拒绝服务攻击技术

拒绝服务攻击技术(DDOS)现状分析技术拒绝服务技术的创新已经基本尘埃落定，而上个世纪最后十年的发明也逐渐遥远。

然而，随着宽带接入、自动化和如今家庭计算机功能的日益强大，使得对拒绝服务攻击的研究有些多余。

尤其是当我们发现一些本已在90年代末销声匿迹的古老的攻击方式，(例如land ，其使用类似的源和目标IP 地址和端口发送UDP 信息包)这些攻击技术现在又卷土重来时，这个结论就更加显而易见。

在这一方面唯一的进步就是可以发起并行任务，从而可以通过简单的486 处理器所无法实现的方式来显著提高攻击强度。

另一个要考虑的重点是事实上IP堆栈似乎并未正确地安装补丁程序。

计算机不再会因为单一的信息包而崩溃；但是，CPU操作会为了处理这种信息包而保持高速运行。

因为补丁失效期间生成的信息包是有限的，所以要实现有效的攻击并不容易。

可能是技术提高得太快。

不管是什么原因，这些陈旧过时的攻击方式现在又卷土重来，而且还非常有效。

使用拒绝服务拒绝服务攻击开始可能只是为了“取乐”，对系统操作员进行某种报复或是实现各种复杂的攻击，例如对远程服务的隐形欺骗。

某人因在某一信道上遭到侮辱后也经常会将IRC服务器作为攻击目标。

这种情况下的网络和因特网使用是“保密的”，这些攻击对其造成的影响微乎其微。

随着时间的流逝，因特网逐渐成为一种通信渠道，hacktivism（网络激进主义）越来越流行。

地理政治形势、战争、宗教问题、生态等任何动机都可能成为对公司、政治组织或甚至国家的IT基础架构发动进攻的动机。

最近的拒绝服务攻击更多的是与联机游戏有关。

某些玩家对在游戏中被人杀死或丢失他们喜爱的武器不满意，因此发动拒绝服务攻击，许多服务器已经成为这种攻击的牺牲品。

但是如今使用拒绝服务的目的大多数是纯粹的敲诈勒索。

越来越多的企业开始依赖他们的IT基础架构。

邮件、关键数据、甚至电话都通过网络来处理。

如果没有这些主要的通信渠道，大多数公司都难以在竞争中幸存。

而且，因特网还是一种生产工具。

例如，搜索引擎和博彩web 站点都完全依赖网络连接。

因此，随着公司直接或间接地依赖因特网，原有的敲诈信逐渐转变成数字形式。

首先在短暂而非紧要的时间段内发动攻击。

然后受害者就不得不支付“保护费”。

网络协议攻击这些攻击瞄准传输信道，并因此以IP堆栈作为攻击目标，IP堆栈是内存和CPU 之类关键资源的进入点。

SYN洪水SYN洪水是典型的基于概念的拒绝服务攻击，因为这种攻击完全依赖于TCP连接的建立方式。

在最初的 3 向握手期间，服务器填写保存内存中会话信息的TCB（传输控制块）表。

当服务器收到来自客户机的初始SYN 信息包时，向客户机发送回一个SYN-ACK 信息包并在TCB 中创建一个入口。

只要服务器在等待来自客户机的最终ACK 信息包，该连接便处于TIME_WAIT 状态。

如果最终没有收到ACK 信息包，则将另一个SYN-ACK 发送到客户机。

最后，如果经多次重试后，客户机没有认可任何SYN-ACK 信息包，则关闭会话并从TCB 中刷新会话。

从传输第一个SYN-ACK 到会话关闭这段时间通常大约为30 秒。

在这段时间内，可能会将数十万个SYN信息包发送到开放的端口且绝不会认可服务器的SYN-ACK 信息包。

TCB 很快就会超过负荷，且堆栈无法再接受任何新的连接并将现有的连接断开。

因为攻击者不用接收来自服务器的SYN-ACK 信息包，所以他们可以伪造初始SYN 信息包的源地址。

这就使得跟踪攻击的真实来源更加困难。

此外，因为SYN-ACK 信息包没有发送到攻击者，所以这样还为攻击者节省了带宽。

