DoS和DDoS攻击全解
浅谈DOS与DDOS攻击
浅谈DOS与DDOS攻击DOS(Denial of Service)攻击，即拒绝服务攻击，其目的是使计算机或网络无法提供正常的服务。
最常见的DoS攻击有计算机网络带宽攻击和连通性攻击。
DDOS(DDoS:Distributed Denial of Service)攻击，即分布式拒绝服务攻击，指的是借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。
那这两者之间有什么区别呢？简单地讲，Dos是利用自己的计算机攻击目标，也是一对一的关系，而DDOS是DoS攻击基础之上产生的一种新的攻击方式,利用控制成百上千台计算机，组成一个DDOS攻击群，同一时刻对目标发起攻击。
目前主要流行的DDOS有三种：1、SYN/ACK Flood 攻击这种攻击方法是经典最有效的DDOS 方法，可通杀各种系统的网络服务，主要是通过向受害主机发送大量伪造源IP 和源端口的SYN 或 ACK 包，导致主机的缓存资源被耗尽或忙于发送回应包而造成拒绝服务，由于源都是伪造的故追踪起来比较困难，缺点是实施起来有一定难度，需要高带宽的僵尸主机支持。
少量的这种攻击会导致主机服务器无法访问，但却可以 Ping 的通，在服务器上用Netstat -na 命令会观察到存在大量的SYN_RECEIVED 状态，大量的这种攻击会导致Ping 失败、TCP/IP 栈失效，并会出现系统凝固现象，即不响应键盘和鼠标。
普通防火墙大多无法抵御此种攻击。
2、TCP 全连接攻击很多网络服务程序（如：IIS、Apache 等W eb 服务器）能接受的 TCP 连接数是有限的，一旦有大量的 TCP 连接，即便是正常的，也会导致网站访问非常缓慢甚至无法访问，TCP 全连接攻击就是通过许多僵尸主机不断地与受害服务器建立大量的TCP 连接，直到服务器的内存等资源被耗尽而被拖跨，从而造成拒绝服务，这种攻击的特点是可绕过一般防火墙的防护而达到攻击目的，缺点是需要找很多僵尸主机，并且由于僵尸主机的 IP 是暴露的，因此容易被追踪。
DoS与DDoS技术详解
1.1DoS与的基本概念
“DoS”是Denial of Service，拒绝服务的缩写。所谓的拒绝服务是当前网络攻击手段中最常见的一种。它故意攻击网络协议的缺陷或直接通过某种手段耗尽被攻击对象的资源，目的是让目标计算机或网络无法提供正常的服务或资源访问，使目标系统服务停止响应甚至崩溃，而最值得注意的是，攻击者在此攻击中并不入侵目标服务器或目标网络设备，单纯利用网络缺陷或者暴力消耗即可达到目的。
通过上面的分析，可以看出与DoS的最大区别是数量级的关系，DoS相对于来说就像是一个个体，而是无数DoS的集合。另一方面，攻击方式较为自动化，攻击者可以把他的程序安装到网络中的多台机器上，所采用的这种攻击方式很难被攻击对象察觉，直到攻击者发下统一的攻击命令，这些机器才同时发起进攻。可以说攻击是由黑客集中控制发动的一组DoS攻击的集合，现在这种方式被认为是最有效的攻击形式，并且非常难以抵挡。
这个攻击方式到今天都有很多攻击者使用，后续的章节中我们将对此攻击方式进行详细分析。
1.2.5 IP欺骗攻击
这种攻击利用TCP协议栈的RST来实现，使用IP欺骗迫使服务器把合法用户的连接复位，影响合法用户的连接。假设现在有一个合法用户(123. 123. 123. 123)已经同服务器建立了正常的连接，攻击者构造攻击的TCP数据，伪装自己的IP为123. 123. 123. 123，并向服务器发送一个带有RST位的TCP数据段。服务器接收到这样的数据后，认为从123. 123. 123. 123发送的连接有错误，就会清空缓冲区中已建立好的连接。这时，合法用户123. 123. 123. 123再发送合法数据，服务器就已经没有这样的连接了，该用户就被拒绝服务而只能重新开始建立新的连接。
