說(shuō)到黑客的終極武器，那就真的不得不說(shuō)到DDoS了?？赡苣承┯脩?hù)對(duì)這個(gè)東西不是十分的了解，不過(guò)從事計(jì)算機(jī)安全的人員卻往往是聽(tīng)到這個(gè)名字， 其程度比談虎色變還要嚴(yán)重。究竟這個(gè)DDoS有什么地方那么恐怖呢，下面會(huì)為你作一些簡(jiǎn)單的說(shuō)明。
通常，DoS攻擊的目標(biāo)是你網(wǎng)絡(luò)的TCP/IP內(nèi)層結(jié)構(gòu)，而這些攻擊分為三種：一種是利用TCP/IP協(xié)議的漏洞；二種是利用給定的TCP/IP協(xié)議棧軟件的弱點(diǎn);第三種是不斷嘗試的野蠻攻擊。
起這個(gè)黑客軟件的破壞力，那就不可以不說(shuō)起網(wǎng)絡(luò)安全界鼻祖CERT被攻擊的事情了。5月22日，星期二，這本來(lái)只是Pittsburgh Carnegie Mellon大學(xué)CERT 交流中心的一個(gè)尋常的日子。可是就在這一天，被認(rèn)為是計(jì)算機(jī)安全的泰斗的CERT將在這一天被黑客們"離散的服務(wù)拒絕"(DDoS)的攻擊手段踢出網(wǎng)絡(luò)。另外，微軟、雅虎和Exodus都在過(guò)去的12個(gè)月里遭到了DDos的毒手；可能成為下一個(gè)目標(biāo)很可能就是你或者是你的客戶(hù)喔。畢竟，如果有人真的想要用DDoS攻擊你的服務(wù)器而使其癱瘓，他們是絕對(duì)有能力做到的，而且是防不勝防。
“離散的服務(wù)拒絕”主要是通過(guò)阻止你的服務(wù)器發(fā)送你所提供的服務(wù)而工作的。要達(dá)到這個(gè)目的，黑客可以有很多種方法，例如最典型的就是Outlook e-mail 蠕蟲(chóng)病毒Melissa及其同類(lèi)了，因?yàn)樗鼈兛梢则?qū)使Outlook 程序的客戶(hù)端向服務(wù)器不停的發(fā)出充滿了蠕蟲(chóng)病毒的信件直到服務(wù)器在重壓之下癱瘓。很多人一提到DoS攻擊的過(guò)程，就會(huì)聯(lián)想到是用很多無(wú)用的信息來(lái)阻塞網(wǎng)絡(luò)，以此來(lái)達(dá)到使其癱瘓的目的。其實(shí)這只是其中一個(gè)比較典型的方法。事實(shí)上還有一種方法其實(shí)也是非常有效的，那就是名為消耗服務(wù)器資源方式的攻擊。這種攻擊是用一個(gè)低速的modem連接來(lái)進(jìn)行的。
其中，Mazu網(wǎng)絡(luò)公司設(shè)計(jì)的TrafficMaster Inspector是一種對(duì)付DDoS的好工具。通過(guò)不停地進(jìn)行以G為單位的以太網(wǎng)速度的數(shù)據(jù)檢查，并且盡可能遠(yuǎn)的追溯數(shù)據(jù)來(lái)源。簡(jiǎn)單的說(shuō)，Mazu希望能夠?qū)崟r(shí)的探測(cè)到網(wǎng)絡(luò)攻擊，然后讓正常的數(shù)據(jù)包通過(guò)同時(shí)將DDoS數(shù)據(jù)包阻擋起來(lái)。它對(duì)網(wǎng)絡(luò)的這種保護(hù)使得它適合于ISP和數(shù)據(jù)中心服務(wù)器。
