11避免拒绝服务攻击.pptVIP

练习 1：用 VC 编写模拟 SYN Flood 攻击的例子。 2：任选一种动态网页技术，编写一个注册界面，要求，只有验证码输入正确的 人才能够进行注册。 3：用代码模拟“Ping Of Death”的例子。 4：设计一个例子，攻击服务器并让服务器端执行多个死循环。 5：对上题的情况提出解决方案。 * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * 第十一章 避免拒绝服务攻击 拒绝服务(Denial of Service,DoS)攻击，是网络上常见的一类攻击的总称，其目的是使计算机或网络无法提供正常的服务。在DoS攻击中，最常见是网络带宽攻击和连通性攻击。前者一般恶意向网络发送极大的通信量，使得可用网络资源被消耗，而合法的用户连接反而无法通过；后者主要是针对网络上的计算机，向这些计算机发出大量的连接请求，消耗计算机可用的操作系统资源，导致计算机无法再处理合法用户的请求。 DoS攻击由于实施起来比较容易，效果也比较明显，因此在网络上比较常见，也给网络安全带来巨大的威胁。 本章首先讲解了拒绝服务攻击的过程以及危害，接下来阐述了几种常见的拒绝服务攻击，最后对它们提出了解决方案。本章涉及到的DoS攻击包括：系统崩溃、资源不足、恶意访问等。 11.1 拒绝服务攻击 拒绝服务攻击作为互联网上的一种常见攻击手段，已经有多年历史。拒绝服务攻击曾被称作为互联网上最为严重的威胁之一。早期的拒绝服务攻击是利用了TCP/IP协议的缺陷，将提供服务的网络的资源消耗殆尽，导致其不能提供正常服务，不过，在本章中，我们也将一些对服务器的恶意访问也包含了进来。由于拒绝服务攻击形式较多，并且很多情况下都是利用了一些现有协议的漏洞，因此，到目前为止，还没有很好的解决办法来解决拒绝服务攻击问题。 拒绝服务攻击的攻击方式有多种，如： 消耗网络带宽； 消耗网络设备的CPU； 消耗网络设备的内存； 导致网络上设备系统崩溃；等等。 注意，这里的网络设备也包括网络上的计算机。 提示 以具有代表性的攻击手段SYN flood、ICMP flood、UDP flood为例，其原理是：针对同一个服务器的某个端口(如HTTP所在的80端口)，短时间内发送大量伪造的连接请求报文，造成服务器忙不过来，严重的时候资源耗尽、系统停止响应甚至崩溃。这是对网络上服务器的攻击。 而另一种是针对网络带宽本身的攻击，使用真实的IP地址，对服务器发起大量的真实连接，抢占带宽，由于服务器的承载能力有限，就有可能造成合法用户无法连接，当然也有可能造成服务器的资源耗尽，系统崩溃。更有甚者，可以使用假的IP地址(IP地址欺骗)，使得服务器端无法通过“黑名单”来拒绝一些恶意的IP地址。 从攻击原理分，拒绝服务攻击可分为两类： 基于漏洞的攻击，又称为逻辑攻击（Logic Attack）。该种攻击方法中，攻击者首先找到软件中存在的漏洞(如操作系统中存在的缓冲区溢出漏洞)，然后向存在漏洞的系统发送经过精心设计的数据包，使得系统崩溃或性能急剧下降。 基于流量的攻击，又称为洪水攻击（Flooding Attack/Bandwidth attack）。该种攻击方式是指攻击者在短时间内，向目标系统发送大量数据包，消耗目标网络带宽或系统资源。 传统的拒绝服务攻击，一般是从一个攻击源攻击一个目标。随着攻击技术的进步，近些年来，拒绝服务攻击已经演变为分布、协作、大规模攻击方式，从多个攻击源攻击一个目标，即分布式拒绝服务攻击（Distributed Deny of Service, DDoS）。DDoS通常被用于对一些大型商务网站或网络系统进行攻击，攻击强度和造成的危害大大超过传统的Dos攻击。 有关DoS攻击和DDoS攻击的其他资料，读者可以参考相关文献。 11.2 几个拒绝服务攻击的案例 11.2.1 程序崩溃攻击 拒绝服务攻击引起程序崩溃，可以通过改善代码质量来降低损失。在这类攻击中，最薄弱的环节是一些使用了网络堆栈进行工作的场合。比如，在UDP通信中，构建一个UDP数据包，在UDP文件头中指定的长度比实际上数据包长度大，则系统内核会引起内存访问错误，此时各种系统都会有相应的反应，如： UNIX系统中，系统进入应急状态； Windows系统会蓝屏或者进行错误检查； 系统重新启动；等等。 本节以“Ping Of Death”攻击来阐述这个问题。 根据TCP/IP的规范，一个包的长度最大为65535字节。尽管一个包的长度不能超过65535字节，但可以把报文分割成片段，然后在目标主机上重组。但是，这个规则本身存在着漏洞，如果攻击者精心设计，最终会导致被攻击目标缓冲区溢出，这也是拒绝服务攻击的一种形式。 一般说来，当一个主机收