04-常见的攻击技术介绍——DDoS攻击
大量ACK冲击服务器
受害者资源消耗
查表 回应ACK/RST ACK Flood流量要较大才会对 服务器造成影响
攻击者
DDoS攻击介绍——Connection Flood
Connection Flood 攻击原理
攻击表象
攻击者
大量tcp connect
正常tcp connect 正常tcp connect
NETBIOS/SMB 微软专利的组网协议多年来一直存在着各种各样的问题，
他们的某些缓冲区溢出漏洞可以导致Dos攻击和NetBILS名字重叠攻击，遭到 攻击的Windows系统将无法接入自己所属的局域网。
DOS工具包 因为没有耐心去一种一种地尝试哪种攻击手段可以奏效，所
以有些黑客干脆利用脚本把自己收集到的攻击工具打包在一起去攻击目标系统。
最新的DDOS变体普遍依赖IRC的“机器人”功能来管理他们的攻击活动。在各种 “机器人”软件中，流传最广的是Agobot/Gaobot系列。
针对DOS攻击的防范措施
因为DOS攻击具有难以追查其根源（思考为什么难于追查）的特点， 所以DOS要比其他任何攻击手段都应该采用有抵御、监测和响应等多种 机制相结合的多重防线来加以防范。单独使用这些机制中的任何一种都 不能保证百分之百的安全，但如果把它们结合起来，就可以把网络财产 所面临的风险控制在一个适当的水平。
伪造地址进行SYN 请求
就是让 你白等
SYN （我可以连接吗？） 不能建立正常的连接！
为何还 没回应
受害者
攻击表象
SYN_RECV状态 半开连接队列
遍历，消耗CPU和内存 SYN|ACK 重试 SYN Timeout：30秒~2分钟 无暇理睬正常的连接请求—拒 绝服务
高防服务器之DDOS和DOS的区别
高防服务器之DDOS和DOS的区别【来源：小鸟云计算】小鸟云，「年末大促」，云服务器1折起。
DDOS是DOS攻击中的一种方法，但事实上DOS的攻击方式有很多种，比如下面的常见的5种。
下面，我们一起来看。
DoS：是Denial of Service的简称，即拒绝服务，不是DOS操作系统，造成DoS的攻击行为被称为DoS攻击，其目的是使计算机或网络无法提供正常的服务。
最常见的DoS攻击有计算机网络带宽攻击和连通性攻击。
DDoS：分布式拒绝服务(Distributed Denial of Service)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。
事实上DOS的攻击方式有很多种，比如下面的常见的：1. SYN FLOOD利用服务器的连接缓冲区(Backlog Queue)，利用特殊的程序，设置TCP的Header，向服务器端不断地成倍发送只有SYN标志的TCP连接请求。
当服务器接收的时候，都认为是没有建立起来的连接请求，于是为这些请求建立会话，排到缓冲区队列中如果SYN请求超过了服务器能容纳的限度，缓冲区队列满，那么服务器就不再接收新的请求了。
其他合法用户的连接都被拒绝掉。
可以持续SYN请求发送，直到缓冲区中都是自己的只有SYN标记的请求。
2. IP欺骗DoS攻击这种攻击利用RST位来实现。
假设现在有一个合法用户(1.1.1.1)已经同服务器建立了正常的连接，攻击者构造攻击的TCP数据，伪装自己的IP为1.1.1.1，并向服务器发送一个带有RST位的TCP数据段。
