拒绝服务攻击.pptVIP

*Land攻击发生的条件是攻击者发送具有相同IP源地址、目标地址和TCP端口号的伪造TCPSYN数据包信息流。必须设置好SYN标记。其结果是该计算机系统将试图向自己发送响应信息，而受害系统将会受到干扰并会瘫痪或重启。最近的研究发现WindowsXPSP2和Windows2003的系统对这种攻击的防范还是非常薄弱的。事实上，Sun的操作系，BSD和Mac对这种攻击的防范都是非常薄弱的，所有这些系统都共享基于TCP/IP协议栈的BSD。服务供应商可以在边缘路由器的进入端口上安装过滤器对所有入内数据包的IP源地址进行检查，这样就可以阻止发生在会聚点后的LAND攻击。如果该源地址的前缀在预先规定的范围之内，则该数据包被转发，否则被丢弃。***整个攻击包括四方面主机：攻击者客户端、Handler（主控端）、Agent（代理端）以及目标主机。发动DDoS攻击时，攻击者在Client（客户端）操纵攻击过程。每个Handler（主控端）是一台已被入侵并运行了特定程序的系统主机。每个主控端主机能够控制多个Agent（代理端）。每个代理端也是一台已被入侵并运行特定程序的系统主机。每个响应攻击命令的代理端会向被攻击目标主机发送拒绝服务攻击数据包。

*拒绝服务攻击技术概况原理特点难确认性隐蔽性资源有限性软件复杂性拒绝服务（Dos－DenialofService)DoS的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务。或者说是利用合理的服务请求占有过多的服务资源，致使资源耗尽或是资源过载，造成服务器瘫痪，其他用户无法享用该服务资源。拒绝服务攻击技术分析拒绝服务攻击的基本模式：资源消耗型消耗网络带宽消耗磁盘空间消耗CPU和内存资源配置修改型基于系统缺陷型物理实体破坏型拒绝服务攻击分类使系统或网络瘫痪发送少量蓄意构造的数据包，使系统死机或重新启动。主要利用系统软件的Bug，一旦Bug被修正，攻击就不起作用系统恢复工作一般需要管理员的干预使系统或网络无法响应正常的请求发送大量的垃圾数据，使得系统无法处理正常的请求比较难杜绝恢复系统不需要或只需要少量的人工干预SYNFlood原理正常的三次握手建立通讯的过程SYN（我可以连接吗？）ACK（可以）/SYN（请确认！）ACK（确认连接）发起方应答方SYNFlood原理SYN（我可以连接吗？）ACK（可以）/SYN（请确认！）攻击者受害者伪造地址进行SYN请求为何还没回应就是让你白等不能建立正常的连接UDPflood原理UDP淹没攻击是导致基于主机的服务拒绝攻击的一种。UDP是一种无连接的协议，而且它不需要用任何程序建立连接来传输数据。当攻击者随机地向受害系统的端口发送UDP数据包的时候，就可能发生了UDP淹没攻击。当受害系统接收到一个UDP数据包的时候，它会确定目的端口正在等待中的应用程序。当它发现该端口中并不存在正在等待的应用程序，它就会产生一个目的地址无法连接的ICMP数据包发送给该伪造的源地址。如果向受害者计算机端口发送了足够多的UDP数据包的时候，整个系统就会瘫痪。Smurf攻击示意图第一步：攻击者向被利用网络A的广播地址发送一个ICMP协议的’echo’请求数据报，该数据报源地址被伪造成10.254.8.9第二步：网络A上的所有主机都向该伪造的源地址返回一个‘echo’响应，造成该主机服务中断。

SmurfSmurfB类网络攻击者冒充服务器向一个B类网络的广播地址发送ICMPecho包整个B类网络的所有系统都向此服务器回应一个icmpreply包PingofDeathPingofDeath发送长度超过65535字节的ICMPEchoRequest数据包导致目标机TCP/IP协议栈崩溃，系统死机或重启现有的操作系统基本上都能正确处理这种异常数据包，不会出现问题“拒绝服务”的例子:LAND攻击原理攻击者172.18.1.1InternetCode目标204.241.161.12欺骗性的IP包源地址204.241.161.12Port139目的地址204.241.161.12Port139TCPOpenG.MarkHardy“拒绝服务”的例子:LAND攻击攻击者172.18.1.1InternetCode目标204.241.161.12IP包欺骗源地址204.241.161.12Port139目