對(duì)于企業(yè)用戶(hù)來(lái)說(shuō)，可以通過(guò)安裝一些軟件例如防火墻和象Zone Labs 公司的Zone Alarm Pro等，這些都可以起到免受或克制DDoS攻擊的作用。另外，企業(yè)用戶(hù)也可以尋求Asta 網(wǎng)絡(luò)公司的幫助。Asta 網(wǎng)絡(luò)公司開(kāi)發(fā)了一種Vantage系統(tǒng)，這種系統(tǒng)可以起到一種類(lèi)似于反病毒軟件的作用，主要是起到預(yù)防的作用，當(dāng)它發(fā)現(xiàn)了可能的攻擊，Vantage系統(tǒng)會(huì)提示網(wǎng)絡(luò)管理員，然后網(wǎng)絡(luò)管理員就能使用路由過(guò)濾器甚至在數(shù)據(jù)流傳送的途中關(guān)閉網(wǎng)絡(luò)服務(wù)器來(lái)阻止攻擊。而這個(gè)系統(tǒng)是通過(guò)分析和尋找可能的DDoS攻擊的在一般攻擊前的特點(diǎn)，它不停地將網(wǎng)絡(luò)上數(shù)據(jù)包和已知的DDoS數(shù)據(jù)包的定式比較，這些定式包括流往域名服務(wù)器(DNS)的非標(biāo)準(zhǔn)的數(shù)據(jù)流，如果當(dāng)它發(fā)現(xiàn)問(wèn)題的時(shí)候，就會(huì)提示網(wǎng)絡(luò)管理員了。
上面已經(jīng)說(shuō)過(guò)，DDoS其中的一種破壞方法就是破壞TCP/IP協(xié)議。其中最典型的例子就是Ping of Death攻擊啦，這些黑客建造了一個(gè)超過(guò)了IP標(biāo)準(zhǔn)的最大長(zhǎng)度--65535個(gè)字節(jié)的IP數(shù)據(jù)包。（Sinbad注：Ping ‘o Death攻擊是發(fā)送多個(gè)IP分片，總長(zhǎng)度超過(guò)65535；jolt2才是連續(xù)發(fā)送一個(gè)偏移量很大的數(shù)據(jù)包）當(dāng)這個(gè)"浮腫的"數(shù)據(jù)包到達(dá)的時(shí)候，，它就使得一個(gè)使用脆弱的TCP/IP協(xié)議軟件和操作系統(tǒng)的服務(wù)器癱瘓。另外一個(gè)進(jìn)行攻擊的例子是Teardrop， 它主要是利用了系統(tǒng)重組IP數(shù)據(jù)包過(guò)程中的漏洞工作的。一個(gè)數(shù)據(jù)包在從互聯(lián)網(wǎng)的另一端到你這里的路上也許會(huì)被分拆成更小的數(shù)據(jù)報(bào)文。這些數(shù)據(jù)報(bào)中的每一個(gè)都擁有最初的IP數(shù)據(jù)報(bào)的報(bào)頭，同時(shí)還擁有一個(gè)偏移字節(jié)來(lái)標(biāo)示它擁有原始數(shù)據(jù)報(bào)中的哪些字節(jié)。通過(guò)這些信息，一個(gè)被正常分割的數(shù)據(jù)報(bào)文能夠在它的目的地被重新組裝起來(lái)，并且網(wǎng)絡(luò)也能夠正常運(yùn)轉(zhuǎn)而不被中斷。當(dāng)一次Teardrop攻擊開(kāi)始時(shí)，你的服務(wù)器將受到擁有重疊的偏移字段的IP數(shù)據(jù)包的轟炸。如果你的服務(wù)器或是路由器不能丟棄這些數(shù)據(jù)包而且如果企圖重組它們，你的服務(wù)器就會(huì)很快癱瘓。如果你的系統(tǒng)被及時(shí)更新了，或者你擁有一個(gè)可以阻擋Teardrop數(shù)據(jù)包的防火墻，你應(yīng)該不會(huì)有什么麻煩。