服务器接收到这样的数据后，认为从1.1.1.1发送的连接有错误，就会清空缓冲区中建立好的连接。
这时，如果合法用户1.1.1.1再发送合法数据，服务器就已经没有这样的连接了，该用户就必须从新开始建立连接。
攻击时，伪造大量的IP地址，向目标发送RST数据，使服务器不对合法用户服务。
图解DoS与DDos攻击工具基本技术
DoS (Denial of Service)攻击其中文含义是拒绝服务攻击，这种攻击行动使网站服务器充斥大量要求回复的信息，消耗网络带宽或系统资源，导致网络或系统不胜负荷以至于瘫痪而停止提供正常的网络服务。
黑客不正当地采用标准协议或连接方法，向攻击的服务发出大量的讯息，占用及超越受攻击服务器所能处理的能力，使它当(Down)机或不能正常地为用户服务。
“拒绝服务”是如何攻击的通过普通的网络连线，使用者传送信息要求服务器予以确定。
服务器于是回复用户。
用户被确定后，就可登入服务器。
“拒绝服务”的攻击方式为：用户传送众多要求确认的信息到服务器，使服务器里充斥着这种无用的信息。
所有的信息都有需回复的虚假地址，以至于当服务器试图回传时，却无法找到用户。
服务器于是暂时等候，有时超过一分钟，然后再切断连接。
服务器切断连接时，黑客再度传送新一批需要确认的信息，这个过程周而复始，最终导致服务器无法动弹，瘫痪在地。
在这些 DoS 攻击方法中，又可以分为下列几种：TCP SYN FloodingSmurfFraggle1.TCP Syn Flooding由于TCP协议连接三次握手的需要，在每个TCP建立连接时，都要发送一个带SYN标记的数据包，如果在服务器端发送应答包后，客户端不发出确认，服务器会等待到数据超时，如果大量的带SYN标记的数据包发到服务器端后都没有应答，会使服务器端的TCP资源迅速枯竭，导致正常的连接不能进入，甚至会导致服务器的系统崩溃。
这就是TCPSYN Flooding攻击的过程。
图1 TCP Syn攻击TCP Syn 攻击是由受控制的大量客户发出 TCP 请求但不作回复，使服务器资源被占用，再也无法正常为用户服务。
服务器要等待超时(Time Out)才能断开已分配的资源。
2.Smurf 黑客采用 ICMP(Internet Control Message Protocol RFC792)技术进行攻击。
第七章DOS和DDOS攻击
（2）按病毒破坏程度分： • 良性病毒 • 恶性病毒
7.2.1
（3）按病毒寄生方式分： • 引导型病毒 • 文件型病毒 • 宏病毒 • 网页脚本病毒 • 蠕虫病毒
计算机病毒概述
7.2.1
计算机病毒概述
4.计算机病毒的主要来源 （1）引进的计算机系统和软件中带有病毒。 （2）各类出国人员带回的机器和软件染有病毒。 （3）一些游戏软件染有病毒。 （4）非法复制中毒。 （5）计算机生产、经营单位销售的机器和软件染有病毒。 （6）维修部门交叉感染。 （7）有人研制、改造病毒。 （8）敌对分子以病毒进行宣传和破坏。 （9）通过Internet传入。
•
ARP欺骗与防御
当局域网内某台主机运行ARP欺骗的木马程序时，会欺骗局域 网内所有的主机和路由器，让所有的流量必须经过病毒主机。其 他用户原来直接通过路由器上网现在转由通过病毒主机上网，切 换时用户会断一次线。切换到病毒主机上网后，如果用户已经登 录了游戏服务器，那么病毒主机就会经常伪造断线的假象，用户 就得重新登录游戏服务器，这样病毒主机就可以盗号了。 • 由于进行ARP欺骗的木马程序发作时会发出大量的数据包，导 致局域网通信拥塞，并且由于局域网自身处理能力有限，用户会 感觉上网速度越来越慢。当进行ARP欺骗的木马程序停止运行时， 用户会恢复从路由器上网，切换过程中用户会再断一次线。
