一種利用Mainline DHT脆弱性發(fā)動(dòng)DDos攻擊的方法

收稿日期：2014－04－08

基金項(xiàng)目：國(guó)家高技術(shù)研究發(fā)展計(jì)劃(863)(2012AA012502，2012AA012506）；國(guó)家科技支撐計(jì)（2012BAH37B01）。

作者簡(jiǎn)介：張信幸(1991-)，女，貴州興義人，碩士研究生，主要研究方向: 網(wǎng)絡(luò)與信息安全;

方濱興(1960-)，男，江西萬年人，博士，教授，博士生導(dǎo)師，中國(guó)工程院院士，主要研究方向: 并行計(jì)算、網(wǎng)絡(luò)安全、拓?fù)浒l(fā)現(xiàn)等;

蔣智超(1989-)，男，山東濟(jì)南人，碩士研究生，主要研究方向: 網(wǎng)絡(luò)與信息安全。

摘要：Mainline DHT協(xié)議現(xiàn)在已經(jīng)被大量BT客戶端廣泛使用，由于BT的用戶是非常龐大的，因此Mainline DHT的脆弱性可能對(duì)因特網(wǎng)用戶帶來很大的危害。本文利用Mainline DHT的脆弱性設(shè)計(jì)了一個(gè)DDos攻擊系統(tǒng)，在真實(shí)DHT網(wǎng)絡(luò)下攻擊了所部署的受害節(jié)點(diǎn)，并對(duì)不同時(shí)間點(diǎn)的攻擊效能以及攻擊持續(xù)性進(jìn)行了評(píng)估和分析，發(fā)現(xiàn)這個(gè)脆弱性會(huì)對(duì)因特網(wǎng)造成很大的危害，應(yīng)當(dāng)對(duì)Mainline DHT協(xié)議進(jìn)行安全性增強(qiáng)改進(jìn)。

關(guān)鍵詞：BitTorrent； Mainline DHT； 脆弱性； DDos攻擊

中圖分類號(hào)：TP39308文獻(xiàn)標(biāo)識(shí)碼：A文章編號(hào)：2095-2163（2014）03-0031-04

An Effective Way to Launch DDos Attack by the Vulnerability of Mainline DHT

ZHANG Xinxing1，F(xiàn)ANG Binxing1，2，JIANG Zhichao1

(1 School of Computer Science and Technology， Harbin Institute of Technology， Harbin 150001， China;

2 Beijing University of Posts and Telecommunication， Beijing 100876， China)

Abstract：Mainline DHT protocol has been widely used by a large number of BitTorrent client， due to BT users is very large， so the vulnerability of the Mainline DHT may bring great harm to the Internet users. Based on the vulnerability of Mainline DHT， the paper designs a DDos attack system. After deploying the system and attacking a victim in real DHT network， the paper also evaluates and analyzes the perniciousness and the persistence of the DDos attack， therefore finds this vulnerability can cause great harm to the Internet. So the security enhancements of Mainline DHT should be improved.

Key words：BitTorrent; Mainline DHT; Vulnerability; DDos Attack

0引言

近年來，在各國(guó)版權(quán)和法律機(jī)構(gòu)的壓力下，以著名的海盜灣為代表的很多BT下載網(wǎng)站關(guān)閉了各自的Tracker服務(wù)器，由此將不再有中心Tracker服務(wù)器提供下載列表，節(jié)點(diǎn)也不可能再連入BT網(wǎng)絡(luò)。但是BT提供了一種可選的方案，也就是連入DHT(Distribute hash table)網(wǎng)絡(luò)，這時(shí)的每個(gè)節(jié)點(diǎn)都相當(dāng)于一個(gè)小型的Tracker服務(wù)器，可用來維護(hù)某些文件的下載列表。

DHT技術(shù)現(xiàn)在已經(jīng)獲得廣泛使用，幾乎所有的BT客戶端軟件都支持這個(gè)協(xié)議，因此該技術(shù)對(duì)BT的發(fā)展起到了很重要的推動(dòng)作用。但與此同時(shí)，還應(yīng)看到因其需要消耗大量資源來維護(hù)路由表，同時(shí)也沒有對(duì)節(jié)點(diǎn)身份進(jìn)行驗(yàn)證，就會(huì)導(dǎo)致DHT網(wǎng)絡(luò)可能受到DDos攻擊。本文主要研究了如何利用Mainline DHT協(xié)議的脆弱性進(jìn)行DDos攻擊，同時(shí)通過在Mainline DHT真實(shí)網(wǎng)絡(luò)下的實(shí)驗(yàn)對(duì)攻擊的性能進(jìn)行了評(píng)估。可以看到利用這種脆弱性發(fā)動(dòng)的攻擊不僅僅對(duì)DHT網(wǎng)絡(luò)本身有害，同時(shí)也可以對(duì)因特網(wǎng)內(nèi)的任意一個(gè)用戶發(fā)動(dòng)攻擊。