另外還有就是利用TCP/IP協(xié)議本身的漏洞來(lái)進(jìn)行攻擊的手段，這些手段也不少，其中最流行的SYN攻擊。SYN工作的原理就是利用兩個(gè)互聯(lián)網(wǎng)程序間協(xié)議握手的過(guò)程進(jìn)行的攻擊。協(xié)議握手的過(guò)程如下，其中一個(gè)應(yīng)用程序向另一個(gè)程序發(fā)送一個(gè)TCP SYN(同步)數(shù)據(jù)包。然后目標(biāo)程序向第一個(gè)程序發(fā)送一個(gè)TCP-ACK應(yīng)答數(shù)據(jù)包作為回答;第一個(gè)程序最后用一個(gè)ACK應(yīng)答數(shù)據(jù)包確認(rèn)已經(jīng)收到。一旦這兩個(gè)程序握手成功，它們就準(zhǔn)備一起運(yùn)行了。 SYN攻擊用一堆TCP SYN數(shù)據(jù)包來(lái)淹沒(méi)它的受害者。每個(gè)SYN數(shù)據(jù)包迫使目標(biāo)服務(wù)器產(chǎn)生一個(gè)SYN-ACK應(yīng)答數(shù)據(jù)包然后等待對(duì)應(yīng)的ACK應(yīng)答。這很快就導(dǎo)致過(guò)量的SYN-ACK一個(gè)接一個(gè)的堆積在緩存隊(duì)列里。當(dāng)緩存隊(duì)列滿了以后，系統(tǒng)就會(huì)停止應(yīng)答到來(lái)的SYN請(qǐng)求。如果SYN攻擊中包括了擁有錯(cuò)誤IP源地址的SYN數(shù)據(jù)包，情況很快就會(huì)變得更糟。在這種情況下，當(dāng)SYN-ACK被送出的時(shí)候，ACK應(yīng)答就永遠(yuǎn)不會(huì)被收到。飛快充滿的緩存隊(duì)列使得合法程序的SYN請(qǐng)求無(wú)法再通過(guò)。更加厲害的是，與之相似的Land攻擊手段使用欺騙性的SYN數(shù)據(jù)包，它帶有一個(gè)偽裝的IP地址，使得它看起來(lái)像是來(lái)自你自己的網(wǎng)絡(luò)?，F(xiàn)在，SYN攻擊就像是來(lái)自于你防火墻的內(nèi)部，這使得問(wèn)題更加嚴(yán)重。 大多數(shù)時(shí)新的操作系統(tǒng)和防火墻可以阻止SYN攻擊。另一個(gè)簡(jiǎn)單的阻止SYN攻擊的方法是阻塞掉所有帶有已知的錯(cuò)誤的IP源地址的數(shù)據(jù)包。這些數(shù)據(jù)包應(yīng)該包括帶有錯(cuò)誤的為內(nèi)部保留的IP地址的外部數(shù)據(jù)包。
另外還有Smurf攻擊和用戶(hù)數(shù)據(jù)報(bào)文協(xié)議沖擊。這兩種攻擊都使用了同一的手段。當(dāng)你被Smurf攻擊的時(shí)候，攻擊者用互聯(lián)網(wǎng)控制信息協(xié)議(ICMP)的應(yīng)答數(shù)據(jù)包--一種特殊的ping數(shù)據(jù)包來(lái)填充你的路由器。這些數(shù)據(jù)包的目的IP地址同時(shí)是你的廣播地址，這使得你的路由器將ICMP數(shù)據(jù)包廣播到網(wǎng)絡(luò)上的每一臺(tái)主機(jī)。不言自明的是，對(duì)于一個(gè)大型網(wǎng)絡(luò)來(lái)說(shuō)，它將引起巨大的網(wǎng)絡(luò)信息流量。而且，就像Land攻擊那樣，如果黑客將Smurf攻擊和欺騙手段結(jié)合起來(lái)，破壞力就更大。