7.3.2
ARP欺骗与防御
ARP病毒攻击的防御方法有： • （1）在网络所有结点计算机上安装ARP防火墙。 • （2）设置静态的MAC地址与IP地址对应表，不要让主机刷新设定 好的转换表。
7.3.3
特洛伊木马攻击与防御
•
特洛伊木马（trojan horse）简称“木马”。木马程序是目前比较 流行的病毒，与一般的病毒不同，它不会自我繁殖，也并不刻意 地去感染其他文件，它通过将自身伪装而吸引用户下载执行，向 施种木马者提供打开被种者计算机的门户，使施种者可以任意毁 坏、窃取被种者的文件，甚至远程操控被种者的计算机。
流媒体服务DoS及DDoS攻击分析
１ ．６ １ ３ ｏ１
・
计
算
机
工
程
２１ ０ ０年 ３月
Ｍ ａ ｃ ０ ０ ｒ ｈ２ １
Ｎｏ６ ．
Ｃｏ ｐ ｅ ｍ ｕｔ ｒＥｎｇ ｎｅ ｒ ｎｇ ｉ ｅｉ
安 全技术 ・
文章编号：１ ０ ４８ｏ０ ６＿１６ ０ 文 ０ —３２（ １０＿ｏ４ ＿３ ０ ２ ） ＿ 献标识 Ａ 码：
Ｃ Ｎ Ｌ ｉ Ｉ Ｇ ｉ， Ｉ ｉ， ＥＤｅ ｉｎ ＨＥ ｅ ＪＡＮ Ｌｎ Ｌ ｕ Ｘ ｎ Ｙ －ａ ， ｊ
（ｏ ｔ ｒ ｃ ｏ ｌＦｕ ａ ｉｅｓｔ， ｈ ｎ ｈ ｉ ０１ ０ ） Ｓ ｆｗａｅＳ ｈ ｏ ， ｄ ｎＵｎｖ ｒｉｙ Ｓ ａ ｇ ａ ２ ３ ２
［ ｓ ｃｌ１ ｅｐ ｓｉｉｔ ｏ ＳａｄＤＤｏ ｔｃ ｓｉ ｐ ｉｔｄｏ ｔ ｎｓ ｅｍｉｇｍｅ ｉ ｓｒｉ ｙａ ａｙｉｇｔｅｐｏｅ ｕｅｏ Ｔ Ｐａ ｄｉｉ Ａｈ￣ａｔ ］ ｏｓ ｌｙ ｆ ｎ ｈ ｂ ｉ Ｄｏ Ｓａｔ ｋ ｓ ｏｎｅ ｕ ｏ ｔ ａ ｎ ｄａ ｅｖｃ ｂ ｎｌｚｎ ｒｃｄ ｒ ｆ Ｓ ｎ ｔｓ ａ ｒ ｅ ｈ Ｒ
英特普及和应用非常迅速成功 ；然而 ，这也导致了英特 网的诸 多安全隐患。Ｉ Ｐ网络缺乏安全确认机 制，使得英特 网 上 Ｄ Ｓ及 ＤＤ Ｓ攻击 日益严重。 ｏ ｏ
（） １单次会 话网络数据传输 量大 ，服务器负载较重 。流媒 体应用的这一特点使得针对流媒体 的 Ｄ Ｓ Ｄ ｏ 攻击效果更 ｏ，Ｄ Ｓ 加明显 ，也使得相应 的防御需求更加迫切 。 （） ２用户体验具有实时、连续的要求 。流媒体应用在整个 过程 中要持续保证服务质量 ，即使是阶段性的 Ｄ Ｓ Ｄ ｏ ｏ ， Ｄ Ｓ攻
ｖ ｒｆｅ ｙ ｓｍｕ ａ ｉ ｇ ａ ｔｃ ｃ ｎ ｒ Ｓ ｄ ｆ ｎ ｅ ｓ ｈ ｍｅ ｏ ｔｅ ｍｉ ｇ ｍ ｅ ｉ ｅ ｖ ｃ ’ Ｄｏ ｎ ｅ ｉｉｄ ｂ ｉ ｌｔｎ ｔａ ｋ ｓ ｅ ａ ｉ， Ａ ｅ ｅ ｓ ｃ ｅ ｎ ｓｒ ａ ｎ ｄ ａ ｓ ｒ ｉ ｅ Ｓ Ｓ ａ ｄ ＤＤｏ ｔ ｃ ｒ ｂ ｅ ｉ ｒ ｐ ｓ ｄ． ｌ ｃ ｅ ｓ Ｓ ａ ｔ ｋ ｐ ｏ ｌｍ ｓｐ ｏ ｏ ｅ ｎ ｉ ｓ ｈ ｍｅｉ ａ ｓ
DoS 攻击及解决方案
DoS 攻击及解决方案概述：在网络安全领域中，拒绝服务攻击（Denial of Service，简称DoS）是一种恶意行为，旨在通过使目标系统或网络资源无法提供正常服务来瘫痪或限制其可用性。
本文将介绍DoS攻击的原理和常见类型，并提供一些解决方案来减轻和防止这类攻击对系统和网络的影响。
1. DoS 攻击原理：DoS攻击的基本原理是通过向目标系统发送大量的请求或者占用大量的系统资源，使目标系统无法正常响应合法用户的请求。
攻击者通常利用网络的弱点或者系统的漏洞来实施攻击。
