一个IP地址的访问以特定的
算法分配到下属的每个主机上去。这时对于DDoS攻击者来说情况就更复杂了，他面对的任
务可能是让几十台主机的服务都不正常。
所以说事先搜集情报对DDoS攻击者来说是非常重要的，这关系到使用多少台傀儡机才
能达到效果的问题。简单地考虑一下，在相同的条件下，攻击同一站点的2台主机需要2台
傀儡机的话，攻击5台主机可能就需要5台以上的傀儡机。有人说做攻击的傀儡机越多越好
，不管你有多少台主机我都用尽量多的傀儡机来攻就是了，反正傀儡机超过了时候效果更
好。
但在实际过程中，有很多黑客并不进行情报的搜集而直接进行DDoS的攻击，这时候攻击的
盲目性就很大了，效果如何也要*运气。其实做黑客也象网管员一样，是不能偷懒的。一件
事做得好与坏，态度最重要，水平还在其次。
2. 占领傀儡机
黑客最感兴趣的是有下列情况的主机：
链路状态好的主机
性能好的主机
安全管理水平差的主机
这一部分实际上是使用了另一大类的攻击手段：利用形攻击。这是和DDoS并列的攻击
方式。简单地说，就是占领和控制被攻击的主机。取得最高的管理权限，或者至少得到一
个有权限完成DDoS攻击任务的帐号。对于一个DDoS攻击者来说，准备好一定数量的傀儡机
是一个必要的条件，下面说一下他是如何攻击并占领它们的。
首先，黑客做的工作一般是扫描，随机地或者是有针对性地利用扫描器去发现互联网
上那些有漏洞的机器，象程序的溢出漏洞、cgi、Unicode、ftp、数据库漏洞…(简直举不
胜举啊)，都是黑客希望看到的扫描结果。随后就是尝试入侵了，具体的手段就不在这里多
说了，感兴趣的话网上有很多关于这些内容的文章。
总之黑客现在占领了一台傀儡机了！然后他做什么呢？除了上面说过留后门擦脚印这
些基本工作之外，他会把DDoS攻击用的程序上载过去，一般是利用ftp。在攻击机上，会有
一个DDoS的发包程序，黑客就是利用它来向受害目标发送恶意攻击包的。
3. 实际攻击
经过前2个阶段的精心准备之后，黑客就开始瞄准目标准备发射了。前面的准备做得好
的话，实际攻击过程反而是比较简单的。就象图示里的那样，黑客登录到做为控制台的傀
儡机，向所有的攻击机发出命令："预备~ ，瞄准~，开火!"。这时候埋伏在攻击机中的DDo
S攻击程序就会响应控制台的命令，一起向受害主机以高速度发送大量的数据包，导致它死
机或是无法响应正常的请求。黑客一般会以远远超出受害方处理能力的速度进行攻击，他
们不会"怜香惜玉"。
老到的攻击者一边攻击，还会用各种手段来监视攻击的效果，在需要的时候进行一些
调整。简单些就是开个窗口不断地ping目标主机，在能接到回应的时候就再加大一些流量
或是再命令更多的傀儡机来加入攻击。
下面我们再详细说说SYN Flood攻击
SYN-Flood是目前最流行的DDoS攻击手段，早先的DoS的手段在向分布式这一阶段发展的时
候也经历了浪里淘沙的过程。SYN-Flood的攻击效果最好，应该是众黑客不约而同选择它的
原因吧。那么我们一起来看看SYN-Flood的详细情况。
Syn Flood原理 - 三次握手
Syn Flood利用了TCP/IP协议的固有漏洞。面向连接的TCP三次握手是Syn Flood存在的
基础。
TCP连接的三次握手
如图，在第一步中，客户端向服务端提出连接请求。这时TCP SYN标志置位。客户端告诉服
务端序列号区域合法，需要检查。客户端在TCP报头的序列号区中插入自己的ISN。服务端
收到该TCP分段后，在第二步以自己的ISN回应(SYN标志置位)，同时确认收到客户端的第一
个TCP分段(ACK标志置位)。在第三步中，客户端确认收到服务端的ISN(ACK标志置位)。到