免Smurf攻擊的一種簡(jiǎn)單的方法就是在路由器中禁用廣播地址并且設(shè)置你的防火墻來(lái)過(guò)濾ICMP應(yīng)答協(xié)議。你也可以設(shè)置你的服務(wù)器來(lái)使得它不對(duì)發(fā)送ICMP數(shù)據(jù)包到IP廣播地址的要求做出響應(yīng)。這些設(shè)置不會(huì)影響到你的網(wǎng)絡(luò)的正常工作因?yàn)楹苌儆袘?yīng)用程序使用IP協(xié)議的廣播功能。
不過(guò)要對(duì)付采用UDP沖擊方法的DoS攻擊就不那么容易了，因?yàn)橐恍┖戏ǖ膽?yīng)用程序，比方說(shuō)RealVideo，也使用UDP協(xié)議。在一次UDP沖擊中，攻擊者偽造出一個(gè)請(qǐng)求，將一個(gè)系統(tǒng)的UDP開(kāi)啟測(cè)試服務(wù)程序與另一個(gè)系統(tǒng)的UDP應(yīng)答程序連在一起。UDP開(kāi)啟測(cè)試服務(wù)程序是一個(gè)用于測(cè)試的從收到的數(shù)據(jù)包產(chǎn)生字符的程序。結(jié)果是，由UDP開(kāi)啟測(cè)試服務(wù)程序偽隨機(jī)產(chǎn)生的字符在兩個(gè)系統(tǒng)間不停的被反射，使得合法應(yīng)用程序的帶寬要求得不到滿足。
一種阻止UDP攻擊的方法是禁用或者過(guò)濾對(duì)主機(jī)的所有UDP服務(wù)要求。只要你允許非服務(wù)請(qǐng)求的UDP請(qǐng)求通過(guò)，使用UDP協(xié)議的或是把UDP協(xié)議當(dāng)作備用數(shù)據(jù)傳輸協(xié)議的通常的應(yīng)用程序?qū)⒗^續(xù)正常工作。 使用這些防御的方法，你可能認(rèn)為應(yīng)付DoS攻擊就像應(yīng)付一根火腿腸一樣容易。你錯(cuò)了。因?yàn)榘l(fā)動(dòng)DDoS攻擊是如此的容易，任何心懷不軌的人都能組織起幾十臺(tái)甚至上百臺(tái)計(jì)算機(jī)來(lái)對(duì)你的系統(tǒng)發(fā)動(dòng)DoS攻擊。 單是巨大的參與攻擊的計(jì)算機(jī)的數(shù)量就能沖垮你的堡壘并將你的網(wǎng)絡(luò)塞滿垃圾信息。使用Tribe Force Network(TFN)，Trin00或是Stacheldraht這樣的工具，任何人都可以將DDoS的攻擊"僵尸"植入一些毫無(wú)防范的系統(tǒng)中。然后，攻擊者發(fā)送攻擊目標(biāo)的信息以及攻擊的指令。DDoS瞬間即至。 這些在1997年到1999年被發(fā)明的攻擊方法是容易被察覺(jué)的。但是，新一點(diǎn)的DDoS卻使用"脈動(dòng)僵尸。"這種攻擊手段并不使用野蠻的攻擊，而是發(fā)送一波一波的小帶寬的數(shù)據(jù)，這樣，它們就能繞過(guò)那些為密集進(jìn)攻而設(shè)置的網(wǎng)絡(luò)警報(bào)器。
DDoS攻擊只可能增加。隨著互聯(lián)網(wǎng)的擴(kuò)大，更多的用戶(hù)將獲得對(duì)網(wǎng)絡(luò)的寬帶接入，這給了黑客們更多的可以利用的系統(tǒng)。 火上澆油的是，微軟將它的Windows XP操作系統(tǒng)定位為下一代的面向大多數(shù)消費(fèi)者的操作系統(tǒng)，Windows XP將使用"原始的"TCP/IP套接字。通常，程序員們?cè)诰帉?xiě)程序時(shí)使用與其功能相關(guān)的套接字--套接字是一種將應(yīng)用程序與TCP/IP相連的軟件對(duì)象。
