DoS攻击原理和防御方法

1、DoS攻击原理和防御方法TCP/IP协议的权限DoS (拒绝服务攻击)- Denial of Service该攻击的原理是利用TCP报文头来做的文章.下面是TCP数据段头格式。Source Port和 Destination Port :是本地端口和目标端口Sequence Number 和 Acknowledgment Number ：是顺序号和确认号，确认号是希望接收的字节号。这都是32位的，在TCP流中，每个数据字节都被编号。Data offset :表明TCP头包含多少个32位字，用来确定头的长度，因为头中可选字段长度是不定的。Reserved : 保留的我不是人，现在没用，都是0接下

2、来是6个1位的标志，这是两个计算机数据交流的信息标志。接收和发送断根据这些标志来确定信息流的种类。下面是一些介绍： URG：（Urgent Pointer field significant）紧急指针。用到的时候值为1，用来处理避免TCP数据流中断ACK：（Acknowledgment field significant）置1时表示确认号（Acknowledgment Number）为合法，为0的时候表示数据段不包含确认信息，确认号被忽略。PSH：（Push Function），PUSH标志的数据，置1时请求的数据段在接收方得到后就可直接送到应用程序，而不必等到缓冲区满时才传送。RST：（Re

3、set the connection）用于复位因某种原因引起出现的错误连接，也用来拒绝非法数据和请求。如果接收到RST位时候，通常发生了某些错误。SYN：（Synchronize sequence numbers）用来建立连接，在连接请求中，SYN=1，CK=0，连接响应时，SYN=1，ACK=1。即，SYN和ACK来区分Connection Request和Connection Accepted。FIN：（No more data from sender）用来释放连接，表明发送方已经没有数据发送。TCP三次握手模型：我们进入比较重要的一部分：TCP连接握手过程。这个过程简单地分为三步。在没有

4、连接中，接受方（我们针对服务器），服务器处于LISTEN状态，等待其他机器发送连接请求。第一步：客户端发送一个带SYN位的请求，向服务器表示需要连接，比如发送包假设请求序号为10，那么则为：SYN=10，ACK=0，然后等待服务器的响应。第二步：服务器接收到这样的请求后，查看是否在LISTEN的是指定的端口，不然，就发送RST=1应答，拒绝建立连接。如果接收连接，那么服务器发送确认，SYN为服务器的一个内码，假设为100，ACK位则是客户端的请求序号加1，本例中发送的数据是：SYN=100，ACK=11，用这样的数据发送给客户端。向客户端表示，服务器连接已经准备好了，等待客户端的确认这时客户端

5、接收到消息后，分析得到的信息，准备发送确认连接信号到服务器第三步：客户端发送确认建立连接的消息给服务器。确认信息的SYN位是服务器发送的ACK位，ACK位是服务器发送的SYN位加1。即：SYN=11，ACK=101。这时，连接已经建立起来了。然后发送数据，<SYN=11，ACK=101><DATA>。这是一个基本的请求和连接过程。需要注意的是这些标志位的关系，比如SYN、ACK。服务器不会在每次接收到SYN请求就立刻同客户端建立连接，而是为连接请求分配内存空间，建立会话，并放到一个等待队列中。如果，这个等待的队列已经满了，那么，服务器就不在为新的连接分配任何东西，直接丢

6、弃新的请求。如果到了这样的地步，服务器就是拒绝服务了。如果服务器接收到一个RST位信息，那么就认为这是一个有错误的数据段，会根据客户端IP，把这样的连接在缓冲区队列中清除掉。这对IP欺骗有影响，也能被利用来做DOS攻击。有了TCP的基础和三次握手协商流程,那么DoS就是利用这其中的漏洞进行攻击的.下面就是DOS的攻击原理了：上面的介绍，我们了解TCP协议，以及连接过程。要对SERVER实施拒绝服务攻击，实质上的方式就是有两个：一， 迫使服务器的缓冲区满，不接收新的请求。二， 使用IP欺骗，迫使服务器把合法用户的连接复位，影响合法用户的连接这就是DOS攻击实施的基本思想。具体实现有这样的方法：1

