DDoS培训.docx
- 文档编号:6345179
- 上传时间:2023-05-09
- 格式:DOCX
- 页数:8
- 大小:20.87KB
DDoS培训.docx
《DDoS培训.docx》由会员分享,可在线阅读,更多相关《DDoS培训.docx(8页珍藏版)》请在冰点文库上搜索。
DDoS培训
分布式拒绝服务攻击(DDoS)培训
学习目标
⏹DDoS攻击概念
⏹DDoS的产生
⏹被DDoS攻击时的现象
⏹7种DDoS攻击技术
⏹如何防止和减少DDoS攻击的危害
⏹一款Linux环境下的防御和减轻DDoS攻击的小程序(DDoSDeflate)
学习效果
⏹了解DDoS攻击原理以及产生的现象
⏹熟悉7种DDoS攻击技术以及如何防范DDoS攻击
⏹掌握DDoSDeflate的简易安装和配置
DDoS攻击概念
分布式拒绝服务攻击(DDoS)是目前黑客经常采用且难以防范的攻击手段。
DoS的攻击方式有很多种,最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源,从而使服务器无法处理合法用户的指令。
DDoS攻击手段是在传统的DoS攻击基础之上产生的一类攻击方式。
单一的DoS攻击一般是采用一对一的方式,当被攻击目标CPU速度低、内存小或者网络带宽小等各项性能指标不高时,它的效果是明显的。
随着计算机与网络技术的发展,计算机的处理能力迅速增长,内存大大增加,同时也出现了千兆级别的网络,这使DoS攻击的困难程度加大了-目标对恶意攻击包的"消化能力"加强了不少,例如你的攻击软件每秒钟可以发送3,000个攻击包,但我的主机与网络带宽每秒钟可以处理10,000个攻击包,这样一来攻击就不会产生什么效果。
这时候分布式拒绝服务攻击手段(DDoS)就应运而生了。
你理解了DoS攻击的话,它的原理就很简单。
如果说计算机与网络的处理能力加大了10倍,用一台攻击机来攻击不再能起作用的话,攻击者使用10台攻击机同时攻击呢?
用100台呢?
DDoS就是利用更多的傀儡机来发起进攻,以比从前更大的规模来进攻受害者。
高速广泛连接的网络给大家带来了方便,也为DDoS攻击创造了极为有利的条件。
在低速网络时代时,黑客占领攻击用的傀儡机时,总是会优先考虑离目标网络距离近的机器,因为经过路由器的跳数少,效果好。
而现在电信骨干节点之间的连接都是以G为级别的,大城市之间更可以达到2.5G的连接,这使得攻击可以从更远的地方或者其他城市发起,攻击者的傀儡机位置可以在分布在更大的范围,选择起来更灵活了。
DDoS的产生
DDOS最早可追述到1996年初,在中国2002年开始频繁出现,2003年已经初具规模。
近几年由于宽带的普及,很多网站开始盈利,其中很多非法网站利润巨大,造成同行之间互相攻击,还有一部分人利用网络攻击来敲诈钱财。
同时Windows平台的漏洞大量的被公布,流氓软件、病毒、木马大量充斥着网络,有些技术的人可以很容易非法入侵控制大量的个人计算机来发起DDOS攻击从中谋利。
攻击已经成为互联网上的一种最直接的竞争方式,而且收入非常高,利益的驱使下,攻击已经演变成非常完善的产业链。
通过在大流量网站的网页里注入病毒木马,木马可以通过Windows平台的漏洞感染浏览网站的人,一旦中了木马,这台计算机就会被后台操作的人控制,这台计算机也就成了所谓的肉鸡,每天都有人专门收集肉鸡然后以几毛到几块的一只的价格出售,因为利益需要攻击的人就会购买,然后遥控这些肉鸡攻击服务器。
被DDoS攻击时的现象
●被攻击的主机上有着大量等待的TCP连接
●网络中充斥着大量的无用数据包,源地址为假
●制造的高流量无用数据,造成网络拥塞,使受害主机无法正常和外界通讯,严重时会造成系统死机
大级别攻击运行原理
一个比较完善的DDoS攻击体系分成四大部分,先来看一下最重要的第2和第3部分:
它们分别用做控制和实际发起攻击。
请注意控制机与攻击机的区别,对第4部分的受害者来说,DDoS的实际攻击包是从第3部分攻击傀儡机上发出的,第2部分的控制机只发布命令而不参与实际的攻击。
对第2和第3部分计算机,黑客有控制权或者是部分的控制权,并把相应的DDoS程序上传到这些平台上,这些程序与正常的程序一样运行并等待来自黑客的指令,通常它还会利用各种手段隐藏自己不被别人发现。
在平时,这些傀儡机器并没有什么异常,只是一旦黑客连接到它们进行控制,并发出指令的时候,攻击傀儡机就成为害人者去发起攻击了。
有的朋友也许会问道:
"为什么黑客不直接去控制攻击傀儡机,而要从控制傀儡机上转一下呢?
