第5章：拒绝服务攻击.ppt

心脏出血 漏洞(最新发现漏洞) OpenSSL 漏洞的原理简介 | 浏览：329 | 更新：2014-04-09 13:46 . 2014年4月8日晚，互联网爆出了又一重量级安全漏洞，即CVE-2014-0160，通俗来讲就是OpenSSL出现了安全漏洞。 说这个漏洞前，先介绍一下OpenSSL，OpenSSL是一个强大的安全套接字层密码库，很多支付网站等涉及资金交易的平台都用它来做加密工具，比如支付宝，财付通，各种银行网站，那些带有Https网址的网站，都使用了这一套工具。也就是说它是一个保障账户安全的工具，而如今，这个保镖却被爆出自身就有严重漏洞，在https开头网址登录的网站，初步评估有不少于30%的网站中招。 简单说下攻击者是如何利用这个漏洞的： OpenSSL的某个模块存在一个BUG，当攻击者构造一个特殊的数据包，满足用户心跳包中无法提供足够多的数据会导致memcpy把SSLv3记录之后的数据直接输出，该漏洞导致攻击者可以远程读取存在漏洞版本的openssl服务器内存中长大64K的数据。 也就是说，当攻击者得到这64K数据后，就有可能从数据中得到当前用户的用户名，密码，Cookies等敏感信息，更要命的是，这是远程获取的，也就是攻击者只要在自己电脑上提交恶意数据包，就能从服务器上取得这些数据。不要认为区区64K问题不大，问题是攻击者可以反复提交，也就是能源于不断的得到“新的”64K，理所当然的包含了新的用户信息，因为网站的用户也是源源不断的嘛。 防范手段： 1.网站方面，管理员及时下载OpenSSL补丁，升级OpenSSL 1.0.1g，通知用户在升级期间不要登录网站。 2.用户方面，暂时不要登录各大支付网站，网上银行。等网站通知漏洞已修复再登录 第5章 拒绝服务攻击 2017-9-5 网络入侵与防范讲义 3 5.1 拒绝服务攻击概述 5.1.1 拒绝服务攻击的概念 5.1.2 拒绝服务攻击的原理 5.1.3 拒绝服务攻击的现象 2017-9-5 网络入侵与防范讲义 4 5.1.1 拒绝服务攻击的概念 拒绝服务（ Denial of Service，简称DoS），是一种简单的破坏性攻击，通常是利用传输协议中的某个弱点、系统存在的漏洞、或服务的漏洞，对目标系统发起大规模的进攻，用超出目标处理能力的海量数据包消耗可用系统资源、带宽资源等，或造成程序缓冲区溢出错误，致使其无法处理合法用户的正常请求，无法提供正常服务，最终致使网络服务瘫痪，甚至系统死机。 简单的说，拒绝服务攻击就是让攻击目标瘫痪的一种“损人不利己”的攻击手段。 2017-9-5 网络入侵与防范讲义 5 5.1.1 拒绝服务攻击的概念 历史上最著名的拒绝服务攻击服务恐怕要数Morris蠕虫事件，1988年11月，全球众多连在因特网上的计算机在数小时内无法正常工作，这次事件中遭受攻击的包括５个计算机中心和12个地区结点，连接着政府、大学、研究所和拥有政府合同的25万台计算机。这次病毒事件，使计算机系统直接经济损失达9600万美元。 许多知名网站如Yahoo、eBay、CNN、百度、新浪等都曾遭受过DoS攻击。 2017-9-5 网络入侵与防范讲义 6 5.1.1 拒绝服务攻击的概念 拒绝服务攻击可能是蓄意的，也可能是偶然的。 当未被授权的用户过量使用资源时，攻击是蓄意的；当合法用户无意地操作而使得资源不可用时，则是偶然的。 应该对两种拒绝服务攻击都采取预防措施。但是拒绝服务攻击问题也一直得不到合理的解决，究其原因是因为这是由于网络协议本身的安全缺陷造成的。 2017-9-5 网络入侵与防范讲义 7 典型案例：百度遭受大规模SYN Flooding攻击 2006年9月12日下午，百度遭受有史以来最大规模的不明身份黑客攻击，导致百度搜索服务在全国各地出现了近30分钟的故障，黑客所使用的手段是Syn Flooding分布式拒绝服务攻击。 新华网报道：/newmedia/2006-09/14/content_5089683.htm 下页是新闻的部分截图。 2017-9-5 网络入侵与防范讲义 8 5.1.2拒绝服务攻击原理 TCP三次握手 5.1.2拒绝服务攻击原理 服务器不会在每次接收到SYN请求就立即与客户端建立连接，而是为连接请求分配内存空间，建立回话，并放到一个队列中。如果，这个连接队列已经满了，那服务器就不再为新的连接分配任何东西，直接丢弃新的请求，也就是拒绝为新的连接请求提供服务。 TCP协议两个条件下回收资源： 1. 接收到RST信息； 2. 超时连接； 目的：在超时时间内使目的主机由于接收到了大量的连接请求而分配了资源，同事不会得到RST信息而释放