免费注册 查看新帖 |

Chinaunix

  平台 论坛 博客 文库
最近访问板块 发新帖
查看: 1139 | 回复: 0

详解DDoS攻击原理的目标导向 [复制链接]

论坛徽章:
0
发表于 2011-12-23 02:23 |显示全部楼层

                  详解DDoS攻击原理的目标导向

我们在服务器应用方面操作的时候会碰到DDoS攻击,那么了解DDoS攻击原理就显得很是重要了,那么我们这里不仅仅要明白DDoS攻击原理简单的概念,其实更重要的是要明白背后的DDoS攻击的目的或者说是DDoS攻击从如何入手。

  DDoS攻击原理的一点理解:

  因前段时间仔细了解了TCP/IP协议以及RFC文档,有点心得。同时,文中有部分内容参考了Shaft的文章翻译而得。要想了解DOS攻击得实现机理,必须对TCP有一定的了解。所以,本文分为两部分,第一部分介绍一些实现DDoS攻击相关的协议,第二部分则介绍DDoS攻击的常见方式。

  什么是DDoS攻击?

  DDoS攻击是Distributed Denial of Service的缩写,意思是拒绝服务,可不能认为是微软的dos操作系统了。好象在5?1的时候闹过这样的笑话。拒绝服务,就相当于必胜客在客满的时候不再让人进去一样,呵呵,你想吃馅饼,就必须在门口等吧。DOS攻击即攻击者想办法让目标机器停止提供服务或资源访问,这些资源包括磁盘空间、内存、进程甚至网络带宽,从而阻止正常用户的访问。比如:

  ◆试图FLOOD服务器,阻止合法的网络通讯

  ◆破坏两个机器间的连接,阻止访问服务

  ◆阻止特殊用户访问服务

  ◆破坏服务器的服务或者导致服务器死机

  不过,只有那些比较阴险的攻击者才单独使用DOS攻击,破坏服务器。通常,DOS攻击会被作为一次入侵的一部分,比如,绕过入侵检测系统的时候,通常从用大量的攻击出发,导致入侵检测系统日志过多或者反应迟钝,这样,入侵者就可以在潮水般的攻击中混骗过入侵检测系统。

  DDoS攻击原理的目标导向TCP协议方面的探讨:

  我们知道,TCP(transmission control protocol,传输控制协议),是用来在不可靠的因特网上提供可靠的、端到端的字节流通讯协议,在RFC793中有正式定义,还有一些解决错误的东西在RFC 1122中有记录,RFC 1323则有TCP的功能扩展。

  我们常见到的TCP/IP协议中,IP层不保证将数据报正确传送到目的地,TCP则从本地机器接受用户的数据流,将其分成不超过64K字节的数据片段,将每个数据片段作为单独的IP数据包发送出去,最后在目的地机器中再组合成完整的字节流,TCP协议必须保证可靠性。

  发送和接收方的TCP传输以数据段的形式交换数据,一个数据段包括一个固定的20字节头,加上可选部分,后面再跟上数据,TCP协议从发送方传送一个数据段的时候,还要启动计时器,当数据段到达目的地后,接收方还要发送回一个数据段,其中有一个确认序号,它等于希望收到的下一个数据段的顺序号,如果计时器在确认信息到达前超时了,发送方会重新发送这个数据段。

  上面,我们总体上了解一点TCP协议,重要的是要熟悉TCP的数据头(header)。因为数据流的传输最重要的就是header里面的东西,至于发送的数据,只是header附带上的。客户端和服务端的服务响应就是同header里面的数据相关,两端的信息交流和交换是根据header中的内容实施的,因此,要实现DOS,就必须对header中的内容非常熟悉。

  和DDoS攻击原理相关的TCP数据段头格式:

  Source Port Destination Port :是本地端口和目标端口

  Sequence Number Acknowledgment Number :是顺序号和确认号,确认号是希望接收的字节号。这都是32位的,在TCP流中,每个数据字节都被编号。

  Data offset :表明TCP头包含多少个32位字,用来确定头的长度,因为头中可选字段长度是不定的。

  Reserved : 保留的6位,现在没用,都是0 接下来是61位的标志,这是两个计算机数据交流的信息标志。

  接收和发送断根据这些标志来确定信息流的种类。下面是一些介绍:

  URG(Urgent Pointer field significant)紧急指针。用到的时候值为1,用来处理避免TCP数据流中断 。

  ACK(Acknowledgment field significant)1时表示确认号(Acknowledgment Number)为合法,为0的时候表示数据段不包含确认信息,确认号被忽略。