下面是一些常见的DoS攻击类型：1.1 SYN Flood 攻击：攻击者通过向目标系统发送大量伪造的TCP连接请求（SYN包），占用目标系统资源，导致合法用户无法建立有效连接。
1.2 ICMP Flood 攻击：攻击者利用Internet控制消息协议（ICMP）发送大量的伪造请求，使目标系统的网络带宽被占满，导致合法用户无法正常访问。
1.3 UDP Flood 攻击：攻击者发送大量伪造的用户数据报协议（UDP）数据包到目标系统，占用目标系统的网络带宽和系统资源，导致合法用户无法正常访问。
1.4 HTTP Flood 攻击：攻击者通过发送大量的HTTP请求到目标系统，占用目标系统的网络带宽和服务器资源，使合法用户无法正常访问网站。
2. DoS 攻击解决方案：为了减轻和防止DoS攻击对系统和网络的影响，可以采取以下解决方案：2.1 流量过滤和限制：通过使用防火墙、入侵检测系统（IDS）和入侵防御系统（IPS）等安全设备，对网络流量进行过滤和限制。
这些设备可以根据预定的规则过滤掉来自攻击者的恶意流量，并限制对目标系统的访问请求。
2.2 负载均衡和流量分发：通过使用负载均衡器和流量分发器，将来自用户的请求分散到多个服务器上。
这样可以减轻单个服务器的压力，提高系统的可用性，并且能够在一定程度上抵御DoS攻击。
2.3 增加带宽和资源：通过增加网络带宽和系统资源，可以提高系统的处理能力和容量，从而减轻DoS攻击对系统的影响。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
四川工程职业技术学院计算机科学系
减少危险总则
严格的网络安全政策，限定进出信息 联系网络设备商，操作系统商，安装最新补丁 联系ISP，实施防护 监测系统登录数据，网络信息流 路由器，防火墙添加过滤规则 定期进行漏洞扫描，确保系统没有“僵尸”程序 尽早实施实时监控系统
（6）Winnuke
发送特别构造的TCP包，使得Windows机器蓝屏 使得分散在因特网各处的机器共同完成对一台主机 攻击的操作，从而使主机看起来好像是遭到了不同 位置的许多主机的攻击。
（7）分布式拒绝服务攻击
四川工程职业技术学院计算机科学系
DDoS的种类
分布式拒绝服务攻击工具-- Trinoo
Trinoo守护程序的二进制代码包最初是在一些Solaris 2.x主机中发现的， 这些主机是被攻击者利用RPC服务安全漏洞“statd”、“cmsd”和 "ttdbserverd"入侵的。
分布式拒绝服务攻击工具-- Tribe Flood Network
德国著名黑客Mixter(年仅20岁)编写的分布式拒绝服务攻击工具——“Tribe Flood Network（TFN）” TFN与另一个分布式拒绝服务攻击工具"Trinoo"相似，都在互联网的大量Unix系统中开发和测试。
6.3.1 DoS工具TfGen的使用
TfGen是一个免费的流量生成的软件。它可以 向目标主机的特定端口发送TCP和UDP的数据 包，以模拟网络流量。
四川工程职业技术学院计算机科学系
6.3.2 DoS工具WAN Killer的使用
WAN Killer也是一款简单小巧的流量生成的 软件，是网络管理软件Solarwinds中的一个 组件。
四川工程职业技术学院计算机科学系
DDoS攻击的动机
发动攻击的动机:
引起业界注意 恶意行为(不同见解；破坏墙壁) 好奇心(测试下载软件)
商业竞争 不满的雇员/客户 金钱利欲(i.e. 控制股市) 政治动机
长远看, DDoS类攻击使用因素:
“三次握手”：(SYN request;SYN/ACK;ACK) 用户传送信息 要求服务器予以确认,服务器接收到客户请求后回复用户， 用户被确认后，建立连接，登录服务器。
四川工程职业技术学院计算机科学系
“拒绝服务”（DoS）的攻击方式
“拒绝服务”的攻击方式为：用户传送众多要求确认的信 息到服务器，使服务器里充斥着这种无用的信息。 所有 的信息都有需回复的虚假地址，以至于当服务器试图回 传时，却无法找到用户。服务器于是暂时等候，有时超 过一分钟，然后再切断连接。服务器切断连接时，黑客 再度传送新一批需要确认的信息，这个过程周而复始， 最终导致服务器处于瘫痪状态
网络安全技术应用
第6 章
DOS和DoS原理 掌握DoS和DDoS工具的使用方法 掌握DoS和DDoS的防御方法
四川工程职业技术学院计算机科学系
什么是DoS攻击?
Denial of Service (DoS) 拒绝服务攻击,
攻击者利用大量的数据包“淹没”目标主机，耗尽 可用资源乃至系统崩溃，而无法对合法用户作出响 应。(电子邮件)
Targeted System
四川工程职业技术学院计算机科学系
DDoS Attack Illustrated
Hacker Master Server
Zombies
5
主控端向“僵尸”发送攻 击信号，对目标发动攻击
Internet
目标系统 System
四川工程职业技术学院计算机科学系
2 使用访问控制列表（ACL）过滤RFC 1918列出的地址。
interface xy ip access-group 101 in access-list 101 deny ip 10.0.0.0 0.255.255.255 any access-list 101 deny ip 192.168.0.0 0.0.255.255 any access-list 101 deny ip 172.16.0.0 0.15.255.255 any access-list 101 permit ip any any
四川工程职业技术学院计算机科学系
（5）Smurf Smurf攻击 Smurf是一种较早的DDoS攻击。它的原理如下：攻击者冒用 攻击目标主机的IP地址向一个网络的广播地址发送伪造 ICMP 包，例如从目标主机 (1.2.3.4) 到另一个网络的广播地址 (6.7.8.255), 被利用网络的每一个主机(假如有100台机器) 都向 目标主机响应. 这样一来就放大了攻击者的带宽，给目标主机 带来威胁。 Smurf主要是没有正确配置路由器和防火墙。没有必要在远程 通信使用广播ICMP包。广播ICMP pings 只在LAN中用来确认 哪个IP地址被使用等等。在路由器或防火墙，应该屏蔽广播通 信。 如果想确认网络是否易遭到SMURF攻击，请访问下列网站， 输入你的网络地址，你将很快收到结果。 /index.html http://www.powertech.no/smurf/ 四川工程职业技术学院计算机科学系
四川工程职业技术学院计算机科学系
（3） Syn flooding –发送大量的SYN包 –系统中处于SYN_RECV状态的 socket 目标主机被 TCP连接请求淹没。请求连接的IP源地址和TCP 端口随机任意，迫使目标主机保持等候，耗用资源。 通常目标主机（HTTP和SMTP主机）服务进程缓慢，甚至宕 机。路由器“Out of Memory”。 属于第二级攻击。 （4） Land –发送一个TCP SYN包，包的SRC/DST IP相同， SPORT/DPORT相同 –导致目标机TCP/IP协议栈崩溃，系统死机或失去响应 –现有的操作系统基本上都能正确处理这种异常数据包， 不会出现问题
