DoS攻击

Posted 编程人,在天涯

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了DoS攻击相关的知识,希望对你有一定的参考价值。

一、DoS攻击相关的几个概念

1. DoSDenial of Service,拒绝服务,即无法及时接收并处理外界合法请求。

2. DoS攻击:指造成DoS的攻击行为,目的是使攻击目标计算机无法提供正常的服务。最常见的DoS攻击有计算机网络带宽攻击和连通性攻击。其中,带宽攻击是指以极大通信量冲击通往目标计算机的网络,使得所有可用网络资源都被消耗殆尽,导致合法的用户请求无法通过,无法到达目标计算机。而连通性攻击则是指用大量的连接请求攻击目标计算机,使得所有可用的操作系统资源都被消耗殆尽,导致目标计算机无法处理合法用户的请求。

3. DDoS攻击DDoSDistributed Denial of ServiceDDoS攻击即是分布式DoS攻击。攻击者借助客户/服务器技术,控制并利用多个傀儡机(肉鸡),对一个或多个攻击目标发起DDoS攻击,从而成倍地提高DoS攻击的威力。

4. DRDoS攻击DRDoSDistributed Reflection Denial of ServiceDRDoS攻击即是分布式反射DoS攻击。DRDoS攻击与DoS攻击、DDoS攻击不同,它不是直接对攻击目标发起请求,而是通过IP欺骗,发送大量源IP地址为攻击目标IP地址的数据包给攻击主机(第三方),然后攻击主机对IP地址源(即攻击目标)做出大量回应,从而形成DoS攻击。攻击者往往会选择那些响应包远大于请求包的第三方服务来利用,以达到放大反射攻击的效果,这样的服务包括DNSNTPSSDPChargenMemcached等。

 

二、一些常见DoS攻击的攻击原理

1. SYN泛洪

  SYN泛洪攻击是利用了TCP协议的缺陷进行的DoS攻击。首先看看下图所示的TCP连接三次握手过程简略示意图:

  一般正常的三次握手过程在①②③这三步执行之后就完成,客户端与服务器就可成功建立TCP连接。如果客户端通过伪造不存在的IP作为源地址向服务器发送SYN报文,服务器收到之后回应一个SYN+ACK报文并在自己的半连接队列中为收到的SYN报文创建一个条目,等待客户端的ACK应答。但由于客户端采取了IP欺骗,服务器发送的SYN-ACK报文根本得不到回应,这时服务器会不断等待、重传直至重传次数超过系统规定的最大重传次数才停止,并将这个SYN项目从半连接队列中删除。SYN泛洪攻击就是在短时间内伪造大量不存在的IP地址并快速发送大量这样的SYN报文给攻击目标计算机,使其半连接队列被阻塞,正常的SYN请求反而被丢弃,同时还要不断对这个庞大的半连接队列中所有项目进行SYN+ACK的重试,系统可用资源急剧减少,系统运行缓慢,严重者会引起网络堵塞甚至系统瘫痪。

  SYN泛洪防御:

<1>缩短SYN Timeout时间,即从服务器收到一个SYN报文到确认这个SYN报文无用这个过程花费的时间。

<2>设置SYN Cookie,就是给每一个请求连接的IP地址分配一个Cookie,如果短时间内连续收到某个IP的重复SYN报文,就认定是受到了攻击,以后从这个IP地址来的包一概丢弃。

2. 死亡之ping

  在TCP/IPRFC文档中对包的最大尺寸都有严格限制规定,许多操作系统的TCP/IP协议栈都规定ICMP包大小为64KB,且在对包的标题头进行读取之后,要根据该标题头里包含的信息来为有效载荷生成缓冲区。死亡之ping就是故意产生畸形的ping包,声称自己的尺寸超过ICMP包大小上限,或者直接发送尺寸超过ICMP包上限的报文,使未采取保护措施的网络系统出现内存分配错误,缓冲区溢出,导致TCP/IP协议栈崩溃,最终报文接收方宕机。

3. 泪滴

  对于一些大的IP数据包,需要对其进行拆分传送,在IP报头中有一个拆分标志和一个偏移字段,如果拆分标志为1,则表示这是一个大IP包,接收方需要根据偏移字段对接收到的几个IP包分段进行重新组装成一个完整的大IP包。由于在TCP/IP协议栈的实现中,对IP碎片中的包的标题头所包含的信息是信任的,泪滴攻击就是利用这一漏洞,在IP数据包中把偏移字段设置成错误的数值,这样接收方就无法按照数据包中的偏移字段值正确组装这些IP包分段,但是接收方会不断尝试,最终可能导致目标计算机操作系统资源耗尽而崩溃。

4. UDP泛洪

  Unix服务器默认会打开一些容易被黑客恶意利用的UDP服务。例如,echo服务会显示接收到的每一个数据包,而原本作为测试功能的chargen服务会在接收到每一个数据包时随机反馈一些字符。UDP泛洪就是利用这两个简单的TCP/IP服务的漏洞进行恶意攻击,通过伪造与某一主机的chargen服务之间的一次UDP连接,回复地址指向开着echo服务的另一台主机,通过将chargenecho服务互指,来回传送毫无用处且占满带宽的垃圾数据,在两台主机之间生成足够多的无用数据流,将很快导致网络可用带宽耗尽。

5. Land攻击

  Land攻击就是向攻击目标发送一个SYN包,包中源地址和目标地址都设置成攻击目标的IP,这样将导致接收服务器创建一个空连接,每一个连接都将保留直到超时。在Land攻击下,许多Unix将崩溃,NT变得极其缓慢。

6. IP欺骗

  利用TCP协议栈的RST位,使用IP欺骗,伪装成与攻击目标连接的合法用户,向攻击目标发送一个带有RST位的TCP数据段,使攻击目标清空缓冲区中与合法用户已经建立好的连接,这时合法用户再发送数据到攻击目标会被拒绝服务,因为已经不存在连接了,只能重新开始建立新的连接了。

 

 

以上是关于DoS攻击的主要内容,如果未能解决你的问题,请参考以下文章

什么叫DOS攻击

什么是DOS攻击,DOS攻击的命令都有哪些,攻击的方式都有哪些?

网络安全Dos攻击科普文

DoS攻击

DOS和DDOS攻击

怎么用DOS命令攻击