DDOS攻擊原理與防范

王鴻鵬

摘 要 就網(wǎng)絡(luò)安全而言目前最讓人擔(dān)心和害怕的入侵攻擊就要算是拒絕服務(wù)攻擊了。他和傳統(tǒng)的攻擊不同，采取的是仿真多個客戶端來連接服務(wù)器，造成服務(wù)器無法完成如此多的客戶端連接，從而無法提供服務(wù)。

關(guān)鍵詞 DDOS攻擊 原理 防范

中圖分類號：TP3 文獻(xiàn)標(biāo)識碼：A

1 DDOS的概念與產(chǎn)生

DDOS是英文Distributed Denial of Service的縮寫，即“分布式拒絕服務(wù)”。凡是能導(dǎo)致合法用戶不能夠訪問正常網(wǎng)絡(luò)服務(wù)的行為都算是拒絕服務(wù)攻擊。也就是說拒絕服務(wù)攻擊的目的非常明確，就是要阻止合法用戶對正常網(wǎng)絡(luò)資源的訪問，從而達(dá)成攻擊者不可告人的目的。雖然同樣是拒絕服務(wù)攻擊，但DDOS和DOS有所不同，DDOS攻擊手段是在傳統(tǒng)的DOS攻擊基礎(chǔ)之上產(chǎn)生的一類攻擊方式。單一的DOS攻擊一般是采用一對一方式的，當(dāng)被攻擊目標(biāo)CPU速度低、內(nèi)存小或者網(wǎng)絡(luò)帶寬小等等各項(xiàng)性能指標(biāo)不高，它的效果是明顯的。隨著計(jì)算機(jī)與網(wǎng)絡(luò)技術(shù)的發(fā)展，計(jì)算機(jī)的處理能力迅速增長，內(nèi)存大大增加，同時也出現(xiàn)了千兆級別的網(wǎng)絡(luò)，這使得DOS攻擊的困難程度加大了，因?yàn)槟繕?biāo)對惡意攻擊包的“消化能力”加強(qiáng)了不少。

2 DDOS的攻擊原理

DDOS的攻擊策略側(cè)重于通過很多被攻擊者入侵過或可間接利用的主機(jī)向受害主機(jī)發(fā)送大量看似合法的網(wǎng)絡(luò)包，從而造成網(wǎng)絡(luò)阻塞或服務(wù)器資源耗盡而導(dǎo)致拒絕服務(wù)。一般來說，黑客進(jìn)行DDOS攻擊時會經(jīng)過這樣的步驟：

（1）搜集了解目標(biāo)的情況

對于DDOS攻擊者來說，攻擊互聯(lián)網(wǎng)上的某個站點(diǎn)時，搜集情報(bào)對DDOS攻擊者來說是非常重要的，這關(guān)系到使用多少臺傀儡機(jī)才能達(dá)到效果的問題。簡單地考慮一下，在相同的條件下，攻擊同一站點(diǎn)的2臺主機(jī)需要2臺傀儡機(jī)的話，攻擊5臺主機(jī)可能就需要5臺以上的傀儡機(jī)。有人說做攻擊的傀儡機(jī)越多越好，不管你有多少臺主機(jī)我都用盡量多的傀儡機(jī)來攻就是了，反正傀儡機(jī)超過了時候效果更好。

（2）占領(lǐng)傀儡機(jī)

簡單地說，就是占領(lǐng)和控制被攻擊的主機(jī)。取得最高的管理權(quán)限，或者至少得到一個有權(quán)限完成DDOS攻擊任務(wù)的帳號。對于一個DDOS攻擊者來說，準(zhǔn)備好一定數(shù)量的傀儡機(jī)是一個必要的條件，下面說一下他是如何攻擊并占領(lǐng)它們的。

首先，黑客做的工作一般是掃描，隨機(jī)地或者是有針對性地利用掃描器去發(fā)現(xiàn)互聯(lián)網(wǎng)上那些有漏洞的機(jī)器，像程序的溢出漏洞、cgi、Unicode、ftp、數(shù)據(jù)庫漏洞等，都是黑客希望看到的掃描結(jié)果。隨后就是嘗試入侵了。

