SYN-PROXY原理及应用.pptVIP

SYN Proxy原理及应用 目录 背景简介 Netfilter架构介绍 SKB Buffer结构介绍 TCP三次握手建立原理 怎样构造发送的SKB包 怎样向协议栈重发SKB包 SNY Proxy机制介绍 头脑风暴 背景简介 DOS(Denial of Service)和DDOS(Distributed Denial of Service)攻击原理 大体上可以理解为利用TCP三次握手协议的漏洞进行的一种攻击方式。 A. DOS：单挑式的攻击，就是拼谁的机器的配置高、性能好、速度快。 背景简介 DOS攻击 背景简介 B. DDOS 就是群殴，用好多的机器对目标机器一起发动DoS攻击，但这不是很多黑客一起参与的，这种攻击只是由一名黑客来操作的。这名黑客不是拥有很多机器，他是通过他的机器在网络上占领很多的“肉鸡”，并且控制这些“肉鸡”来发动DDoS攻击 背景简介 背景简介 C . SYN 攻击方法 一般情况下，TCP连接的建立需要经过三次握手，即： (1) TCP连接请求的发起者向目标服务器发送SYN报文； (2) 目标服务器收到SYN报文后，建立处于SYN_RECEIVED状态的TCP半连接，并向发起 者回复SYN ACK报文，等待发起者的回应； (3) 发起者收到SYN ACK报文后，回应ACK报文，这样TCP连接就建立起来了。 利用TCP连接的建立过程，一些恶意的攻击者可以进行SYN Flood攻击。攻击者向服务器发送大量请求建立TCP连接的SYN报文，而不回应服务器的SYN ACK报文，导致服务器上建立了大量的TCP半连接。从而达到耗费服务器资源，使服务器无法处理正常业务的目的 Netfilter架构介绍 Netfilter架构介绍 1.???????数据包捕获：netfilter通过在内核中所设不同位置的hook点捕获通过的IP数据包。 2.???????数据包处理：根据每个hook点上hook链上的处理模块处理经过的skb。 3.???????hook注册：用户、SElinux或者iptable根据自己的需要，在hook点上注册自己的数据处理模块。 Netfilter架构介绍 一段注册钩子的代码 static struct nf_hook_ops mac_ops[] = { { .hook = modify, .owner = THIS_MODULE, .pf = PF_BRIDGE, .hooknum = NF_BR_PRE_ROUTING, .priority = NF_BR_PRI_FIRST, }, { .hook = modifyserver, .owner = THIS_MODULE, .pf = PF_BRIDGE, .hooknum = NF_BR_POST_ROUTING, .priority = NF_BR_PRI_FIRST, }, }; Netfilter架构介绍 内核协议栈中实现钩子的方法 1、轮询NF_INET_PRE_ROUTING: int ip_rcv(struct sk_buff *skb, struct net_device *dev, struct packet_type *pt, struct net_device *orig_dev) // net/ipv4/ip_input.c { ???????……?????? ???????return NF_HOOK(PF_INET, NF_INET_PRE_ROUTING, skb, dev, NULL, ?????????????????????ip_rcv_finish); ???????…… } 2，轮询NF_INET_LOCAL_IN: *?????Deliver IP Packets to the higher protocol layers. int ip_local_deliver(struct sk_buff *skb) // net/ipv4/ip_input.c { ???????/* ????????*????Reassemble IP fragments. ????????*/ ???????if (ip_hdr(skb)-