此为止建立完整的TCP连接，开始全双工模式的数据传输过程。
Syn Flood攻击者不会完成三次握手
假设一个用户向服务器发送了SYN报文后突然死机或掉线，那么服务器在发出SYN+ACK应答
报文后是无法收到客户端的ACK报文的（第三次握手无法完成），这种情况下服务器端一般
会重试（再次发送SYN+ACK给客户端）并等待一段时间后丢弃这个未完成的连接，这段时间
的长度我们称为SYN Timeout，一般来说这个时间是分钟的数量级（大约为30秒-2分钟）；
一个用户出现异常导致服务器的一个线程等待1分钟并不是什么很大的问题，但如果有一个
恶意的攻击者大量模拟这种情况，服务器端将为了维护一个非常大的半连接列表而消耗非
常多的资源----数以万计的半连接，即使是简单的保存并遍历也会消耗非常多的CPU时间和
内存，何况还要不断对这个列表中的IP进行SYN+ACK的重试。实际上如果服务器的TCP/IP栈
不够强大，最后的结果往往是堆栈溢出崩溃---即使服务器端的系统足够强大，服务器端也
将忙于处理攻击者伪造的TCP连接请求而无暇理睬客户的正常请求（毕竟客户端的正常请求
比率非常之小），此时从正常客户的角度看来，服务器失去响应，这种情况我们称做：服
务器端受到了SYN Flood攻击（SYN洪水攻击）。
下面我们来分析一下这些经典的黑客程序。
1、Trinoo
Trinoo的攻击方法是向被攻击目标主机的随机端口发出全零的4字节UDP包，在处理这些超
出其处理能力的垃圾数据包的过程中，被攻击主机的网络性能不断下降，直到不能提供正
常服务，乃至崩溃。它对IP地址不做假，采用的通讯端口是：
攻击者主机到主控端主机：27665/TCP
主控端主机到代理端主机：27444/UDP
代理端主机到主服务器主机：31335/UDP
2、TFN
TFN由主控端程序和代理端程序两部分组成，它主要采取的攻击方法为：SYN风暴、Ping风
暴、UDP炸弹和SMURF，具有伪造数据包的能力。
3、TFN2K
TFN2K是由TFN发展而来的，在TFN所具有的特性上，TFN2K又新增一些特性，它的主控端和
代理端的网络通讯是经过加密的，中间还可能混杂了许多虚假数据包，而TFN对ICMP的通讯
没有加密。攻击方法增加了Mix和Targa3。并且TFN2K可配置的代理端进程端口。
4、Stacheldraht
Stacheldraht也是从TFN派生出来的，因此它具有TFN的特性。此外它增加了主控端与代理
端的加密通讯能力，它对命令源作假，可以防范一些路由器的RFC2267过滤。Stacheldrah
中有一个内嵌的代理升级模块，可以自动下载并安装最新的代理程序。
DDoS的监测
检测DDoS攻击的主要方法有以下几种：
1、根据异常情况分析
当网络的通讯量突然急剧增长，超过平常的极限值时，你可一定要提高警惕，检测此
时的通讯；当网站的某一特定服务总是失败时，你也要多加注意；当发现有特大型的ICP和
UDP数据包通过或数据包内容可疑时都要留神。总之，当你的机器出现异常情况时，你最好
分析这些情况，防患于未然。
2、使用DDoS检测工具
当攻击者想使其攻击阴谋得逞时，他首先要扫描系统漏洞，目前市面上的一些网络入
侵检测系统，可以杜绝攻击者的扫描行为。另外，一些扫描器工具可以发现攻击者植入系
统的代理程序，并可以把它从系统中删除。
DDoS的防范
到目前为止，进行DDoS攻击的防御还是比较困难的。首先，这种攻击的特点是它利用了TCP
/IP协议的漏洞，除非你不用TCP/IP，才有可能完全抵御住DDoS攻击。一位资深的安全专家
