文章 - DDOS攻防对抗面面观

概念介绍

DOS(Denial of Service，拒绝服务攻击)是指攻击者通过向目标系统发送大量请求或利用系统漏洞使其无法正常提供服务或资源给合法用户的一种攻击手段，DOS攻击的目标是削弱或完全中断目标系统的正常运行，导致服务不可用，与之相近的DDOS则主要是指流入受害者的流量来自许多不同的来源，DOS或DDOS攻击类似于一群人挤进商店或企业的大门，不让合法的一方进入商店或企业，扰乱正常的运作

类别划分

DOS/DDOS类别：

基于流量的攻击：攻击的目标是通过每秒发送的ICMP或UDP或TCP流量来淹没目标网络的带宽
基于协议的攻击：攻击者通过每秒发送TCP SYN Flood、Ping of death或Fragmented packets攻击等数据包来摧毁目标并使其对其他合法请求无响应，从而集中实际的目标服务器资源
基于应用层攻击：攻击者不会试图破坏整个服务器，而是通过每秒发送请求来集中攻击正在运行的应用程序，例如:攻击Wordpress、Joomla Web服务器，对Apache发出无限请求使其对其他合法请求无响应

靶场环境

环境地址

客户机IP：192.168.204.150
服务器IP：192.168.0.103
黑客机IP：192.168.204.135

网络拓扑

访问情况

客户机可以成功访问服务器的80端口的web服务

攻击演示

ICMP 泛洪攻击

基本介绍

ICMP(Internet Control Message Protocol)泛洪攻击是一种利用ICMP协议的特性对目标系统进行攻击的手法，ICMP是用于在IP网络中传输控制消息的协议，常用于网络诊断和错误报告，在ICMP泛洪攻击中攻击者发送大量的伪造的ICMP请求消息(通常是ICMP回显请求，也称为Ping请求)到目标系统，这些请求消息被发送到目标系统的网络接口，导致目标系统不堪重负并可能导致其资源耗尽

攻击流程

攻击者在攻击主机中执行以下命令实施DOS攻击

#命令示例
hping3 --rand-source --icmp -d 56 --flood 192.168.204.146

#参数说明
黑客机IP(192.168.204.135)伪造任意IP地址向服务器IP(192.168.204.146)发送如洪水般的ping包，数据包大小是56

此时可以看到有大量的ICMP请求从任意的IP地址涌向服务器

UDP 泛洪攻击

基本介绍

UDP(User Datagram Protocol)泛洪攻击是一种网络攻击方法，利用UDP协议的特性对目标系统进行攻击，UDP是一种无连接的传输层协议，常用于快速传输数据的应用，例如:DNS和实时流媒体，在UDP泛洪攻击中，攻击者发送大量的伪造的UDP数据包到目标系统的特定端口上，这些数据包被发送到目标系统的网络接口导致目标系统不堪重负并可能导致其资源耗尽

攻击流程

攻击者在攻击主机中执行以下命令实施DOS攻击

hping3 --flood --rand-source --udp -p 53 192.168.204.146

在wireshark中可以看到发往192.168.204.146地址的大量数据报文且来源IP地址各不相同

SMURF攻击类

基本介绍

SMURF攻击是一种早期的网络攻击方法，利用ICMP(Internet Control Message Protocol)协议中的回显请求(Echo Request)和广播地址的特性对目标网络发起攻击，这种攻击方式的名称源自最早用于执行此类攻击的程序名"smurf"，在SMURF攻击中攻击者发送大量的ICMP Echo Request数据包将源IP地址伪装成受害者的IP地址并将目标IP地址设置为广播地址，由于广播地址会将数据包发送到网络中的所有主机，每个收到数据包的主机都会生成一个ICMP Echo Reply响应并将响应发送给被伪装的受害者IP地址，这样一来攻击者发送的单个数据包就会导致网络中的大量响应流量集中在受害者上，造成带宽消耗、网络拥塞和服务中断

攻击演示

在攻击主机中打开scapy工具，随后192.168.0.107(黑客机)模仿 192.168.0.103(受害机)发送给192.168.0.255(受害者网络的所有主机)报文

如果这个网段是一个B类网段或者是A类网段并且存活的主机全部回应ICMP包，那么将会造成受害主机带宽严重拥塞，丢包，甚至完全不可用等现象

TCP RST复位攻击

基本介绍

TCP RST(Reset)复位攻击是一种网络攻击方法，利用TCP协议中的RST标志位发送伪造的TCP RST数据包，终止或中断现有的TCP连接，这种攻击利用了TCP协议中的重置机制，欺骗目标系统以终止其与其他主机之间的连接，在TCP RST复位攻击中攻击者发送伪造的TCP RST数据包到目标系统，这些数据包带有合法的源IP地址和目标IP地址以及源端口和目标端口，目标系统接收到伪造的RST数据包后会误认为与该源IP地址和目标IP地址之间的连接已经终止，从而中断正在进行的TCP会话