第五章拒绝服务攻击.pptVIP

第五章拒绝服务攻击（DoS）1节课 主要内容 拒绝服务攻击概念 拒绝服务攻击原理 分布式拒绝服务攻击 典型攻击与防范 实验 拒绝服务攻击概念 合法用户无法使用网络或系统 带宽攻击 连通性攻击 拒绝服务攻击原理 扫服务器接受请求的步骤 扫服务器接受请求的步骤 服务器如何清除连接 服务器收到RST消息。 服务器如何清除连接 规定时间(T)内未收到回复应答 DOS攻击的后果 （1）被攻击主机有大量等待的TCP连接 （2）网络中有大量的无用数据包，源地址为假 （3）系统死机 DOS攻击面临的问题 （1）计算机（服务器）处理速度、内存 （2）网络带宽 单个主机很难攻击奏效 DDOS—分布式DOS 群起而攻之 DDOS攻击模型 DOS攻击的步骤 （1）了解目标情况 （2）占领傀儡主机 寻找有漏洞的主机，进入系统后在其上面安装后门程序，加入攻击队伍。第二步在入侵主机上安装攻击程序，其中一部分主机充当攻击的主控端，一部分主机充当攻击的代理端。 （3）实施攻击 DDOS攻击的分类 （1）Land攻击 利用三次握手，SYN请求包源IP、目的IP都是被攻击主机的。 DDOS攻击的分类 （2）SYN Flooding攻击 有意不完成三次握手 DDOS攻击的分类 （3）Ping of Death 连续高速Ping被攻击主机 ICMP包超过64KB，出现内存分配错误、导致协议栈崩溃 DDOS攻击的分类 （4）Smurf攻击 假冒被攻击主机发送ICMP请求广播报文。 DDOS攻击的分类 （5）Teardrop攻击 正常：fi.offset+fi.length = fi+1.offset 攻击：fi.offset+fi.length fi+1.offset + fi+1.length DDOS攻击的分类 （6）Udp storm攻击 利用Chargen服务利用UDP来回传送数据的特点实施 黑客攻防技术 ? 1999, Cisco Systems, Inc. 9-* 连接队列未满 新的请求 接受请求，分配空间，建立连接 连接队列已满 新的请求 拒绝请求，不能建立连接 RST DOS目的：在时间T内使目的主机接收大量连接请求而分配资源 SYN 如何检测？ 如何检测？ 如何检测？ 如何检测？ Teardrop攻击-IP 数据报分片 实验 1、Misoskian’s Packet Builder 配合Ethereal工具 2、阿拉丁UDP洪水攻击 配置“计数器” 带宽攻击：以极大的通信量冲击网络，使可用的网络资源消耗殆尽； 连通性攻击：指用大量的连接请求冲击计算机，使得所有可用的操作系统资源都被消耗殆尽，最终使得被攻击者无法再处理合法用户的请求。 下面将的是连通性攻击。 如何确认。第二步中，并不是每次都会接受连接请求，建立连接，并返回确认。 连接队列满后，将不再接受新的请求。 释放资源 至强4核，团结就是力量 连接队列满后，将不再接受新的请求。 ICND—Adding Basic IP Routing Protocols Copyright ? 1999, Cisco Systems, Inc. 9-* ICND—Connecting to Network Resources Copyright ? 1999, Cisco Systems, Inc. 4-*