分布式拒绝服务攻击(ddos)原理及防范

《分布式拒绝服务攻击(ddos)原理及防范》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、分布式拒绝服务攻击(DDoS)原理及防范　　(呼伦贝尔学院信息科学分院，内蒙古海拉尔021008) 　　摘要：21世纪以来，黑客们采用了一种新的十分难以防范的分布式拒绝服务攻击(DDoS)，给很多知名网站和internet带来巨大的损失。本文从概念、攻击原理、攻击现象、攻击方式介绍了这种攻击方法，以及防御DDoS的措施。 　　关键词：DDoS；UDP；ICMP；ACL 　　中图分类号：TP309.5文献标识码：A文章编号：1007—6921(XX)06—0083—02 1攻击的原理 　　分布式拒绝服务攻击(DDoS)是在dos基础上发展而来的。黑客首

2、先利用一台计算机控制一群计算机，这群计算机对一个目标或多个目标实施dos攻击，因而更加具有攻击力，并且很难查出黑客的行踪。 2被DDoS攻击时的现象 　　2.1数据段内容只包含文字和数字字符的数据包 　　这往往是数据经过BASE64编码后而只会含有base64字符集字符的特征。TFN2K发送的控制信息数据包就是这种类型的数据包。TFN2K的特征模式是在数据段中有一串A字符，这是经过调整数据段大小和加密算法后的结果。如果没有使用BASE64编码，对于使用了加密算法数据包，这个连续的字符就是“”。 　　2.2不属于正常连接通讯的TCP和UDP数据包 　　最

3、隐蔽的DDoS工具随机使用多种通讯协议通过基于无连接通道发送数据。优秀的防火墙和路由规则能够发现这些数据包。另外，那些连接到高于1024而且不属于常用网络服务的目标端口的数据包也是非常值得怀疑的。 2.3特大型的ICMP和UDP数据包 　　正常的UDP会话一般都使用小的UDP包，通常有效数据内容不超过10字节。正常的ICMP消息也不会超过64～128字节。那些大小明显大得多的数据包很有可能就是控制信息通讯用的，主要含有加密后的目标地址和一些命令选项。一旦捕获到控制信息通讯，DDoS服务器的位置就无所遁形了，因为控制信息通讯数据包的目标地址是没有伪造的。 　　

4、2.4当DDoS攻击一个站点时，会出现明显超出该网络正常工作时的极限通讯流量的现象 　　现在的技术能够分别对不同的源地址计算出对应的极限值。当明显超出此极限值时就表明存在DDoS攻击的通讯。因此可以在主干路由器端建立ACL访问控制规则以监测和过滤这些通讯。 　　2.5虽然这不是真正的“DDoS”通讯，但却能够用来确定DDoS攻击的来源 　　根据分析，攻击者在进行DDoS攻击前总要解析目标的主机名。BIND域名服务器能够记录这些请求。由于每台攻击服务器在进行一个攻击前会发出PTR反向查询请求，也就是说在DDoS攻击前域名服务器会接收到大量的反向解析目标IP主机

5、名的PTR查询请求。 　　3攻击方法，常见方法有UDP洪流和ICMP洪流两种 　　740)this.width=740"border=undefined#111nmousewheel="returnzoom_img(event,this)"> 3.1UDP洪流攻击 　　在UDP洪流供给方法中，黑客向计算机A1发送一修改了返回地址的UDP包，该UDP包的返回地址指向了另一台计算机B,且使A1的chargen(character-generating)服务与B的echo服务联系在一起。于是A1的chargen服务与B的服务不断地产生字符并发向B，而Bdeecho

6、服务不断地把发过来的字符反弹给A1。这种UDP流量阻塞了网络交通，使B无法响应正常请求。如黑客供给B，则把上述修改了返回地址的UDP包同时发往N台计算机，每台计算机均与B形成洪流，则B被击垮。 3.2ICMP洪流攻击 　　如图1，假设计算机B为黑客攻击的目标，黑客向一组计算机广播ICMP的回应请求，但这一请求的返回地址经过修改指向了B。N台计算机的回应地址信息同时发向B，导致B超负荷而无法提供正常服务。 4防御手段 4.1安装系统补丁程序关闭不必要的服务 　　管理员账号要经常改变并尽量设的复杂些，要做好服务器的备份工作。 4.2如果系统正在遭受攻击的过程中

7、 　　立即关闭系统并投入精力进行调查。假如您在您的内部网络里发现有一台攻击发起点或者与网络正在连接着，那么您最好立即切断与其他网络的连接，假如进行攻击的主机就是您自己的主机,也就是说您的主机已经被攻击者完全控制了，那么您就应当对您的系统做一下仔细地检查了，最好重新安装一遍，而且您还应当与安全组织或公司取得联系来紧急响应。 4.3与您的网络服务提供商协作 　　能否与您上一级的网络主干服务提供商进行良好的合作也是一件非常重要的事情。DDoS攻击对带宽的使用是非常严格的，无论您使用什么方法都无法使您自己的网络对它的上一级进行控制。最好能够与您的网络服务供应商进行协

8、商，请求他