科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道DDos攻击之失败与完成及防卸之探索篇

DDos攻击之失败与完成及防卸之探索篇

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

我们发现,当我们进行DDOS的时候,由于各种原因使你对目标主机造不成威胁,更有甚者的是,目标机器没有任何反应,而你自己却死掉了。这个问题一直困扰着我相当长一段时间,最近与WinEggDrop谈到此事的时候得到了一些答案:

来源:比特网 2009年9月6日

关键字: DOS/DDOS DDoS攻击 DDos

  • 评论
  • 分享微博
  • 分享邮件

  我们发现,当我们进行DDOS的时候,由于各种原因使你对目标主机造不成威胁,更有甚者的是,目标机器没有任何反应,而你自己却死掉了。这个问题一直困扰着我相当长一段时间,最近与WinEggDrop谈到此事的时候得到了一些答案:

  第一、也就是大家最常说的,自己的机器系统资源严重不足,机器死掉了,这是非常有可能的,当我们进行ddos之前,先用 taskmgr.exe 命令查看cpu使用情况,我们会发现cpu使用率一般在1%-5%左右,如果你的机器不是做为WEB服务器的话。而你进行ddos的时候再去查看,cpu使用率会突然上升到 95%-100% ,这时如果你的机器承受不住的话,首先死掉的当然是你。

  第二、这个问题一直没有找到答案,但确实是存在的,由于各种原因及你的机器配置问题,你的机器本身发不出假IP源地址的数据封包,所以你发出的真实IP源地址数据封包达到目标主机的时候,你就造成不了什么威胁了,相反的如果目标机器管理员把你的数据包认做是攻击行为的时候,你就把自己置于危险的境地了。

  第三、目下最流行的攻击手法是 SYN Flood ,这种攻击手段由于不是以耗费尽目标系统资源和带宽为目地,所以并不需要太多肉鸡即可以达到攻击的目地,几台足矣!SYN Flood 原理在此不想细说了,这种攻击主要是针对 TCP/IP 第三次握手。

  当我们用SYN Flood进行攻击前,使用 Sniffer 之类的软件对我们所发的数据封包进行检测,查到源地址是我们所造的假IP,但这时并不表示你已经可以进行攻击了,因为有时你会奇怪的发现,当你的数据封包到达目标主机时,你的源地址竟莫名其妙的变成了你的真实IP地址,其实这时候就是你的ISP在做怪了。

  近年来,由于DDOS的猖獗,以及攻击手法的简单化,使大多数不需要懂许多计算机原理的人就可以做到攻击,只要会有鼠标的人就会攻击,这种现象确实很可笑,亦复可忧,所以ISP及硬件生产厂商均有不同的对策来抑制这种情况,由于我们都没有进入过电信机房里去研究哪些设备,所以并不了解他们的动作情况,但我们可以肯定的说原因就出在那里。

  当你的ISP注册了某段IP,比如说是 1.1.1.1—1.1.1.255,这时你的一切网络行为就都在他的掌握之下,并受到其监测了,如果这时你发送假IP源地址数据封包,ISP会做出三种反映:

  一是不予理睬,允许你通过,这种情况是最理想的了。

  二是过滤掉你的数据包,不允许你发送出去,这就是为什么目标主机没有反映的原因了。

  三就是把你的假IP源地址转换成你的真实源IP地址发出去,这时你就与目标主机不断的SYN----SYN+ACK----SYN+ACK,如果你的机器性能及带宽均不如目标主机的话,你就会很快的死掉。其实这也不完全是你的机器性能问题,因为你的机器需要不断的制造数据封包,所以首先你的机器就已经承受了很大的压力,如果再被目标主机被动攻击的话,你的情况就会很不乐观,更糟糕的是,由于你是从目标主机上死掉的,这时你的终端连接会被你的肉机记录下来以等待你下次连接,如果有心人追查下去的话,你就暴露了。

  要解决这个问题的方法就是你先拥有两台机器,从你的攻击主机向你的目标机器发送SYN,当然了,你只能做很少量的攻击,不要把目标主机搞死掉。然后到目标主机上使用 netstat -an|find "port" 来查看SYN连接情况,如果成功的话,会发现有许多 SYN LISTENING 连接,并且都是你制造的假IP地址。

  当你通过上面几项检测成功,证明你的机器可以发送假IP的址的时候,你就拥有了一台DDOS主机了,如果你这台机器的性能可以达到每秒制造10万个假IP数据封包并不费力的发送出去的话?我想你就对网络造成威胁了,但这种情况却又是可遇而不可求。

  为什么把防御写在最后呢,首先因为想法还很不成熟,不敢摆在前面献丑,另外想到总是先存在攻击才会产生防御,所以就这样了。

  1、当你只有一个IP的情况:

  在局域网内部:多台服务器使用同一IP,当有SYN请求时候,多台服务器进行竞争,谁竞争到了谁就连接,这样的话,一旦正在工作的服务器出了问题,就会自动有其他的服务器替换。

  2、拥有多个IP的情况:

  广域网里服务器A和服务器B上同时运行一个线程,假设A现在提供服务,那么该线程在运行时就不断告诉B“我还活着”这类的消息,一旦该线程无法发送此类消息了,B就会认为A已经死掉了,就会自动切换过去,取代A。

  3、使用网关,路由表,一旦出现了问题,进行自动切换。

  4、具体情况需要在算法中实现,欢迎有志之士研究。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章