TCP/IP協(xié)議同時(shí)定義了一種SOCK_ROW的套接字類(lèi)型。并不是所有的操作系統(tǒng)支持這種套接字，但是Unix和Windows XP支持。使用原始套接字，一個(gè)程序員可以編寫(xiě)代碼調(diào)用任何TCP/IP套接字。只要對(duì)不按TCP/IP標(biāo)準(zhǔn)進(jìn)行編程很在行，原始套接字就能讓程序員編寫(xiě)非法的應(yīng)用程序，比方說(shuō)DDoS僵尸，因?yàn)樗鼈冊(cè)试S程序員以一種無(wú)法預(yù)料的方式使用廣泛流行的套接字。例如，你可以使用原始套接字來(lái)編寫(xiě)DDoS攻擊程序，它們使用套接字80--Web超文本傳輸協(xié)議選擇的套接字，來(lái)獲取它的指令。
雖然Windows 2000，Unix和它的后代，Linux 和BSD操作系統(tǒng)，也支持原始套接字，但這些操作體統(tǒng)是被擁有足夠技術(shù)的行家照看著的。這些用戶(hù)即使不能使他們的系統(tǒng)以適當(dāng)?shù)胤绞竭\(yùn)行，他們也懂得如何鎖定這些系統(tǒng)。但是XP卻將由一個(gè)剛剛從電腦城里將它買(mǎi)回來(lái)的人看管，它遠(yuǎn)不太可能被一個(gè)專(zhuān)家級(jí)的管理員來(lái)使用并查找出新的DDoS代理程序。 因?yàn)檫@一點(diǎn)，Gibson 研究團(tuán)體的Steve Gibson預(yù)言說(shuō)目前DDoS攻擊的爆炸式的增長(zhǎng)(據(jù)Gibson估計(jì)為每星期4，000次)將大幅度增加。從理論上講，這將使互聯(lián)網(wǎng)本身因?yàn)槌砂偕锨У腄DoS攻擊而減慢速度。
除了保護(hù)你的系統(tǒng)不被DDoS 僵尸和上面所述的方法攻擊，你還應(yīng)該鼓勵(lì)任何使用寬帶互聯(lián)網(wǎng)的人安裝一個(gè)基本的防火墻。ZDNet的下載站點(diǎn)有一長(zhǎng)串的個(gè)人防火墻，這些防火墻易于使用并且提供基本的保護(hù)功能。 Zone Labs公司的ZoneAlarm就是一種由專(zhuān)家推薦給那些想要了解在他的網(wǎng)絡(luò)連接上究竟發(fā)生了些什么的初級(jí)用戶(hù)的軟件。在一位朋友的使用DSL連接的電腦上使用了ZoneAlarm后我們發(fā)現(xiàn)了兩個(gè)，不是一個(gè)，蓄勢(shì)待發(fā)的DDoS僵尸。我們還注意到每天都有人企圖非法闖入他的系統(tǒng)。如果你擁有寬帶連接，那么安全不僅僅是一個(gè)好主意，它是一種必要。
什么樣的防御是足夠的呢?只有時(shí)間和經(jīng)驗(yàn)才能告訴我們，但是如果現(xiàn)在你不打算保護(hù)你不受DDoS的攻擊，你不僅有失去網(wǎng)絡(luò)連接的危險(xiǎn)，你本身就可能成為網(wǎng)絡(luò)安全問(wèn)題的一部分了。所以，現(xiàn)在開(kāi)始防備還來(lái)得及喔。
本站僅提供存儲(chǔ)服務(wù)，所有內(nèi)容均由用戶(hù)發(fā)布，如發(fā)現(xiàn)有害或侵權(quán)內(nèi)容，請(qǐng)
點(diǎn)擊舉報(bào)。
