第五章 攻击——直捣龙门（2）拒绝服务攻击46.pptVIP

南京邮电大学信息安全系 第五章 攻击——直捣龙门（2）拒绝服务攻击 南京邮电大学信息安全系 《网络攻击与防范》教研组 主要内容 1. Ping Of Death（死亡之Ping） 2. Teardrop（泪滴/碎片攻击） 3. UDP Flood 4. Land Attack 5. SYN Flood 6. Smurf Attack 7. 分布式拒绝服务攻击 拒绝服务（Denial of Service）攻击 ? 并非某一种具体的攻击方式 ? 而是攻击所表现出来的结果—— 使服务器不能正常地对外界提供服务（可用性） 内存损耗 系统程序和应用程序的漏洞 带宽损耗 网络协议实现中的缺陷 （如TCP三次握手缺陷） 攻击者不需与目标交互 可伪造源IP地址 难以追踪 TCP三次握手缺陷 　 SYN包,C的序列号 Client 　SYN+ACK包,S序列号,C应答号　Server 　 ACK包,S的应答号 ? 源端口(1024高端口) 　? 目的端口(1024熟知 ? 源IP地址(寻址只关心 端口，表明Server上 目的IP，不认证源IP地 提供的服务) 址，可能是“假”地址) ? 目的IP地址 伪造源IP地址的作用 1）掩盖攻击的来源：使受害者无法使用传统的基于IP的包过滤或追查攻击源； 2）增强攻击的效果：在SYN Flood中，伪造不存在的主机可以增加占用受害者资源的时间； 3）用以欺骗第三方：使之成为攻击中的反射器、放大器或转向器。 DoS作为攻击的辅助手段 1）IP欺骗攻击中，拒绝服务攻击被冒充主机； 2）拒绝服务攻击使系统重启，再攻击重启时的漏洞；或者使攻击者改动的配置生效； 3）对防火墙DoS攻击，使其允许所有数据包通过； 4）对DNS服务器的DoS攻击可以达到错误解析IP地址的目的。 DoS攻击方法的分类与比较 1. Ping Of Death（死亡之Ping） IP包最大为65535Byte，内嵌于IP的ICMP允许的最大数据量为65535-20-8=65507Byte。 ? 如果底层协议的MTU（以太网为1500Byte）小于上层IP包大小，IP包就应分片。 ? 接收时对IP分片进行重组，若重组后包的长度超过65535Byte，就出现溢出和崩溃现象。 Ping Of Death的防范 ? 早期Ping允许定制包大小，让目标主机拒绝服务。 ? 目前所有TCP/IP协议栈已能对付超大尺寸包。 ? 多数防火墙都可自动过滤这种攻击。 ? Windows中的Ping命令最多只允许发送65500Byte的数据，Linux则一律是84Byte。 2. Teardrop（泪滴/碎片攻击） 协议栈对收到的相同ID的IP分片重组时，会出现一些重叠现象——分片重组程序不能处理第二个分片在第一个分片内的特殊情况。 ? Jolt2拒绝服务攻击利用IP分片重组漏洞：所有IP分片的偏移叠加后超出正常IP包的大小。 ? 状态检测防火墙能处理异常分片：丢弃过小分片、丢弃特殊重叠分片。 分片重组程序的问题 if (offset2end1) { offset2=end1; len2=end2-offset2; } 但由于这时end2小于新的offset2，len2是负值，在随后处理中会产生致命失误（补码/溢出/系统崩溃）。 3. UDP Flood 原因： ? 没有修改系统的缺省配置 ? 开放易受攻击的服务端口 ① 没必要打开这些端口（不需提供小号端口服务） ② 缺省打开则显示出系统功能 ③ 减少昂贵的技术支持服务的费用 UDP Flood利用的服务 UDP Flood利用如下服务的弱点： ① Echo服务（TCP 7和UDP 7）对接收到的每个字符进行回送。 ② Chargen服务（TCP 19和UDP 19）对接收到的每个数据包都返回一些随机生成的字符。 即如果与Chargen服务建立了连接，它会不断返回乱字符直到连接中断。 UDP Flood的实现原理 1）黑客选择两个目标A和B； 2）生成伪造的UDP包，目的地是B的Charge