给了个形象的比喻：DDoS就好象有1,000个人同时给你家里打电话，这时候你的朋友还打得
进来吗？
不过即使它难于防范，也不是说我们就应该逆来顺受，实际上防止DDoS并不是绝对不
可行的事情。互联网的使用者是各种各样的，与DDoS做斗争，不同的角色有不同的任务。
我们以下面几种角色为例：
企业网管理员
ISP、ICP管理员
骨干网络运营商
企业网管理员
网管员做为一个企业内部网的管理者，往往也是安全员、守护神。在他维护的网络中
有一些服务器需要向外提供WWW服务，因而不可避免地成为DDoS的攻击目标，他该如何做呢
？可以从主机与网络设备两个角度去考虑。
主机上的设置
几乎所有的主机平台都有抵御DoS的设置，总结一下，基本的有几种：
关闭不必要的服务
限制同时打开的Syn半连接数目
缩短Syn半连接的time out 时间
及时更新系统补丁
网络设备上的设置
企业网的网络设备可以从防火墙与路由器上考虑。这两个设备是到外界的接口设备，
在进行防DDoS设置的同时，要注意一下这是以多大的效率牺牲为代价的，对你来说是否值
得。
１.防火墙
禁止对主机的非开放服务的访问
限制同时打开的SYN最大连接数
限制特定IP地址的访问
启用防火墙的防DDoS的属性
严格限制对外开放的服务器的向外访问
第五项主要是防止自己的服务器被当做工具去害人。
２.路由器
以Cisco路由器为例
Cisco Express Forwarding（CEF）
使用 unicast reverse-path
访问控制列表（ACL）过滤
设置SYN数据包流量速率
升级版本过低的ISO
为路由器建立log server
其中使用CEF和Unicast设置时要特别注意，使用不当会造成路由器工作效率严重下降
，升级IOS也应谨慎。路由器是网络的核心设备，与大家分享一下进行设置修改时的小经验
，就是先不保存。Cisco路由器有两份配置startup config和running config，修改的时候
改变的是running config，可以让这个配置先跑一段时间（三五天的就随意啦），觉得可
行后再保存配置到startup config；而如果不满意想恢复原来的配置，用copy start run
就行了。
ISP / ICP管理员
ISP / ICP为很多中小型企业提供了各种规模的主机托管业务，所以在防DDoS时，除了
与企业网管理员一样的手段外，还要特别注意自己管理范围内的客户托管主机不要成为傀
儡机。客观上说，这些托管主机的安全性普遍是很差的，有的连基本的补丁都没有打就赤
膊上阵了，成为黑客最喜欢的"肉鸡"，因为不管这台机器黑客怎么用都不会有被发现的危
险，它的安全管理太差了；还不必说托管的主机都是高性能、高带宽的-简直就是为DDoS定
制的。而做为ISP的管理员，对托管主机是没有直接管理的权力的，只能通知让客户来处理
。在实际情况时，有很多客户与自己的托管主机服务商配合得不是很好，造成ISP管理员明
知自己负责的一台托管主机成为了傀儡机，却没有什么办法的局面。而托管业务又是买方
市场，ISP还不敢得罪客户，怎么办？咱们管理员和客户搞好关系吧，没办法，谁让人家是
上帝呢？呵呵，客户多配合一些，ISP的主机更安全一些，被别人告状的可能性也小一些。
骨干网络运营商
这个我们就不说了
因为我们都不是骨干运营商
--
※ 来源:·荔园晨风BBS站 bbs.szu.edu.cn·[FROM: 192.168.103.176]
[回到开始]
[上一篇][下一篇]
荔园在线首页 友情链接：深圳大学 深大招生 荔园晨风BBS S-Term软件 网络书店