分布式拒绝服务攻击(DDoS)原理及防范.docx

分布式拒绝服务攻击(DDoS)原理及防范
(呼伦贝尔学院信息科学分院,内蒙古海拉尔 021008)
摘要:21世纪以来,黑客们采用了一种新的十分难以防范的分布式拒绝服务攻击(DDoS),带来巨大的损失。本文从概念、攻击原理、攻击现象、攻击方式介绍了这种攻击方法,以及防御DDoS的措施。
关键词:DDoS;UDP;ICMP;ACL
中图分类号: 文献标识码:A 文章编号:1007—6921(XX)06—0083—02
1 攻击的原理
分布式拒绝服务攻击(DDoS)是在dos基础上发展而来的。黑客首先利用一台计算机控制一群计算机,这群计算机对一个目标或多个目标实施dos攻击,因而更加具有攻击力,并且很难查出黑客的行踪。
2 被DDoS攻击时的现象
数据段内容只包含文字和数字字符的数据包
这往往是数据经过BASE64编码后而只会含有base64字符集字符的特征。TFN2K发送的控制信息数据包就是这种类型的数据包。TFN2K的特征模式是在数据段中有一串A字符,这是经过调整数据段大小和加密算法后的结果。如果没有使用BASE64编码,对于使用了加密算法数据包,这个连续的字符就是“\ 0”。
不属于正常连接通讯的TCP和UDP数据包
最隐蔽的DDoS工具随机使用多种通讯协议通过基于无连接通道发送数据。优秀的防火墙和路由规则能够发现这些数据包。另外,那些连接到高于1024而且不属于常用网络服务的目标端口的数据包也是非常值得怀疑的。
特大型的ICMP和UDP数据包
正常的UDP会话一般都使用小的UDP包,通常有效数据内容不超过10字节。正常的ICMP消息也不会超过64~128字节。那些大小明显大得多的数据包很有可能就是控制信息通讯用的,主要含有加密后的目标地址和一些命令选项。一旦捕获到控制信息通讯,DDoS服务器的位置就无所遁形了,因为控制信息通讯数据包的目标地址是没有伪造的。
当DDoS攻击一个站点时,会出现明显超出该网络正常工作时的极限通讯流量的现象
现在的技术能够分别对不同的源地址计算出对应的极限值。当明显超出此极限值时就表明存在DDoS攻击的通讯。因此可以在主干路由器端建立ACL访问控制规则以监测和过滤这些通讯。
虽然这不是真正的“DDoS”通讯,但却能够用来确定DDoS攻击的来源
根据分析,攻击者在进行DDoS攻击前总要解析目标的主机名。BIND域名服务器能够记录这些请求。由于每台攻击服务器在进行一个攻击前会发出PTR反向查询请求,也就是说在DDoS攻击前域名服务器会接收到大量的反向解析目标IP主机名的PTR查询请求。
3 攻击方法,常见方法有UDP洪流和ICMP洪流两种
740)=740" border=undefined &#111nmousewheel="return zoom_img(event,this)">
UDP洪流攻击
在UDP洪流供给方法中,黑客向计算机A1发送一修改了返回地址的UDP包,该UDP包的返回地址指向了另一台计算机B,且使A1的chargen(character-generating)服务与B的echo服务联系在一起。于是A1