"。
这就是导致DDoS攻击难以追查的原因之一了。
做为攻击者的角度来说,肯定不愿意被捉到,而攻击者使用的傀儡机越多,他实际上提供给受害者的分析依据就越多。
在占领一台机器后,高水平的攻击者会首先做两件事:
1.考虑如何留好后门!
2.如何清理日志。
这就是擦掉脚印,不让自己做的事被别人查觉到。
比较不敬业的黑客会不管三七二十一把日志全都删掉,但这样的话网管员发现日志都没了就会知道有人干了坏事了,顶多无法再从日志发现是谁干的而已。
相反,真正的好手会挑有关自己的日志项目删掉,让人看不到异常的情况。
这样可以长时间地利用傀儡机。
但是在第3部分攻击傀儡机上清理日志实在是一项庞大的工程,即使在有很好的日志清理工具的帮助下,黑客也是对这个任务很头痛的。
这就导致了有些攻击机弄得不是很干净,通过它上面的线索找到了控制它的上一级计算机,这上级的计算机如果是黑客自己的机器,那么他就会被揪出来了。
但如果这是控制用的傀儡机的话,黑客自身还是安全的。
控制傀儡机的数目相对很少,一般一台就可以控制几十台攻击机,清理一台计算机的日志对黑客来讲就轻松多了,这样从控制机再找到黑客的可能性也大大降低。
7种DDoS攻击技术
●SynFlood
该攻击以多个随机的源主机地址向目的主机发送SYN包,而在收到目的主机的SYNACK后并不回应,这样,目的主机就为这些源主机建立了大量的连接队列,而且由于没有收到ACK一直维护着这些队列,造成了资源的大量消耗而不能向正常请求提供服务。
●Smurf
该攻击向一个子网的广播地址发一个带有特定请求(如ICMP回应请求)的包,并且将源地址伪装成想要攻击的主机地址。
子网上所有主机都回应广播包请求而向被攻击主机发包,使该主机受到攻击。
●Land-based
攻击者将一个包的源地址和目的地址都设置为目标主机的地址,然后将该包通过IP欺骗的方式发送给被攻击主机,这种包可以造成被攻击主机因试图与自己建立连接而陷入死循环,从而很大程度地降低了系统性能。
●PingofDeath
根据TCP/IP的规范,一个包的长度最大为65536字节。
尽管一个包的长度不能超过65536字节,但是一个包分成的多个片段的叠加却能做到。
当一个主机收到了长度大于65536字节的包时,就是受到了PingofDeath攻击,该攻击会造成主机的宕机。
●Teardrop
IP数据包在网络传递时,数据包可以分成更小的片段。
攻击者可以通过发送两段(或者更多)数据包来实现Teardrop攻击。
第一个包的偏移量为0,长度为N,第二个包的偏移量小于N。
为了合并这些数据段,TCP/IP堆栈会分配超乎寻常的巨大资源,从而造成系统资源的缺乏甚至机器的重新启动。
●PingSweep(ICMPSweep)
使用ICMPEcho轮询多个主机。
●PingFlood
该攻击在短时间内向目的主机发送大量ping包,造成网络堵塞或主机资源耗尽。
如何防止和减少DDoS攻击的危害
⏹定期扫描
要定期扫描现有的网络主节点,清查可能存在的安全漏洞,对新出现的漏洞及时进行清理。
骨干节点的计算机因为具有较高的带宽,是黑客利用的最佳位置,因此对这些主机本身加强主机安全是非常重要的。
而且连接到网络主节点的都是服务器级别的计算机,所以定期扫描漏洞就变得更加重要了。
⏹在骨干节点配置防火墙
防火墙本身能抵御DDoS攻击和其他一些攻击。
在发现受到攻击的时候,可以将攻击导向一些牺牲主机,这样可以保护真正的主机不被攻击。
当然导向的这些牺牲主机可以选择不重要的,或者是linux以及unix等漏洞少和天生防范攻击优秀的系统。
⏹用足够的机器承受黑客攻击
这是一种较为理想的应对策略。
如果用户拥有足够的容量和足够的资源给黑客攻击,在它不断访问用户、夺取用户资源之时,自己的能量也在逐渐耗失,或许未等用户被攻死,黑客已无力支招儿了。
不过此方法需要投入的资金比较多,平时大多数设备处于空闲状态,和目前中小企业网络实际运行情况不相符。
⏹充分利用网络设备保护网络资源
所谓网络设备是指路由器、防火墙等负载均衡设备,它们可将网络有效地保护起来。
当网络被攻击时最先死掉的是路由器,但其他机器没有死。
死掉的路由器经重启后会恢复正常,而且启动起来还很快,没有什么损失。
若其他服务器死掉,其中的数据会丢失,而且重启服务器又是一个漫长的过程。
特别是一个公司使用了负载均衡设备,这样当一台路由器被攻击死机时,另一台将马上工作。
从而最大程度的削减了DDoS的攻击。
⏹过滤不必要的服务和端口
过滤掉没有使用的服务及其对应的端口号。
例如WWW服务器只开放80端口而将其他所有端口关闭或在防火墙上做阻止策略。
⏹检查访问者的来源