7、、SYN FLOOD利用服务器的连接缓冲区（Backlog Queue），利用特殊的程序，设置TCP的Header，向服务器端不断地成倍发送只有SYN标志的TCP连接请求。当服务器接收的时候，都认为是没有建立起来的连接请求，于是为这些请求建立会话，排到缓冲区队列中。如果你的SYN请求超过了服务器能容纳的限度，缓冲区队列满，那么服务器就不再接收新的请求了。其他合法用户的连接都被拒绝掉。可以持续你的SYN请求发送，直到缓冲区中都是你的只有SYN标记的请求。现在有很多实施SYN FLOOD的工具，呵呵，自己找去吧。-对于SYN flood攻击，防护原理是：现在很多动态防火墙都可以提供SYN代理功能,

8、 具体的原理框架如下：2、IP欺骗DOS攻击这种攻击利用RST位来实现。假设现在有一个合法用户()已经同服务器建立了正常的连接，攻击者构造攻击的TCP数据，伪装自己的IP为，并向服务器发送一个带有RST位的TCP数据段。服务器接收到这样的数据后，认为从发送的连接有错误，就会清空缓冲区中建立好的连接。这时，如果合法用户再发送合法数据，服务器就已经没有这样的连接了，该用户就必须从新开始建立连接。攻击时，伪造大量的IP地址，向目标发送RST数据，使服务器不对合法用户服务。3、 带宽DOS攻击如果你的连接带宽足够大而服务器又不是很大，你可以发送请

9、求，来消耗服务器的缓冲区消耗服务器的带宽。这种攻击就是人多力量大了，配合上SYN一起实施DOS，威力巨大。不过是初级DOS攻击。呵呵。Ping白宫？你发疯了啊！4、自身消耗的DOS攻击这是一种老式的攻击手法。说老式，是因为老式的系统有这样的自身BUG。比如Win95 (winsock v1), Cisco IOS v.10.x, 和其他过时的系统。这种DOS攻击就是把请求客户端IP和端口弄成主机的IP端口相同，发送给主机。使得主机给自己发送TCP请求和连接。这种主机的漏洞会很快把资源消耗光。直接导致当机。这中伪装对一些身份认证系统还是威胁巨大的。上面这些实施DOS攻击的手段最主要的就是构造需要

10、的TCP数据，充分利用TCP协议。这些攻击方法都是建立在TCP基础上的。还有其他的DOS攻击手段。5、塞满服务器的硬盘通常，如果服务器可以没有限制地执行写操作，那么都能成为塞满硬盘造成DOS攻击的途径，比如：发送垃圾邮件。一般公司的服务器可能把邮件服务器和WEB服务器都放在一起。破坏者可以发送大量的垃圾邮件，这些邮件可能都塞在一个邮件队列中或者就是坏邮件队列中，直到邮箱被撑破或者把硬盘塞满。让日志记录满。入侵者可以构造大量的错误信息发送出来，服务器记录这些错误，可能就造成日志文件非常庞大，甚至会塞满硬盘。同时会让管理员痛苦地面对大量的日志，甚至就不能发现入侵者真正的入侵途径。向匿名FTP塞垃圾

11、文件。这样也可以塞满硬盘空间。6、合理利用策略一般服务器都有关于帐户锁定的安全策略，比如，某个帐户连续3次登陆失败，那么这个帐号将被锁定。这点也可以被破坏者利用，他们伪装一个帐号去错误登陆，这样使得这个帐号被锁定，而正常的合法用户就不能使用这个帐号去登陆系统了我司的设备支持下面的攻击防范：针对常见的网络攻击手段，如IP Source Address spoofing（伪源地址攻击）、LAND攻击、SYN Flood攻击、Smurf攻击、Ping Flood攻击，进行检测和防范。ip source-route源路由包：源路由包除了在网络测试工具中被正常使用外，往往也是黑客的一大工具，会话劫持时往