1相關(guān)研究工作以及背景知識(shí)

1.1Mainline DHT協(xié)議

BitTorrent 使用了分布式哈希表(distributed sloppy hash table)的技術(shù)，用以實(shí)現(xiàn)在無tracker的torrent文件中peer的聯(lián)系信息存儲(chǔ)。此時(shí)，每個(gè)peer都是一個(gè)tracker。該協(xié)議是基于Kademila協(xié)議的，并且全部都使用著UDP報(bào)文。

在DHT中，每個(gè)節(jié)點(diǎn)都有一個(gè)全局的唯一標(biāo)識(shí)節(jié)點(diǎn)id。節(jié)點(diǎn)id的產(chǎn)生是隨機(jī)的，且使用與BitTorrent的infohash相同的160-bit空間。“異或距離”用來比較兩個(gè)node_id或者node_id與infohash的接近程度。Nodes必須維護(hù)一個(gè)路由表，其中保存了部分其他Nodes的聯(lián)系信息。而當(dāng)與自身節(jié)點(diǎn)更為接近時(shí)，路由表的信息則會(huì)更加詳細(xì)。

Mainline DHT協(xié)議包括4種RPC操作：

(1)ping主要用于探測(cè)一個(gè)節(jié)點(diǎn)是否在線；

(2)announce_peer用于通知一個(gè)節(jié)點(diǎn)儲(chǔ)存對(duì)，方便日后查詢需要；

(3)find_node使用160位的目標(biāo)ID作為參數(shù)。接收者返回包含K個(gè)離目標(biāo)ID最近節(jié)點(diǎn)的形式的列表；

(4)get_peers使用160位的infohash作為參數(shù)。接收者如果有這個(gè)infohash對(duì)應(yīng)的peers下載列表，則直接返回相關(guān)的peers，否則返回本地路由表中距離infohash最近的K個(gè)節(jié)點(diǎn)。

當(dāng)一個(gè)node想得到某個(gè)torrent文件的peers，首先使用異或距離來比較torrent文件的infohash和路由表中節(jié)點(diǎn)的node ID。接下來向路由表中node ID與infohash最接近的那些節(jié)點(diǎn)發(fā)送請(qǐng)求，得到當(dāng)前正在下載此一torrent文件數(shù)據(jù)的peers的聯(lián)系信息。如果被請(qǐng)求的節(jié)點(diǎn)知道該torrent文件的peers，則peers的聯(lián)系信息將包含在回復(fù)中。否則，被請(qǐng)求的節(jié)點(diǎn)必須返回其路由表中更接近infohash的那些節(jié)點(diǎn)。當(dāng)獲取得到peers列表后，客戶端就可以使用BT協(xié)議與peers通信，并進(jìn)行文件的下載了。

1.2Mainline DHT安全性研究

分布式拒絕服務(wù)主要是利用木馬或病毒等攻擊方式，將多臺(tái)分散主機(jī)聯(lián)合起來，再對(duì)某個(gè)或某些目標(biāo)發(fā)動(dòng)攻擊，耗盡主機(jī)的資源。當(dāng)然，聯(lián)合的主機(jī)越多，拒絕服務(wù)攻擊的效果就越好。

近年來，有關(guān)利用P2P網(wǎng)絡(luò)脆弱性發(fā)動(dòng)DDos攻擊已開展了大量研究。文獻(xiàn)［1］ 探討了P2P網(wǎng)絡(luò)中Napster等協(xié)議的安全性，并對(duì)DDos攻擊的攻擊防御方法進(jìn)行了深入研究。文獻(xiàn)［2-3］ 借助BT協(xié)議中與Tracker服務(wù)器交互部分的脆弱性而發(fā)動(dòng)了DDos攻擊。但是由于近年來大部分Tracker服務(wù)器出于版權(quán)原因關(guān)掉，這種方式的危害性已經(jīng)不大。文獻(xiàn)［4-5］ 研究了基于Mainline DHT脆弱性發(fā)動(dòng)DDos攻擊的方法。首先，在網(wǎng)絡(luò)上選擇非常熱門的幾個(gè)種子，其次在本地發(fā)動(dòng)Sybil攻擊偽造大量node_id與熱門種子infohash接近的節(jié)點(diǎn)，這時(shí)就會(huì)有大量節(jié)點(diǎn)發(fā)送get_peers消息請(qǐng)求獲取peers 列表，因此只需要將攻擊的節(jié)點(diǎn)IP、端口寫入get_peers回復(fù)中的peers字段，就會(huì)有大量用戶對(duì)受害節(jié)點(diǎn)請(qǐng)求TCP連接，從而發(fā)動(dòng)DDos攻擊。雖然如此，但這樣的方式卻僅能針對(duì)某一個(gè)熱門種子。通過文獻(xiàn)［6］即可看到，一個(gè)熱門電影的peers大小不過幾萬個(gè)，這樣的數(shù)字也并不足以產(chǎn)生很大的危害?；谝陨涎芯浚M(jìn)一步地，本文設(shè)計(jì)的系統(tǒng)可以對(duì)多個(gè)種子的用戶列表同時(shí)進(jìn)行污染，由此顯著提高了攻擊效率。第3期張信幸，等：一種利用Mainline DHT脆弱性發(fā)動(dòng)DDos攻擊的方法智能計(jì)算機(jī)與應(yīng)用第4卷