使用UnicastReversePathForwarding等通过反向路由器查询的方法检查访问者的IP地址是否是真,如果是假的,它将予以屏蔽。
许多黑客攻击常采用假IP地址方式迷惑用户,很难查出它来自何处。
因此,利用UnicastReversePathForwarding可减少假IP地址的出现,有助于提高网络安全性。
⏹过滤所有RFC1918IP地址
RFC1918IP地址是内部网的IP地址,像10.0.0.0、192.168.0.0和172.16.0.0,它们不是某个网段的固定的IP地址,而是Internet内部保留的区域性IP地址,应该把它们过滤掉。
此方法并不是过滤内部员工的访问,而是将攻击时伪造的大量虚假内部IP过滤,这样也可以减轻DDoS的攻击。
⏹限制SYN/ICMP流量
用户应在路由器上配置SYN/ICMP的最大流量来限制SYN/ICMP封包所能占有的最高频宽,这样,当出现大量的超过所限定的SYN/ICMP流量时,说明不是正常的网络访问,而是有黑客入侵。
早期通过限制SYN/ICMP流量是最好的防范DOS的方法,虽然目前该方法对于DDoS效果不太明显了,不过仍然能够起到一定的作用。
一款Linux环境下的防御和减轻DDoS攻击的小程序(DDoSDeflate)
⏹DDoSDeflate介绍
DDoSDeflate是一款免费的用来防御和减轻DDoS攻击的脚本。
它通过netstat监测跟踪创建大量网络连接的IP地址,在检测到某个结点超过预设的限制时,该程序会通过APF或IPTABLES禁止或阻挡这些IP.
⏹安装DDoSDeflate
wget//下载安装程序
chmod700install.sh//添加执行权限
./install.sh//安装、配置程序
下面是DDoSDeflate的默认配置位于/usr/local/ddos/ddos.conf,内容如下:
#####Pathsofthescriptandotherfiles
PROGDIR="/usr/local/ddos"
PROG="/usr/local/ddos/ddos.sh"
IGNORE_IP_LIST="/usr/local/ddos/ignore.ip.list" //IP地址白名单
CRON="/etc/cron.d/ddos.cron" //定时执行程序
APF="/etc/apf/apf"
IPT="/sbin/iptables"
#####frequencyinminutesforrunningthescript
#####Caution:
Everytimethissettingischanged,runthescriptwith--cron
##### optionsothatthenewfrequencytakeseffect
FREQ=1 //检查时间间隔,默认1分钟
#####HowmanyconnectionsdefineabadIP?
Indicatethatbelow.
NO_OF_CONNECTIONS=150 //最大连接数,超过这个数IP就会被屏蔽,一般默认即可
#####APF_BAN=1(MakesureyourAPFversionisatleast0.96)
#####APF_BAN=0(UsesiptablesforbanningipsinsteadofAPF)
APF_BAN=1 //使用APF还是iptables。
推荐使用iptables,将APF_BAN的值改为0即可
#####KILL=0(BadIPsare'ntbanned,goodforinteractiveexecutionofscript)
#####KILL=1(Recommendedsetting)
KILL=1 //是否屏蔽IP,默认即可
#####AnemailissenttothefollowingaddresswhenanIPisbanned.
#####Blankwouldsuppresssendingofmails
EMAIL_TO="root" //当IP被屏蔽时给指定邮箱发送邮件,推荐使用,换成自己的邮箱即可
#####Numberofsecondsthebannedipshouldremaininblacklist.
BAN_PERIOD=600 //禁用IP时间,默认600秒,可根据情况调整用户可根据给默认配置文件加上的注释提示内容,修改配置文件
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- DDoS 培训
![提示](https://static.bingdoc.com/images/bang_tan.gif)