12、往会用到此手段，因此，是否允许源路由包通过被设置成一个可选项；如果不被允许，此类包将一律被否决。ip record-route记录路由：该选项既能用于网络测试，也可被黑客用来掌握网络动态，此项也是可选的。ip fragment不合理的分片：是利用系统缺陷使系统紊乱的攻击，该攻击是利用这样一种分片：分片重组后该IP数据包的长度大于最大包长度（65535），而有些操作系统不知道如何处理此种异常包，导致系统挂起或死机。这种攻击中则至少存在这样一个分片：该分片的IP包数据段长度（IP长度减去IP首部长度）加上分片偏移值的结果，必定会大于最大包长度。因此，只要拒绝这样的报文，目的系统就能避免受到攻击。该

13、功能是可选的。ip small-packet太小的包：太短的IP包也可能被用来进行攻击，是否允许这样的包通过，可以由用户配置进行选择(缺省为32字节)ip intercept ipeq源IP地址等于目的IP地址的IP报文，可被黑客用来进行攻击。是否允许这样的包通过，可以由用户配置进行选择。ip icmp intercept fragment分片的ICMP报文，是否允许这样的包通过，可以由用户配置进行选择。攻击检测功能对ICMP flood、 Smurf、 Fraggle、 SYN flood、 LAND等几种攻击包的检测（或监控）。ip icmp interceptICMP flood，该攻击

14、通过向目标IP发送大量ICMP包，占用带宽，从而导致合法报文无法到达目的地，达到攻击目的；检测时，对于发向目的地址为路由器接口地址的ICMP报文进行记数，一旦报文的接收频率高出正常范围，则怀疑存在攻击行为，严格控制报文的流经频率；直到频率低出范围，又开始放行；此处理方式有一定的局限性：即当拒绝过量包时也拒绝了合法的包，但在综合考虑系统自身的承受能力的前提下，此方法是最合理的。ip smurf interceptSmurf也是一种这种类型的攻击，攻击者先使用该受害主机的地址，向一个广播地址发送ICMP回响请求，在此广播网络上，潜在的数以千计的计算机将会做出响应，大量响应将发送到受害主机，此攻击后

15、果同ICMP flood，但比之更为隐秘；此类包可通过两种方式拦截，如果伪源地址检测能够检测出来，直接拒绝该包，另外，可打开smurf检测开关，如果源地址是受保护的目的服务器地址，而目的地址是一个广播地址，则拦截这样的包； smurf自身利用的是ICMP_ECHO包，但考虑到其它的ICMP请求包也将导致同样的后果，因此，将检测扩展到类型ICMP_TSTAMP、ICMP_IREQ、ICMP_MASKREQ。ip fraggle intercept攻击fraggle严格说来，是一个smurf的变种，它针对许多防火墙对于ICMP包检查比较严格的前提，不再向广播地址发ICMP请求包，而是改为发送UDP

16、包，当目的网段的计算机收到该包并检查到目的端口不可达时，将发给受害主机一个“目的端口不可达”的差错报文，大量的报文同时涌向受害主机，因而达到攻击目的；此检测与smurf检测大同小异，仅仅类型不同而已。ip tcp intercept landLAND攻击则利用了系统的另一个弱点：许多系统不知道如何处理源地址与端口号等同于目的地址与端口号的SYN建连请求，导致系统紊乱或死机；因此，如果检测到了某个报文的源地址等于目的地址、源端口等于目的端口，当即扔掉这样的包。ip tcp intercept list消耗系统有限资源的攻击，最有名的当属SYN泛洪，这是一种蓄意侵入三次握手并打开大量半开TCP/IP连接而进行的攻击，该攻击利用IP欺骗，向受害者的系统发送看起来合法的SYN请求，而事实上该源地址不存在或当时不在线，因而回应的ACK消息无法到达目的，而受害者的系统最后被大量的这种半开连接充满，资源耗尽，而合法的连接无法被响应；对于此攻击，我们采用一种简单的拦截方式：阀值拦截，一旦某服务器收到的SYN请求的报文频率超过阀值限度则对多余的进行拦截，一方面削弱了syn攻击强度