2系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn)

2.1Mainline DHT脆弱性

Mainline DHT對(duì)節(jié)點(diǎn)node_id的選取并未做任何檢查，因此可將DHT節(jié)點(diǎn)的node_id設(shè)置為任意值；其次，可在本地服務(wù)器上產(chǎn)生多個(gè)node_id，并將其發(fā)布出去，這樣，外界就會(huì)將本系統(tǒng)視為多個(gè)DHT節(jié)點(diǎn)。一個(gè)DHT節(jié)點(diǎn)就是一個(gè)小型Tracker服務(wù)器，那么產(chǎn)生多個(gè)DHT節(jié)點(diǎn)，將這多個(gè)小型的Tracker服務(wù)器組合起來，就變成了一個(gè)大型的Tracker服務(wù)器。但對(duì)于node_id的選取，不能僅僅只是隨機(jī)產(chǎn)生，而是需要進(jìn)行精心設(shè)計(jì)，否則搜索效率將會(huì)非常地低。Mainline DHT也沒有對(duì)節(jié)點(diǎn)node_id和IP以及端口做任何校驗(yàn)，因此在DHT網(wǎng)絡(luò)發(fā)動(dòng)Sybil攻擊顯然就極為容易了。

2.2攻擊原理

在本文的系統(tǒng)中，完成DDos攻擊主要有兩個(gè)步驟。首先，要產(chǎn)生大量Sybil節(jié)點(diǎn)，如此可使DHT網(wǎng)絡(luò)中盡可能多的節(jié)點(diǎn)知曉其存在后而向其發(fā)送get_peers請(qǐng)求；接下來，就可在get_peers回復(fù)中加入將要攻擊的節(jié)點(diǎn)，這里的受害節(jié)點(diǎn)可使用一臺(tái)預(yù)先部署的服務(wù)器進(jìn)行測(cè)試；最后，大量的用戶就會(huì)向受害節(jié)點(diǎn)請(qǐng)求TCP連接，相應(yīng)地就在受害服務(wù)器端記錄各項(xiàng)信息用于評(píng)估攻擊性能。

2.3系統(tǒng)設(shè)計(jì)

文中的系統(tǒng)主要由圖1所示的多個(gè)模塊組成，下面對(duì)各個(gè)模塊進(jìn)行簡(jiǎn)要介紹：

(1)base-mysql。這是mysql數(shù)據(jù)庫操作的基類，其中實(shí)現(xiàn)了mysql數(shù)據(jù)庫與C函數(shù)的接口函數(shù)，也就是將打開、插入、刪除、查詢等操作都進(jìn)行了封裝。

(2)dht-mysql。base-mysql類的子類，在其基礎(chǔ)上實(shí)現(xiàn)了dht模塊與mysql的交互，而且將插入、刪除等操作的參數(shù)都設(shè)置為infohash。

(3)log。這個(gè)模塊用來管理配置文件和日志文件，其中配置文件的名字是dht.config。

(4)dht。這是程序最主要的模塊，主要提供了3個(gè)接口函數(shù)，分別是：dht_init()，dht_periodic()，dht_uninit()。其中，dht_init()用來初始化搜索模塊中的各數(shù)據(jù)結(jié)構(gòu)，根據(jù)配置文件產(chǎn)生多個(gè)node_id，并開始第一步擴(kuò)散；dht_periodic()是在epoll_wait()收到消息或者發(fā)生超時(shí)現(xiàn)象時(shí)調(diào)用的，可解析收到的消息類型，并按照前述的消息處理方式對(duì)消息進(jìn)行處理；dht_uninit()是對(duì)本模塊進(jìn)行一些釋放工作，在此過程中，首先會(huì)產(chǎn)生大量Sybil節(jié)點(diǎn)并向DHT網(wǎng)絡(luò)擴(kuò)散，這樣就能夠收到大量get_peers請(qǐng)求，為此再構(gòu)造get_peers回復(fù)，并在回復(fù)中包含全部的受害節(jié)點(diǎn)。

