| |
DoS即Denial Of Service，拒絕服務(wù)的縮寫。DoS是指故意攻擊網(wǎng)絡(luò)協(xié)議實(shí)現(xiàn)的缺陷，或直接通過野蠻手段耗盡被攻擊對(duì)象的資源，目的是讓目標(biāo)計(jì)算機(jī)或網(wǎng)絡(luò)無法提供正常的服務(wù)或資源訪問，使目標(biāo)系統(tǒng)服務(wù)系統(tǒng)停止響應(yīng)甚至崩潰，而在此攻擊中并不包括侵入目標(biāo)服務(wù)器或目標(biāo)網(wǎng)絡(luò)設(shè)備。
這些服務(wù)資源包括網(wǎng)絡(luò)帶寬、文件系統(tǒng)空間容量、開放的進(jìn)程或者允許的連接。這種攻擊會(huì)導(dǎo)致資源匱乏，無論計(jì)算機(jī)的處理速度多快、內(nèi)存容量多大、網(wǎng)絡(luò)帶寬的速度多快都無法避免這種攻擊帶來的后果。
事實(shí)上，任何事物都有一個(gè)極限，所以總能找到一個(gè)方法使請(qǐng)求的值大于該極限值，因此就會(huì)故意導(dǎo)致所提供的服務(wù)資源匱乏，導(dǎo)致服務(wù)資源無法滿足需求的情況。所以，千萬不要認(rèn)為擁有了足夠?qū)挼膸捄妥銐蚩斓姆⻊?wù)器就有了一個(gè)不怕拒絕服務(wù)攻擊的高性能網(wǎng)站，拒絕服務(wù)攻擊會(huì)使所有的資源都變得非常渺小。
其實(shí)，有個(gè)形象的比喻可以深入理解DoS。街頭的餐館是為大眾提供餐飲服務(wù)，如果一群地痞流氓要對(duì)餐館進(jìn)行拒絕服務(wù)攻擊的話，手段會(huì)很多，比如霸占著餐桌不結(jié)賬，堵住餐館的大門不讓路，騷擾餐館的服務(wù)員或廚子不能干活，甚至更惡劣……；相應(yīng)地，計(jì)算機(jī)和網(wǎng)絡(luò)系統(tǒng)是為互聯(lián)網(wǎng)用戶提供互聯(lián)網(wǎng)資源的，如果有黑客要進(jìn)行拒絕服務(wù)攻擊的話，則同樣有好多手段！
今天最常見的拒絕服務(wù)攻擊包括對(duì)計(jì)算機(jī)網(wǎng)絡(luò)的帶寬攻擊和連通性攻擊。
帶寬攻擊是指以極大的通信量沖擊網(wǎng)絡(luò)，使得所有可用網(wǎng)絡(luò)資源都被消耗殆盡，最后導(dǎo)致合法的用戶請(qǐng)求無法通過。連通性攻擊是指用大量的連接請(qǐng)求沖擊計(jì)算機(jī)，使得所有可用的操作系統(tǒng)資源都被消耗殆盡，最終計(jì)算機(jī)無法再處理合法用戶的請(qǐng)求。
拒絕服務(wù)攻擊是一種對(duì)網(wǎng)絡(luò)危害巨大的惡意攻擊。今天，DoS具有代表性的攻擊手段包括Ping of Death、TearDrop、UDPflood、SYNflood、LandAttack、IP Spoofing DoS等。下面看看它們又是怎么實(shí)現(xiàn)的：
（1）PING死亡攻擊：ICMP（Internet Control Message Protocol，互聯(lián)網(wǎng)控制信息協(xié)議）在互聯(lián)網(wǎng)上用于錯(cuò)誤處理和傳遞控制信息。它的功能之一是與主機(jī)聯(lián)系，通過發(fā)送一個(gè)“回音請(qǐng)求”（echo request）信息包看看主機(jī)是否“活著”。最普通的ping程序就是這個(gè)功能。而在TCP/IP的RFC文檔中對(duì)包的最大尺寸都有嚴(yán)格限制規(guī)定，許多操作系統(tǒng)的TCP/IP協(xié)議棧都規(guī)定ICMP包大小為64KB，且在對(duì)包的標(biāo)題頭進(jìn)行讀取之后，要根據(jù)該標(biāo)題頭所包含的信息來為有效載荷生成緩沖區(qū)。