當(dāng)黑客占領(lǐng)了一臺傀儡機(jī)之后，除了留后門擦腳印這些基本工作之外，他會把DDOS攻擊用的程序上載過去，一般是利用ftp。在攻擊機(jī)上，會有一個DDOS的發(fā)包程序，黑客就是利用它來向受害目標(biāo)發(fā)送惡意攻擊包的。

（3）實(shí)際攻擊

前面的準(zhǔn)備做得好的話，實(shí)際攻擊過程反而是比較簡單的。黑客登錄到做為控制臺的傀儡機(jī)，向所有的攻擊機(jī)發(fā)出命令，這時候埋伏在攻擊機(jī)中的DDOS攻擊程序就會響應(yīng)控制臺的命令，一起向受害主機(jī)以高速度發(fā)送大量的數(shù)據(jù)包，導(dǎo)致它死機(jī)或是無法響應(yīng)正常的請求。黑客一般會以遠(yuǎn)遠(yuǎn)超出受害方處理能力的速度進(jìn)行攻擊。

老到的攻擊者一邊攻擊，還會用各種手段來監(jiān)視攻擊的效果，在需要的時候進(jìn)行一些調(diào)整。簡單些就是開個窗口不斷地ping目標(biāo)主機(jī)，在能接到回應(yīng)的時候就再加大一些流量或是再命令更多的傀儡機(jī)來加入攻擊。

3 DDOS的防范

目前對于DDOS的防范還是沒有什么好辦法的，主要靠平時維護(hù)和掃描來對抗。簡單的通過軟件防范的效果非常不明顯，即便是使用了硬件安防設(shè)施也僅僅能起到降低攻擊級別的效果，DDOS攻擊只能被減弱，無法被徹底消除。下面列出了對付它的一些常規(guī)方法：

（1）定期掃描

要定期掃描現(xiàn)有的網(wǎng)絡(luò)主節(jié)點(diǎn)，清查可能存在的安全漏洞，對新出現(xiàn)的漏洞及時進(jìn)行清理。骨干節(jié)點(diǎn)的計(jì)算機(jī)因?yàn)榫哂休^高的帶寬，是黑客利用的最佳位置，因此對這些主機(jī)本身加強(qiáng)主機(jī)安全是非常重要的。而且連接到網(wǎng)絡(luò)主節(jié)點(diǎn)的都是服務(wù)器級別的計(jì)算機(jī)，所以定期掃描漏洞就變得更加重要了。

（2）在骨干節(jié)點(diǎn)配置防火墻

防火墻本身能抵御DDOS攻擊和其他一些攻擊。在發(fā)現(xiàn)受到攻擊的時候，可以將攻擊導(dǎo)向一些犧牲主機(jī)，這樣可以保護(hù)真正的主機(jī)不被攻擊。當(dāng)然導(dǎo)向的這些犧牲主機(jī)可以選擇不重要的，或者是linux以及unix等漏洞少和天生防范攻擊優(yōu)秀的系統(tǒng)。

（3）過濾不必要的服務(wù)和端口

可以使用Inexpress、Express、Forwarding等工具來過濾不必要的服務(wù)和端口，即在路由器上過濾假IP。只開放服務(wù)端口成為目前很多服務(wù)器的流行做法，例如WWW服務(wù)器那么只開放80而將其他所有端口關(guān)閉或在防火墻上做阻止策略。

（4）檢查訪問者的來源

使用Unicast Reverse Path Forwarding等通過反向路由器查詢的方法檢查訪問者的IP地址是否是真，如果是假的，它將予以屏蔽。許多黑客攻擊常采用假IP地址方式迷惑用戶，很難查出它來自何處。因此，利用Unicast Reverse Path Forwarding可減少假IP地址的出現(xiàn)，有助于提高網(wǎng)絡(luò)安全性。

參考文獻(xiàn)

[1] 孔 哲，孟麗容.數(shù)據(jù)庫連接策略優(yōu)化方法[J].山東大學(xué)學(xué)報(bào)版，2003，33（6）：652-657.

[2] 賈 焰，王治英，韓偉紅，等.分布式數(shù)據(jù)庫技術(shù)[M].北京：國防工業(yè)出版社，2003.

[3] 孫曦，朱曉研，王育民.DDoS下的TCP洪流攻擊及對策[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2004（4）.

[4] Merike Kaeo.網(wǎng)絡(luò)安全性設(shè)計(jì)（第二版）[M].吳中福譯，北京：人民郵電出版社，2005.