DoS攻击构造及防护_luffy.pptVIP

由中美撞机引起的… DoS攻击构成及防护 培训目的 1、了解DoS攻击的定义及原理 2、增强对TCP/IP协议的理解 3、掌握防DoS攻击的测试方法 4、....... 主要内容 1、DoS相关定义 2、DoS攻击的分类 3、常见DoS攻击包的构成（8种） 4、防DoS攻击测试方法 5、我司防DoS攻击产品的缺陷总结 相关定义（一） 服务——指系统提供的，用户在其使用中 会受益的功能。 拒绝服务（DoS）——任何对服务的干涉如果使得其可用性降低或者失去可用性均称为拒绝服务。 相关定义（二） 拒绝服务攻击（DoS攻击）——是指攻击者通过某种手段，有意造成计算机或网络不能正常运转从而不能向合法用户提供所需服务或使得服务质量降低。 分布式拒绝服务攻击（DDoS）——多个处于不同位置的多个攻击者同时发起的DoS攻击。 舞厅分类法 舞伴（Partner）——与受害人跳舞。 风暴（Flood）——用大量的噪音来干扰受害者，使之无法听到他人的跳舞邀请。 陷阱（Trip）——只要受害人跳舞就通过设置陷阱阻止其跳舞。 介入（intervene）——阻止邀请传到受害者，包括阻止舞会的进行。 常见的DoS攻击（一） 洪水攻击 思考：洪水的特点是什么？ 阈值——判断是否是洪水攻击的门限 常见的洪水攻击包： TCP SYN Flood，TCP ACK Flood TCP FIN Flood，UDP Flood ICMP Flood 常见的DoS攻击（一） 构造方法（以SYN Flood为例）： 方法一、利用Smartwindows模拟TCP SYN 包，设置速率大于阈值。 方法二、利用抓包工具抓取SYN包，导入数 据包编辑器，设置速率大于阈值。 洪水攻击防护日志 常见的DoS攻击（二） TCP/UDP PortScan（端口扫描） 特征：通过发目的端口从1～65535变化的 TCP Syn包或UDP包到服务器，找到服务器 上已打开的端口。（如何找到？） 危害：对已打开的端口进行攻击。 常见的DoS攻击（二） 思考：当攻击者发TCP Syn包到服务器，若 开放的目的端口服务被监听，服务器会返回 什么包？若开放的端口服务没有被监听，服 务器会返回什么包？UDP呢？ 常见的DoS攻击（二） 构造方法 1、利用Smartbit模拟出TCP SYN包或UDP包使目的端口从1～65535变化。 2、直接用PortScan工具。 端口扫描防护日志 常见的DoS攻击（三） PingOfDeath（死亡之ping） 特征：总数据报长度超过65535的ICMP包 危害：主要针对Win95系统，导致系统崩溃 ，死机，重启等 常见的DoS攻击（三） 目前的Windows和Linux系统不允许发送大于 65535字节的ICMP包，那么如何构造呢？ 常见的DoS攻击（三） 构造方法 使用Window发出一个65500的ping包，抓包。利用数据包编辑器编辑最后一个IP分片，使其长度增加35字节以上，从而使分片重组时数据报总长度大于65535。 PingOfDeath防护攻击日志 常见的DoS攻击（四） Land（陆地攻击） 特征：Syn包，源IP与目的IP相同，源端口和 目的端口相同。 危害：在Land攻击下，许多UNIX将崩溃， NT变得极其缓慢 。 常见的DoS攻击（四） 构造方法 用SmartWindows或数据包编辑器构建SYN包，目的IP和源IP均为攻击对象的IP地址；目的端口和源端口相同。 Land攻击防护攻击日志 常见的DoS攻击（五） TearDrop（泪滴攻击） 特征：IP碎片攻击，Offset有重叠 危害：导致部分系统崩溃 常见的DoS攻击（五） 正常的IP分片遵循如下规则： 1、同一数据包的所有片段的识别号必须相同 2、每个片段必须指明其在原未分段的数据包中的位置。（Offset） 3、每个片段必须指明其数据包的长度。 4、每个片段必须说明其是否是最后一个片段，即其后是否还有其他的片段。 常见的DoS攻击（五） 构造方法 先发一个长度超过1500的UDP报文，使用抓包工具抓取。利用数据包编辑器编辑某IP分片的offset字段。 Teardrop攻击防护攻击日志 常见的DoS攻击（六） Smurf攻击（回音攻击） 特征：ICMP包，源地址为受害主机，目的地 址广播 常见的DoS攻击（六） 构造方法 设置源IP为攻击对象的IP；目的IP为网内广播IP；源MAC可随意设置，目的MAC为FF:FF:FF:FF:FF:FF Smurf防护攻击日志 常见的DoS攻击（七） Unknown Proto