而在TCP/IP的RFC文檔中對(duì)包的最大尺寸都有嚴(yán)格限制規(guī)定，許多操作系統(tǒng)的TCP/IP協(xié)議棧都規(guī)定ICMP包大小為64KB，且在對(duì)包的標(biāo)題頭進(jìn)行讀取之后，要根據(jù)該標(biāo)題頭所包含的信息來為有效載荷生成緩沖區(qū)。
“Ping of Death”就是故意產(chǎn)生畸形的測(cè)試Ping（Packet Internet Groper）包，聲稱自己的尺寸超過ICMP上限，也就是加載的尺寸超過64KB上限，使未采取保護(hù)措施的網(wǎng)絡(luò)系統(tǒng)出現(xiàn)內(nèi)存分配錯(cuò)誤，導(dǎo)致TCP/IP協(xié)議棧崩潰，最終使接收方宕機(jī)。
（2）淚滴（Teardrop）攻擊：淚滴攻擊利用那些在TCP/IP協(xié)議棧實(shí)現(xiàn)時(shí)信任IP碎片中包的標(biāo)題所包含的信息來實(shí)現(xiàn)攻擊。IP分段含有指示該分段所包含的原信息，某些TCP /IP協(xié)議棧在收到含有重疊偏移的偽造分段時(shí)將崩潰。
（3）UDP洪水（UDPflood）：如今在Internet上UDP（用戶數(shù)據(jù)包協(xié)議）的應(yīng)用比較廣泛，很多提供WWW和Mail等服務(wù)的設(shè)備通常使用UNIX服務(wù)器，它們默認(rèn)打開一些被黑客惡意利用的UDP服務(wù)。如echo服務(wù)會(huì)顯示接收到的每一個(gè)數(shù)據(jù)包，而原本作為測(cè)試功能的chargen服務(wù)會(huì)在收到每一個(gè)數(shù)據(jù)包時(shí)隨機(jī)反饋一些字符。UDPflood假冒攻擊就利用這兩個(gè)簡(jiǎn)單的TCP/IP服務(wù)的漏洞進(jìn)行惡意攻擊，通過偽造與某一主機(jī)的Chargen服務(wù)之間的一次UDP連接，回復(fù)地指向開著Echo服務(wù)的一臺(tái)主機(jī)，通過將Chargen和Echo服務(wù)互連，來回傳送毫無用處和占滿帶寬的垃圾數(shù)據(jù)，在兩臺(tái)主機(jī)之間生成足夠多的無用數(shù)據(jù)流，這一拒絕服務(wù)攻擊飛快地導(dǎo)致網(wǎng)絡(luò)可用帶寬耗盡。
（4）SYN洪水（SYNflood）：當(dāng)用戶進(jìn)行一次標(biāo)準(zhǔn)的TCP（Transmission Control Protocol）連接時(shí)，會(huì)有一個(gè)3次握手過程。首先是請(qǐng)求服務(wù)方發(fā)送一個(gè)SYN（Synchronize Sequence Number）消息，服務(wù)方收到SYN后，會(huì)向請(qǐng)求方回送一個(gè)SYN-ACK表示確認(rèn)，當(dāng)請(qǐng)求方收到SYN-ACK后，再次向服務(wù)方發(fā)送一個(gè)ACK消息，這樣便建成了一次TCP連接。 本新聞共 3頁,當(dāng)前在第 1頁 1 2 3 |
|
|
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