生成这种攻击很容易，只要在命令行输入一条命令就足够了。

#hping3--rand-source–S –L 0 –p存在的变体也很少，通常为了增加CPU的使用率会将某些异常添加到SYN 信息包。

这些可能是序列号或源端口0等合法的异常。

SYN-ACK洪水SYN-ACK洪水的作用基础是令CPU资源枯竭。

从理论上讲，这种信息包是TCP 3 向握手的第二步，而且在TCB 中应该有对应的入口。

浏览TCB 将会使用CPU 资源，尤其TCB 很大时会耗用更多的CPU 资源。

因此，负荷较重时，这种对资源的使用会影响系统性能。

这也就是SYN-ACK攻击所仰仗的利器。

向系统发送一个巨荷的SYN-ACK 信息包会显著增加系统CPU 的使用率。

因此，用于组织TCB 的哈希算法和哈希表大小之选择会影响攻击的效率（请参阅“概念”和“逻辑缺陷”）。

而且，因为这些SYN-ACK 信息包不属于现有的连接，所以目标机器不得不将RST 信息包发送到源机器，从而增加了链路上的带宽占用率。

对于SYN 洪水，攻击者为了避免接收到RST，当然可以伪造源机器的IP 地址，这样还可以提高攻击者的可用带宽。

这也只需要一条简单的命令就可以进行这种攻击。

一个重要因子是由第三方服务器基于反射机制而生成SYN-ACK信息包的能力。

在将SYN 信息包发送到服务器的开放端口时，该服务器将SYN-ACK 信息包发送回源机器。

此时任何服务器都可能为这种攻击充当中继。

发送到服务器的简单SYN 信息包带有伪造的源，其发送到目标时生成SYN-ACK 返回目标。

这种技术让跟踪更加困难。

而且，在某些情况下，还可以绕过某些防伪机制。

尤其当目标和攻击者属于同一干道而且部署的uRPF (参阅“防伪”)距离目标机器和攻击者足够远时，更有可能避开防伪机制。

通过与SYN洪水联结还可以提高此种攻击的强度。

SYN洪水在TCB 中创建入口，而TCB因此变得越来越大。

由于此时浏览TCB 所需的时间更长，所以SYN-ACK 洪水的功效大大增加。

UDP洪水UDP同样天生就是拒绝服务攻击的传播媒介。

按照指定，在封闭端口上接收UDP信息包的服务器将无法到达ICMP 端口的信息包发送回给源机器。

ICMP 信息包的数据部分填充有原始UDP 信息包中的至少前64 个字节。

因为没有标准限度或额度，所以很可能在封闭的端口上发送巨量的信息包。

在为生成ICMP 而进行负荷极大的必需操作时，，错误的信息包消耗了大量CPU 资源，最终导致CPU 资源枯竭。

同样，也可以从命令行生成这种攻击。

而且，也可以通过伪造而使得ICMP信息包不会降低攻击者的带宽。

异常异常属于特殊情况，其可以令IP堆栈出现行为错误而造成各种不同的后果，例如崩溃、冻结等等。

异常可划分为两大类：非法数据和隔离异常。

非法数据是标准所不予考虑的或予以显式否定的值或内容。

大于指定长度的信息包、重叠的TCP标记组合、含非空认证序列号的SYN 信息包或甚至错误的选项类型都属于基于非法数据的异常攻击。

隔离异常是基于那些堆栈不能正常处理的异常情况（即便从标准的视角看它们完全合法）。

著名的“死亡之ping”就是关于巨型（但仍然合法）ICMP回显请求信息包。

如果信息包带有相同的源地址、目标地址和端口，其仍然是合法的，不过对IP 协议栈有害。

古老的land 攻击最近已脱胎换骨成为imland，而且正在破坏IP协议栈。

只有少数异常攻击仍然能够利用单一信息包击倒系统。

大多数堆栈都已打上补丁程序，而且可能大多数异常都已经过测试和开发。