(5)dht-config。用來解析、讀取配置文件。

(6)dht-main。這是main函數(shù)所在的模塊，將其上所有模塊整合起來實(shí)現(xiàn)系統(tǒng)的整體功能。

圖1系統(tǒng)架構(gòu)

Fig.1System architecture

對(duì)于受害節(jié)點(diǎn)模塊，則僅僅開啟對(duì)應(yīng)的端口號(hào)，并記錄接收到的連接數(shù)以及占用的帶寬，當(dāng)客戶端發(fā)送報(bào)文時(shí)，就將關(guān)閉連接。

3實(shí)驗(yàn)結(jié)果與結(jié)論分析

3.1節(jié)點(diǎn)擴(kuò)散模塊

由2.1節(jié)可知，系統(tǒng)節(jié)點(diǎn)的擴(kuò)散效果對(duì)DDos的攻擊狀況將產(chǎn)生很大影響，而通過文中在不同網(wǎng)絡(luò)環(huán)境下的測(cè)試發(fā)現(xiàn)，對(duì)系統(tǒng)的擴(kuò)散效果最具影響的因素就是IP類型。圖2描述了在國(guó)內(nèi)三種不同網(wǎng)絡(luò)環(huán)境下，擴(kuò)散系統(tǒng)在前140分鐘收到get_peers請(qǐng)求的測(cè)試結(jié)果，其中電信網(wǎng)絡(luò)和網(wǎng)通網(wǎng)絡(luò)使用的都是內(nèi)網(wǎng)IP，而移動(dòng)網(wǎng)絡(luò)使用的則是外網(wǎng)IP。可以看到在移動(dòng)網(wǎng)絡(luò)環(huán)境下，擴(kuò)散效果非常好，140分鐘內(nèi)就收到了26萬個(gè)get_peers請(qǐng)求，而另外兩種環(huán)境請(qǐng)求數(shù)都在1萬以下。由此可知，外網(wǎng)IP對(duì)系統(tǒng)性能影響很大，這主要是由于針對(duì)通過DHT網(wǎng)絡(luò)學(xué)習(xí)到系統(tǒng)的那些節(jié)點(diǎn)，在外網(wǎng)IP環(huán)境下，能夠主動(dòng)與這些節(jié)點(diǎn)連接，而內(nèi)網(wǎng)IP則不行，NAT阻斷了很多連接請(qǐng)求。

圖2不同網(wǎng)絡(luò)下收到的get_peers請(qǐng)求數(shù)

Fig.2The number of get_peers requests in different network

3.2DDos攻擊的效能

文中在該部分進(jìn)行了4次實(shí)驗(yàn)，攻擊時(shí)間分別為10:00、16:00、22:00、04:00，每次攻擊持續(xù)1個(gè)小時(shí)，并且在已經(jīng)部署的模擬受害節(jié)點(diǎn)上，持續(xù)監(jiān)控6小時(shí)，受害節(jié)點(diǎn)總計(jì)監(jiān)聽24小時(shí)。其后，統(tǒng)計(jì)了各個(gè)時(shí)間點(diǎn)受害節(jié)點(diǎn)上收到的TCP連接數(shù)。

圖3描述了從10:00到16:00的DDos攻擊情況?？梢钥吹皆?0:00到11：00的攻擊持續(xù)時(shí)間中，收到的請(qǐng)求數(shù)從0快速增加到6萬以上，在11點(diǎn)系統(tǒng)的監(jiān)聽程序死掉了，即進(jìn)行了重啟。重啟后看到，盡管在12點(diǎn)已經(jīng)停止了攻擊，但是系統(tǒng)仍然收到很多的新攻擊，在13點(diǎn)30左右甚至超過了之前11點(diǎn)的峰值。

圖310:00-16:00收到的攻擊連接數(shù)

Fig.3The number of attack connections

received in 10:00-16:00

圖4描述了16:00到22:00的攻擊情況，這里為受害模擬程序增加了重啟腳本，同時(shí)為了防止機(jī)器死掉，即將程序最大連接數(shù)限制為112 000萬?？梢钥吹剑?7點(diǎn)停止攻擊后，連接數(shù)仍然繼續(xù)增加，直到19點(diǎn)左右增加到設(shè)定的最大限制值。

