ddos

DDOS的中文名叫分布式拒绝服务***&＃xff0c;俗称洪水***

DDoS***概念

DoS的***方式有很多种&＃xff0c;最基本的DoS***就是利用合理的服务请求来占用过多的服务资源&＃xff0c;从而使合法用户无法得到服务的响应。

DDoS***手段是在传统的DoS***基础之上产生的一类***方式。单一的DoS***一般是采用一对一方式的&＃xff0c;当***目标CPU速度低、内存小或者网络带宽小等等各项性能指标不高它的效果是明显的。随着计算机与网络技术的发展&＃xff0c;计算机的处理能力迅速增长&＃xff0c;内存大大增加&＃xff0c;同时也出现了千兆级别的网络&＃xff0c;这使得DoS***的困难程度加大了 - 目标对恶意***包的"消化能力"加强了不少&＃xff0c;例如你的***软件每秒钟可以发送3,000个***包&＃xff0c;但我的主机与网络带宽每秒钟可以处理10,000个***包&＃xff0c;这样一来***就不会产生什么效果。

这时候分布式的拒绝服务***手段&＃xff08;DDoS&＃xff09;就应运而生了。你理解了DoS***的话&＃xff0c;它的原理就很简单。如果说计算机与网络的处理能力加大了10倍&＃xff0c;用一台***机来***不再能起作用的话&＃xff0c;***者使用10台***机同时***呢&＃xff1f;用100台呢&＃xff1f;DDoS就是利用更多的傀儡机来发起进攻&＃xff0c;以比从前更大的规模来进攻受害者。

高速广泛连接的网络给大家带来了方便&＃xff0c;也为DDoS***创造了极为有利的条件。在低速网络时代时&＃xff0c;***占领***用的傀儡机时&＃xff0c;总是会优先考虑离目标网络距离近的机器&＃xff0c;因为经过路由器的跳数少&＃xff0c;效果好。而现在电信骨干节点之间的连接都是以G为级别的&＃xff0c;大城市之间更可以达到2.5G的连接&＃xff0c;这使得***可以从更远的地方或者其他城市发起&＃xff0c;***者的傀儡机位置可以在分布在更大的范围&＃xff0c;选择起来更灵活了。

被DDoS***时的现象

被***主机上有大量等待的TCP连接

网络中充斥着大量的无用的数据包&＃xff0c;源地址为假

制造高流量无用数据&＃xff0c;造成网络拥塞&＃xff0c;使受害主机无法正常和外界通讯

利用受害主机提供的服务或传输协议上的缺陷&＃xff0c;反复高速的发出特定的服务请求&＃xff0c;使受害主机无法及时处理所有正常请求

严重时会造成系统死机

***运行原理

[url]http://www-128.ibm.com/developerworks/cn/security/se-ddos/fig1.gif[/url]
点击查看图片1

如图一&＃xff0c;一个比较完善的DDoS***体系分成四大部分&＃xff0c;先来看一下最重要的第2和第3部分&＃xff1a;它们分别用做控制和实际发起***。请注意控制机与***机的区别&＃xff0c;对第4部分的受害者来说&＃xff0c;DDoS的实际***包是从第3部分***傀儡机上发出的&＃xff0c;第2部分的控制机只发布命令而不参与实际的***。对第2和第3部分计算机&＃xff0c;***有控制权或者是部分的控制权&＃xff0c;并把相应的DDoS程序上传到这些平台上&＃xff0c;这些程序与正常的程序一样运行并等待来自***的指令&＃xff0c;通常它还会利用各种手段隐藏自己不被别人发现。在平时&＃xff0c;这些傀儡机器并没有什么异常&＃xff0c;只是一旦***连接到它们进行控制&＃xff0c;并发出指令的时候&＃xff0c;***傀儡机就成为害人者去发起***了。

有的朋友也许会问道&＃xff1a;"为什么***不直接去控制***傀儡机&＃xff0c;而要从控制傀儡机上转一下呢&＃xff1f;"。这就是导致DDoS***难以追查的原因之一了。做为***者的角度来说&＃xff0c;肯定不愿意被捉到&＃xff08;我在小时候向别人家的鸡窝扔石头的时候也晓得在第一时间逃掉&＃xff0c;呵呵&＃xff09;&＃xff0c;而***者使用的傀儡机越多&＃xff0c;他实际上提供给受害者的分析依据就越多。在占领一台机器后&＃xff0c;高水平的***者会首先做两件事&＃xff1a;1. 考虑如何留好后门&＃xff08;我以后还要回来的哦&＃xff09;&＃xff01;2. 如何清理日志。这就是擦掉脚印&＃xff0c;不让自己做的事被别人查觉到。比较不敬业的***会不管三七二十一把日志全都删掉&＃xff0c;但这样的话网管员发现日志都没了就会知道有人干了坏事了&＃xff0c;顶多无法再从日志发现是谁干的而已。相反&＃xff0c;真正的好手会挑有关自己的日志项目删掉&＃xff0c;让人看不到异常的情况。这样可以长时间地利用傀儡机。

但是在第3部分***傀儡机上清理日志实在是一项庞大的工程&＃xff0c;即使在有很好的日志清理工具的帮助下&＃xff0c;***也是对这个任务很头痛的。这就导致了有些***机弄得不是很干净&＃xff0c;通过它上面的线索找到了控制它的上一级计算机&＃xff0c;这上级的计算机如果是***自己的机器&＃xff0c;那么他就会被揪出来了。但如果这是控制用的傀儡机的话&＃xff0c;***自身还是安全的。控制傀儡机的数目相对很少&＃xff0c;一般一台就可以控制几十台***机&＃xff0c;清理一台计算机的日志对***来讲就轻松多了&＃xff0c;这样从控制机再找到***的可能性也大大降低。