然而，处理这种信息包仍然会占用CPU 的不少资源。

当5 年前异常攻击出现并得到补丁程序的修补时，攻击能力还受到CPU 和带宽的限制。

处理异常情况时产生的额外计算负担不太重要。

如今，工作站与服务器之间的差距日益缩小，而且任何人都可以使用宽带。

这种条件下可能发动巨型负荷的异常，使得目标机器的CPU 资源枯竭。

同样，也可以从单一的命令行实现这种攻击。

#hping3--rand-source–SAFRU –L 0 –M 0 –p --flood同样，仍然可以选择进行伪造来进行有效有效攻击。

应用程序级攻击网络已证明易受攻击。

然而网络只是全球系统中的传输部分，是中断通信的良好手段。

不过，应用程序通常是实际的攻击目标，而且这些应用程序也受到无数的拒绝服务问题的袭扰。

基于会话的攻击大多数应用程序连接是通过会话(通常经过TCP机制的标识) 来处理。

同步会话的数量是影响给定应用程序性能的重要因素，因此必须限制会话的数量。

如果该限制只是基于网络和传输信息（IP+TCP），那么生成拒绝服务是很容易的。

一次简单的攻击便可打开TCP 会话并让这些会话保持打开状态，从而可以迅速填满所有可用的会话槽，阻止建立任何新的会话。

这种“待决”会话攻击是与SYN 洪水等价的7 层攻击。

但是如果在第 4 层上需要有数千兆数据流量，则需要在几秒内发送数千个信息包来阻止建立任何新的会话，。

例如，很容易在web服务器上实施这种攻击。

完整和合法的会话也可以破坏应用程序，简单的F5攻击只需保持F5 键处于按下状态就可以强制完全刷新在Internet Explorer 上加载的web 页面。

使用这种古老而简易的攻击，便会仅仅因为需要服务的web 页面数过多而导致资源枯竭。

这种会话洪水攻击还可以破坏通信信道的其他关键路径。

电信链接：从服务器传送到客户机的数据量可以填满与因特网的链接。

这种情况下，通过该链接无法进行任何通信；针对性的拒绝服务攻击漫延至全球；服务器应用程序：大量同步连接可以达到服务器处理同步会话能力的上限，这种攻击类似于“待决的”会话攻击。

如果未设置上限，则处理大量会话时可能消耗绝大多数的系统资源。

第三方应用程序：大多数应用程序都链接到中间软件和数据库。

在任一情况下，由于这些第三方应用程序在处理原始应用程序发出的巨量请求时可能遇到内部问题，因此就可能出现瓶颈。

这些结果也可能是内部缺陷造成的（如下所述）。

继F5攻击技术之后，会话洪水技术便再无发展。

不过，人们已发现且广泛使用平衡因子而使得这种攻击仍然是拒绝服务中一种最恶性的可能情形。

概念和逻辑缺陷开发的应用程序是为了在正常情况下提供特定的服务，而攻击的目的就是令应用程序的行为方式出现异常。

这种攻击的某些机制是通用的，但是这种攻击的大多数机制是专用于各个不同应用程序的概念和逻辑，因此想要罗列出全部有缺陷的应用程序和消灭这些缺陷的方法是不可能的。

内部内存处理显然是可以导致拒绝服务攻击的第一内部机制。

简单的“缓冲溢出”使得重写堆栈成为可能，从而让应用程序乃至整个系统都不稳定。

在不同级别的应用程序通道中缺少输入检查，也使得攻击会沿着第三方应用程序传播而增加攻击的可能性。

然而，内部缺陷更加难以琢磨，更加难以修补。

依赖于NFA引擎的规则表达式可能极具危险性。

NFA引擎分析表达式的所有可能路径。

如有一个字符令搜索失效，该引擎便会返回前一个匹配点并重试表达式的所有组合。

若针对精心制作的输入而启动像通配符* 之类极耗资源的运算符和像(int|integer) 之类OR 条件的组合，则会产生致命的影响。