圖416:00-22:00收到的攻擊連接數(shù)

Fig.4The number of attack connections

received in 16:00-22:00

圖5描述了22:00到04:00的攻擊情況?？梢钥吹?，攻擊延續(xù)了之前的連接，一直保持之前設(shè)定的最大連接數(shù)，直到3點(diǎn)時(shí)程序得到了重啟。

圖522:00-04:00收到的攻擊連接數(shù)

Fig.5The number of attack connections

received in 22:00-04:00

圖6描述了04:00到10:00的攻擊情況。可以看到，這個(gè)時(shí)間段的增加速度明顯沒有之前快。對(duì)比圖6與圖4可以得到，圖6中在攻擊后五小時(shí)才達(dá)到所設(shè)定的最大連接數(shù)，而圖4僅經(jīng)過兩小時(shí)就已達(dá)到了這一數(shù)目。

由圖3~圖6可以看出，利用Mainline DHT脆弱性發(fā)動(dòng)的DDos攻擊具有很強(qiáng)的可持續(xù)性，在攻擊結(jié)束后的6小時(shí)，新的連接仍然在不斷建立；其次，與文獻(xiàn)［5］及文獻(xiàn)［7］ 相比，文獻(xiàn)中的DDos攻擊數(shù)都在25左右，而文中的DDos攻擊規(guī)模則在10萬以上，其攻擊威力明顯要強(qiáng)大了許多；最后，通過圖4和圖6的對(duì)比還可以看到16:00時(shí)的攻擊性能比04:00要提高了2倍，這說明白天的攻擊性能比晚上的要好一些。圖604:00-10:00收到的攻擊連接數(shù)

Fig.6The number of attack connections

received in 04:00-10:00

4結(jié)束語

本文給出了一種利用Mainline DHT脆弱性發(fā)動(dòng)DDos攻擊的方法。由實(shí)驗(yàn)結(jié)果可以看出，這種方法可以對(duì)因特網(wǎng)上的任意目標(biāo)發(fā)動(dòng)DDos攻擊，并造成很大的危害。通過文中的實(shí)驗(yàn)可以得到以下結(jié)論：第一，利用Mainline DHT脆弱性發(fā)動(dòng)DDos攻擊可以造成很大的危害性，對(duì)比文獻(xiàn)［5］和文獻(xiàn)［7］ 中受害機(jī)上產(chǎn)生的25個(gè)左右的DDos TCP連接數(shù)，本文中的10萬以上的TCP連接數(shù)，顯然其危害要更大；第二，白天的攻擊效能要比晚上提高2倍左右；最后，這種攻擊方式的持續(xù)性非常強(qiáng)，在停止攻擊后的5小時(shí)仍然能接收到大量TCP連接。因此，Mainline DHT的脆弱性會(huì)對(duì)因特網(wǎng)造成很大危害，應(yīng)當(dāng)對(duì)其Mainline DHT協(xié)議進(jìn)行安全性增強(qiáng)改進(jìn)。

參考文獻(xiàn)：

［1］劉曉娟.基于P2P網(wǎng)絡(luò)的DDoS攻擊防御研究［D］. 北京：北京郵電大學(xué)，2009.

［2］JEROME H， COREY K， ZOU C C. A BitTorrent-driven distributed denial of service attack［C］// Security and privacy in communication networks and workshops International conference，2007:261-268.

［3］DEFRAWY K， GJOKA M， MARKOPOULOU A. BitTorrent: misusing BitTorrent to launch DDoS attacks［C］// SRUTI 2007: Proceedings of the 3rd USENIX Workshop on Steps to Reducing Unwanted Traffic on the Internet，2007:1–6.

［4］史建燾，張宏莉.一種DHT安全性優(yōu)化策略［J］.智能計(jì)算機(jī)與應(yīng)用，2012，2(6):11-13.

［5］余杰.P2P網(wǎng)絡(luò)測(cè)量與安全關(guān)鍵技術(shù)研究［D］.長(zhǎng)沙：國(guó)防科學(xué)技術(shù)大學(xué)，2010.

［6］WOLCHOK S， HALDERMAN J A. Crawling BitTorrent DHTs for fun and profit［C］// Proceedings of the 4th USENIX Conference on Offensive Technologies.， August 2010:1-8.

［7］SU Majing， ZHANG Hongli， FANG Bingxing， et al. DDoS vulnerability of BitTorrent peer exchange extension: analysis and defense［C］//IEEE Communication and Information Systems Security Symposium， 2012:1048-1052.