浅谈基于校园网拒绝服务攻击的分析及防范

《浅谈基于校园网拒绝服务攻击的分析及防范 》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、浅谈基于校园网拒绝服务攻击的分析及防范校园网络的建设和普及，给学校的教学和管理、学生的学习生活等多方面带来了极大的方便，并担负着支持全校教学和科研工作的重要职责，然而校园网在网络安全方面并非一方“净土”，从黑客的发展历史看，黑客(入侵者)和校园网络有很深的渊源。1拒绝服务(DoS)攻击在校园网内频繁发生的原因拒绝服务DoS(DenialofService)攻击顾名思义就是使Inter中的受攻击对象(主机、服务器、路由器等网络设备)无法提供或者接受正常服务的一种攻击，典型的DoS攻击中，攻击者向受害者发送大量的数据从而消耗其资源(网络带宽，路由器上的

2、包缓冲区，目标机器的CPU和内存)，从而使用户无法访问所需信息。因此可以说DoS是一种损人不利已的攻击行为。从拒绝服务攻击的原理可以看出，不管是拒绝服务攻击阶段还是分布式拒绝服务攻击的攻击阶段，都需要很高的网络带宽。而校园网络的宽带和大量主机资源，以及学生的好奇，想在教育网络中进行入侵实验的诸多特点，正好满足拒绝服务攻击的要求，这就是校园网成为拒绝服务攻击的“一方乐土”的重要原因。在比较严重的网络攻击事件中，以校园网为“基地”发起的拒绝服务攻击事件令人印象深刻。最著名的是2002年黑客对Yaho和Ebay等网站发起的拒绝服务攻击，使这些网站的服务一

3、度关闭，据调查，这些攻击就是从校园网络中发起的。拒绝服务攻击不仅可以利用校园网络为“基地”发起，攻击校园网以外的目标，更多的是攻击校园网内部的目标，特别是在攻击者“练手”的实验阶段。通过调查发现，校园网的入侵方式中拒绝服务攻击最多，危害也最大。由于校园网具有开放、高带宽、多主机等特点，校园网内部网络入侵一般具有以下特征：·大规模。所谓大规模，一方面是指发动入侵所涉及的网络范围大或者主机数量多，引起的网络流量大，另一方面指入侵形式不是一对一，而是多对一或多对多。·分布式。所谓分布式入侵是指从多个地点、多台主机发起甚至是联合发起的。通过上述对校园网络安

4、全特点的分析，我们可以看出校园网具有拒绝服务攻击存在的种种“优势”。古语云“知己知彼，百战不殆”，因此研究拒绝服务攻击对于校园网的安全，具有非常现实l的意义。2常见的几种拒绝服务拒绝攻击(DoS)服务拒绝攻击是最容易实施的攻击行为之一，攻击操作方法多种多样，可能是单一的手段，也可能是多种方式的组合利用，DoS：~c击主要包括：(1)死亡之ping由于在早期的阶段，路由器对包的最大尺寸都有限制，许多操作系统对TCP／IP栈的实现在ICMP包上都是规定64KB，并且在对包的标题头进行读取之后，要根据该标题头里包含的信息来为有效载荷生成缓冲区。当产生畸形

5、的，声称自己的尺寸超过ICMP上限的包也就是加载的尺寸超过64KB上限时，就会出现内存分配错误，导致TCP／IP堆栈崩溃，致使接收方死机。防御方法：现在所有的标准TCP／IP．都已实现对付超大尺寸的包，并且大多数防火墙能够自动过滤这些攻击，包括：从acOS都具有抵抗一般死亡之ping攻击的能力。此外，对防火墙进行配置，阻断ICMP以及任何未知协议，都能防止此类攻击。(2)泪滴攻击泪滴攻击是利用在TCP／IP堆栈中实现信任lP碎片中的包的标题头所包含的信息来实现自己的攻击。对于一些大的lP包，需要对其进行分片传送，这是为了迎合链路层的MTU(最大传输

6、单元)的要求。比如，一个4500字节的lP包，在MTU为1500的链路上传输的时候，就需要分成三个lP包。在lP报头中有一个偏移字段和一个分片标志(MF)，如果MF标志设置为1，则表明这个lP包是一个大lP包的片断，其中偏移字段指出了这个片断在整个lP包中的位置。例如，对一个4500字节的IP包进行分片(MTL为1500)，则三个片断中偏移字段的值依次为：0，1500，3000。这样接收端就可以根据这些信息成功地组装该lP包。如果一个攻击者打破这种正常情况，把偏移字段设置成不正确的值，即可能出现重合或断开的情况，就可能导致目标操作系统崩溃。这就是所

7、谓的泪滴攻击。防御方法：服务器应用最新的服务包，或者在设置防火墙时对分段进行重组，而不是转发它们。(3)UDP洪水各种各样的假冒攻击利用简单的TCP／lP服务，如Chargen和Echo来传送毫无用处的占满带宽的数据。通过伪造与某一主机的Chargen}]~L务之间的一次的UDP连接，回复地址指向开着Echo。服务的一台主机，这样就生成在两台主机之间的足够多的无用数据流，如果足够多的数据流就会导致带宽的服务攻击。防御方法：关掉不必要的TCP／IP}]~L务，或者对防火墙进行配置阻断来自Inter的这些服务的UDP请求。(4)SYN洪水在TCP／IP

8、的连接建立过程中，正常情况下连接双方需要完成从客户向服务器发送的一个SYN请求消息(第一次握手)，服务器同意响应的SYN—