***是如何组织一次DDoS***的&＃xff1f;

这里用"组织"这个词&＃xff0c;是因为DDoS并不象***一台主机那样简单。一般来说&＃xff0c;***进行DDoS***时会经过这样的步骤&＃xff1a;

1. 搜集了解目标的情况

下列情况是***非常关心的情报&＃xff1a;

被***目标主机数目、地址情况

目标主机的配置、性能

目标的带宽

对于DDoS***者来说&＃xff0c;***互联网上的某个站点&＃xff0c;如[url]http://www.mytarget.com[/url]&＃xff0c;有一个重点就是确定到底有多少台主机在支持这个站点&＃xff0c;一个大的网站可能有很多台主机利用负载均衡技术提供同一个网站的www服务。以yahoo为例&＃xff0c;一般会有下列地址都是提供[url]http://www.yahoo.com[/url] 服务的&＃xff1a;

66.218.71.87

66.218.71.88

66.218.71.89

66.218.71.80

66.218.71.81

66.218.71.83

66.218.71.84

66.218.71.86

如果要进行DDoS***的话&＃xff0c;应该***哪一个地址呢&＃xff1f;使66.218.71.87这台机器瘫掉&＃xff0c;但其他的主机还是能向外提供www服务&＃xff0c;所以想让别人访问不到[url]http://www.yahoo.com[/url] 的话&＃xff0c;要所有这些IP地址的机器都瘫掉才行。在实际的应用中&＃xff0c;一个IP地址往往还代表着数台机器&＃xff1a;网站维护者使用了四层或七层交换机来做负载均衡&＃xff0c;把对一个IP地址的访问以特定的算法分配到下属的每个主机上去。这时对于DDoS***者来说情况就更复杂了&＃xff0c;他面对的任务可能是让几十台主机的服务都不正常。

所以说事先搜集情报对DDoS***者来说是非常重要的&＃xff0c;这关系到使用多少台傀儡机才能达到效果的问题。简单地考虑一下&＃xff0c;在相同的条件下&＃xff0c;***同一站点的2台主机需要2台傀儡机的话&＃xff0c;***5台主机可能就需要5台以上的傀儡机。有人说做***的傀儡机越多越好&＃xff0c;不管你有多少台主机我都用尽量多的傀儡机来攻就是了&＃xff0c;反正傀儡机超过了时候效果更好。

但在实际过程中&＃xff0c;有很多***并不进行情报的搜集而直接进行DDoS的***&＃xff0c;这时候***的盲目性就很大了&＃xff0c;效果如何也要靠运气。其实做***也象网管员一样&＃xff0c;是不能偷懒的。一件事做得好与坏&＃xff0c;态度最重要&＃xff0c;水平还在其次。

2. 占领傀儡机

***最感兴趣的是有下列情况的主机&＃xff1a;

链路状态好的主机

性能好的主机

安全管理水平差的主机

这一部分实际上是使用了另一大类的***手段&＃xff1a;利用形***。这是和DDoS并列的***方式。简单地说&＃xff0c;就是占领和控制被***的主机。取得最高的管理权限&＃xff0c;或者至少得到一个有权限完成DDoS***任务的帐号。对于一个DDoS***者来说&＃xff0c;准备好一定数量的傀儡机是一个必要的条件&＃xff0c;下面说一下他是如何***并占领它们的。

首先&＃xff0c;***做的工作一般是扫描&＃xff0c;随机地或者是有针对性地利用扫描器去发现互联网上那些有漏洞的机器&＃xff0c;象程序的溢出漏洞、cgi、Unicode、ftp、数据库漏洞…(简直举不胜举啊)&＃xff0c;都是***希望看到的扫描结果。随后就是尝试***了&＃xff0c;具体的手段就不在这里多说了&＃xff0c;感兴趣的话网上有很多关于这些内容的文章。

总之***现在占领了一台傀儡机了&＃xff01;然后他做什么呢&＃xff1f;除了上面说过留后门擦脚印这些基本工作之外&＃xff0c;他会把DDoS***用的程序上载过去&＃xff0c;一般是利用ftp。在***机上&＃xff0c;会有一个DDoS的发包程序&＃xff0c;***就是利用它来向受害目标发送恶意***包的。

3. 实际***

经过前2个阶段的精心准备之后&＃xff0c;***就开始瞄准目标准备发射了。前面的准备做得好的话&＃xff0c;实际***过程反而是比较简单的。就象图示里的那样&＃xff0c;***登录到做为控制台的傀儡机&＃xff0c;向所有的***机发出命令&＃xff1a;"预备~ &＃xff0c;瞄准~&＃xff0c;开火!"。这时候埋伏在***机中的DDoS***程序就会响应控制台的命令&＃xff0c;一起向受害主机以高速度发送大量的数据包&＃xff0c;导致它死机或是无法响应正常的请求。***一般会以远远超出受害方处理能力的速度进行***&＃xff0c;他们不会"怜香惜玉"。

老到的***者一边***&＃xff0c;还会用各种手段来监视***的效果&＃xff0c;在需要的时候进行一些调整。简单些就是开个窗口不断地ping目标主机&＃xff0c;在能接到回应的时候就再加大一些流量或是再命令更多的傀儡机来加入***。