四川工程职业技术学院计算机科学系
6.4 DoS与DDoS的防范
为了抵御拒绝服务的攻击，可以使用下列两种方 法： 使用最新的安全修复程序更新计算机； 加固Windows Server 2003计算机上的 TCP/IP协议堆栈。默认的TCP/IP堆栈配置能够 处理正常的Intranet通信量。如果将计算机直 接连接到Internet，Microsoft建议加固 TCP/IP堆栈以抵御拒绝服务攻击。
四川工程职业技术学院计算机科学系
DDoS Attack Illustrated
黑客
Zombies
2
黑客在非安全主机上安装类 似“后门”的代理程序
Internet
四川工程职业技术学院计算机科学系
DDoS Attack Illustrated
黑客 主控主机
Zombies
3
黑客选择主控主机，用来 向“僵尸”发送命令
DDoS Attack Illustrated
黑客 主控主机
僵尸
，无法提供正常服务，甚 至系统崩溃
6 目标主机被“淹没” Internet
目标
服务请求被拒绝
合法用户
四川工程职业技术学院计算机科学系
DDoS攻击的系统
DDoS
可以针对所有系统进行攻击 Linux Solaris2.x Windows NT
Distributed Denial of Service (DDoS)分布式拒绝服务攻击,
攻击者利用因特网上成百上千的“Zombie”(僵尸)： 被利用主机，对攻击目标发动威力巨大的拒绝服务 攻击。 攻击者的身份很难确认。
四川工程职业技术学院计算机科学系
正常用户登录
分布式拒绝服务攻击工具-- Stacheldraht
“Stacheldraht”,德语意为“barbed wire“(带刺的铁丝网),结合了分布式拒绝 服务攻击工具”Trinoo”与“TFN”早期版本的功能，并增加了加密攻击者、 stacheldraht操纵器和可自动升级的代理程序间网络通讯的功能。
四川工程职业技术学院计算机科学系
DDOS
（1）Ping of Death –发送长度超过65535字节的ICMP Echo Request 数据包 –导致目标机TCP/IP协议栈崩溃，系统死机或重启 –现有的操作系统基本上都能正确处理这种异常数据包， 不会出现问题 （2） Teardrop –发送特别构造的IP 数据包 –导致目标机TCP/IP协议栈崩溃，系统死锁 –现有的操作系统基本上都能正确处理这种异常数据包， 不会出现问题
Internet
四川工程职业技术学院计算机科学系
DDoS Attack Illustrated
Hacker Master Server Zombies
4
通过客户端程序，黑客发送命令 给主控端，并通过主控主机启动 “僵尸”程序对目标系统发动攻 击
Internet
实时入侵探测和响应工具 收集法律资料起诉黑客
四川工程职业技术学院计算机科学系
Cisco路由器配置的建议
1 使用 ip verify unicast reverse-path命令 对所有数据包，在CEF(Cisco Express Forwarding)表中没有源IP地址路由，Drop it!. 用于防止SMURF和其他基于IP地址伪装的攻击。
信
四川工程职业技术学院计算机科学系
Trin00/TFN具体攻击过程
Hacker
27665/TCP Master 27444/UDP
31335/UDP
Master
Master
Broadcast Zombie
Broadcast Zombie
Broadcast Zombie