ddos攻击原理及抗ddos设备应用

《ddos攻击原理及抗ddos设备应用》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、DDoS攻击原理及抗DDoS设备的应用曲劲光（中国移动通信集团宁夏有限公司，银川  750002）摘　要　随着网络的发展及计算机的普及，网络安全也成为了企业关注的焦点。DDoS攻击简单而有效，已成为网络中非常流行的一种攻击方式。本文在介绍了DDoS原理及分类的基础上，分析了当前安全设备抗DDoS的不足。以此为前提，讲述了专业抗DDoS设备ADS在运营商行业的应用，并提供了一次ADS设备抗DDoS攻击的实例。关键词　网络安全；ADS系统；DDoS中图分类号TN918文献标识码A文章编号   1008-5599（2011）10-

2、0050-041   DDoS 攻击原理随着 Internet 的发展和普及，攻击技术也在不断发展，拒绝服务攻击 (DoS) 已经成为一种很常见的攻击行为。DoS 是指攻击者通过某种手段，有意的造成计算机或网络不能正常运转从而不能向合法用户提供所需要的服务或者使得服务质量降低。如果处于不同位置的多个攻击者同时向一个或数个目标发起攻击，或者一个或多个攻击者控制了位于不同位置的多台机器并利用这些机器对受害者同时实施攻击，由于攻击的发出点是分布在不同地方的，这类攻击称为分布式拒绝服务攻击（DDoS）。DDoS 攻击方式如图 1 所

3、示。一般来说，DDoS 的典型过程可以分为 3 个阶段，即信息收集、占领傀儡计算机和攻击实施。（1）获取目标信息，也称为踩点（footprint）。为了使得攻击奏效，攻击者需要了解受害者许多的信息，如被攻击目标主机数目、配置、性能、操作系统、地址情况以及目标网络的带宽等。因此，在攻击发生前，攻击者需要先对目标进行侦查，如利用扫描工具对目标进行扫描。常用的信息收集方式有 Whois 命令、Nslookup命令、网上的公开信息、搜索引擎、Traceroute 命令、网络扫描、端口扫描和漏洞扫描 ；（2）占领傀儡机和控制台。在 

4、DDoS 攻击中，攻击图1   DDoS攻击方式者可以通过自己的机器直接对目标发起 攻 击， 这 样 攻击者可能会冒着被发现的风险。通常，为了掩蔽自己不被发现，攻击者需要占领一些傀儡机。并且，攻击者还需要向傀儡机发送命令的控制台，因此攻击者还需利用某些被其攻破的机器或者其拥有访问权限的机器作为控制台。目前，获得大量傀儡机的方法主要是通过携带后门程序的蠕虫，随着蠕虫的传播，后门程序也安装到了受蠕虫感染的主机上。（3）在前面的准备工作完成以后，实际的攻击过程却相对比较简单，攻击者只需通过控制台向傀儡机发出指令，令其立即或在某个时

5、间向指定的受害者大量发送特定的攻击数据分组即可。或者，攻击者可以在傀儡机上做一定时设置，时间一到，这些傀儡机就自行对既定目标发起攻击本文来源于http://www.51gp.net/（ddos攻击器）。2常见 DDoS 攻击类型DDoS 攻击靠的不是畸形数据分组，而是依靠数据分组的总量来达到攻击的目的，因此，它也是一种强力攻击或者野蛮攻击。虽然这种攻击通常会采用源地址伪造的手段，但除了某些特定的攻击方式，源地址伪造不一定是必须的。常见的 DDoS 攻击如下。2.1  SYN  Flood 攻击SYN  Flood 攻击是最常

6、见的一种攻击。在 TCP 的连接建立过程中，需要连接双方完成 3 次握手，只有当3 次 握 手 都 顺 利 完 成， 一 个 TCP 连 接 才 告 建 立。 在 3次握手进行的过程中，服务器需要保持所有未完成的握手信息（称为半开连接，即收到 TCP-SYN 并发送了SYN-ACK，但第 3 次握手信息直到握手完成或超时以后丢弃该信息）。由于半开连接的数量是有限的，如果攻击者不停地向受害者发送连接请求，而又不按协议规定完成握手过程，则服务器的半开连接栈可能会用完，从而不再接受其它的连接请求。2.2  UDP  Flood 攻

7、击UDP 是一种无连接的协议，在传输数据之前不需要如 TCP 那样建立连接。当一个系统收到一个 UDP 分组时，它会检查何种应用程序在监听该端口，如果有应用程序监听，则把数据交给该应用程序处理，如果没有应用程序监听该端口，则回应一个 ICMP 分组说明目标不可达。UDP  Flood 通常的主要目的是占用网络带宽，达到阻塞网络的目的，因此通常 UDP  Flood 攻击的数据分组会比较长。2.3  Smurf 攻击在 Smurf 攻击中，攻击者向网络上的某个或一些IP 广播地址发送大量的 ICMP 回应请求消息，而这些消息

8、中的源 IP 地址被伪造成受害者的 IP 地址。这样一来，攻击者每发送一个数据分组，受害者就会收到很多的回应分组，从而占用受害者的计算资源和带宽。2.4  Fraggle 攻击Fraggle 攻 击 与 Smurf 攻 击 类 似， 不 同 的 是Fraggle 攻 击 采 用 的 是 U