  PSH(Push Function)PUSH标志的数据,置1时请求的数据段在接收方得到后就可直接送到应用程序,而不必等到缓冲区满时才传送。

  RST(Reset the connection)用于复位因某种原因引起出现的错误连接,也用来拒绝非法数据和请求。如果接收到RST位时候,通常发生了某些错误。

  SYN(Synchronize sequence numbers)用来建立连接,在连接请求中,SYN=1ACK=0,连接响应时,SYN=1ACK=1。即,SYNACK来区分 Connection RequestConnection Accepted

  FIN(No more data from sender)用来释放连接,表明发送方已经没有数据发送了。

  知道这重要的6个指示标志后,我们继续来。

  16位的WINDOW字段:表示确认了字节后还可以发送多少字节。可以为0,表示已经收到包括确认号减1(即已发送所有数据)在内的所有数据段。接下来是16位的Checksum字段,用来确保可靠性的。 16位的Urgent Pointer,和下面的字段我们这里不解释了。不然太多了。呵呵,偷懒啊。 我们进入比较重要的一部分:TCP连接握手过程。这个过程简单地分为三步。

  在没有连接中,接受方(我们针对服务器),服务器处于LISTEN状态,等待其他机器发送连接请求。

  第一步:客户端发送一个带SYN位的请求,向服务器表示需要连接,比如发送包假设请求序号为10,那么则为:SYN=10ACK=0, 然后等待服务器的响应。

  第二步:服务器接收到这样的请求后,查看是否在LISTEN的是指定的端口,不然,就发送RST=1应答,拒绝建立连接。如果接收连接,那么服务器发送确认,SYN为服务器的一个内码,假设为100ACK位则是客户端的请求序号加1,本例中发送的数据是:SYN=100ACK=11,用这样的数据发送给客户端。向客户端表示,服务器连接已经准备好了,等待客户端的确认这时客户端接收到消息后,分析得到的信息,准备发送确认连接信号到服务器

  第三步:客户端发送确认建立连接的消息给服务器。确认信息的SYN位是服务器发送的ACK位,ACK位是服务器发送的SYN位加1。即:SYN=11ACK=101。这时,连接已经建立起来了。然后发送数据,。这是一个基本的请求和连接过程。需要注意的是这些标志位的关系,比如SYNACK

  DDoS攻击原理服务器的缓冲区队列相关:

  服务器不会在每次接收到SYN请求就立刻同客户端建立连接,而是为连接请求分配内存空间,建立会话,并放到一个等待队列中。如果,这个等待的队列已经满了,那么,服务器就不在为新的连接分配任何东西,直接丢弃新的请求。如果到了这样的地步,服务器就是拒绝服务了。

  如果服务器接收到一个RST位信息,那么就认为这是一个有错误的数据段,会根据客户端IP,把这样的连接在缓冲区队列中清除掉。这对IP欺骗有影响,也能被利用来做DOS攻击。

  上面的介绍,我们了解TCP协议,以及连接过程。要对SERVER实施拒绝服务攻击,实质上的方式就是有两个:

  ◆迫使服务器的缓冲区满,不接收新的请求。

  ◆使用IP欺骗,迫使服务器把合法用户的连接复位,影响合法用户的连接

  这就是DDoS攻击原理的目标导向,那么基本的内容就向你介绍到这里,希望对你了解和掌握DDoS攻击原理的目标导向有所帮助。

您需要登录后才可以回帖 登录 | 注册

本版积分规则 发表回复

SACC2021中国系统架构师大会

【数字转型 架构重塑】2021年5月20日-22日第十三届中国系统架构师大会将在云端进行网络直播。

大会为期3天的议程,涉及20+专场,近120个主题,完整迁移到线上进行网络直播对会议组织来说绝非易事;但考虑到云端会议的直播形式可以实现全国各地技术爱好者的参与,也使ITPUB作为技术共享交流平台得到更好的普及,我们决定迎难而上。
http://sacc.it168.com/


大会官网>>
  

北京盛拓优讯信息技术有限公司. 版权所有 16024965号-6 北京市公安局海淀分局网监中心备案编号:11010802020122
中国互联网协会会员  联系我们:huangweiwei@itpub.net
感谢所有关心和支持过ChinaUnix的朋友们 转载本站内容请注明原作者名及出处

清除 Cookies - ChinaUnix - Archiver - WAP - TOP