對DDoS攻擊實(shí)例之SYN Flood攻擊的詳細(xì)內(nèi)容講述

作者：佚名 2010-09-30 10:01:38

以下的文章主要描述的是DDoS攻擊實(shí)例 SYN Flood攻擊，下面就是文章的主要內(nèi)容的詳細(xì)內(nèi)容的具體分析，望大家會對其有更好的收獲。

此文章主要介紹的是DDoS攻擊實(shí)例 SYN Flood攻擊，我們大家都知道SYN-Flood是目前使用最廣泛的DDoS攻擊手段，早先的DoS的手段在向分布式這一階段發(fā)展的時候也經(jīng)歷了千軍萬馬過獨(dú)木橋的過程。

SYN-Flood的攻擊效果最好，應(yīng)該是眾黑客不約而同選擇它的原因吧。那么我們一起來看看SYN-Flood的詳細(xì)情況。

SYN-Flood是目前最流行的DDoS攻擊手段，早先的DoS的手段在向分布式這一階段發(fā)展的時候也經(jīng)歷了浪里淘沙的過程。SYN-Flood的攻擊效果最好，應(yīng)該是眾黑客不約而同選擇它的原因吧。那么我們一起來看看SYN-Flood的詳細(xì)情況。

Syn Flood原理 - 三次握手

Syn Flood利用了TCP/IP協(xié)議的固有漏洞。面向連接的TCP三次握手是Syn Flood存在的基礎(chǔ)。

TCP連接的三次握手

如圖二，在第一步中，客戶端向服務(wù)端提出連接請求。這時TCP SYN標(biāo)志置位。客戶端告訴服務(wù)端序列號區(qū)域合法，需要檢查。客戶端在TCP報(bào)頭的序列號區(qū)中插入自己的ISN。服務(wù)端收到該TCP分段后，在第二步以自己的ISN回應(yīng)(SYN標(biāo)志置位)，同時確認(rèn)收到客戶端的第一個TCP分段(ACK標(biāo)志置位)。在第三步中，客戶端確認(rèn)收到服務(wù)端的ISN(ACK標(biāo)志置位)。到此為止建立完整的TCP連接，開始全雙工模式的數(shù)據(jù)傳輸過程。

Syn Flood攻擊者不會完成三次握手

假設(shè)一個用戶向服務(wù)器發(fā)送了SYN報(bào)文后突然死機(jī)或掉線，那么服務(wù)器在發(fā)出SYN+ACK應(yīng)答報(bào)文后是無法收到客戶端的ACK報(bào)文的(第三次握手無法完成)，這種情況下服務(wù)器端一般會重試(再次發(fā)送SYN+ACK給客戶端)并等待一段時間后丟棄這個未完成的連接，這段時間的長度我們稱為SYN Timeout，一般來說這個時間是分鐘的數(shù)量級(大約為30秒-2分鐘);

一個用戶出現(xiàn)異常導(dǎo)致服務(wù)器的一個線程等待1分鐘并不是什么很大的問題，但如果有一個惡意的攻擊者大量模擬這種情況，服務(wù)器端將為了維護(hù)一個非常大的半連接列表而消耗非常多的資源----數(shù)以萬計(jì)的半連接，即使是簡單的保存并遍歷也會消耗非常多的CPU時間和內(nèi)存，何況還要不斷對這個列表中的IP進(jìn)行SYN+ACK的重試。

實(shí)際上如果服務(wù)器的TCP/IP棧不夠強(qiáng)大，最后的結(jié)果往往是堆棧溢出崩潰---即使服務(wù)器端的系統(tǒng)足夠強(qiáng)大，服務(wù)器端也將忙于處理攻擊者偽造的TCP連接請求而無暇理睬客戶的正常請求(畢竟客戶端的正常請求比率非常之小)，此時從正常客戶的角度看來，服務(wù)器失去響應(yīng)，這種情況我們稱做：服務(wù)器端受到了SYN Flood攻擊(SYN洪水攻擊)。

下面是我在實(shí)驗(yàn)室中模擬的一次Syn Flood攻擊的實(shí)際過程

這一個局域網(wǎng)環(huán)境，只有一臺攻擊機(jī)(PIII667/128/mandrake)，被攻擊的是一臺Solaris 8.0 (spark)的主機(jī)，網(wǎng)絡(luò)設(shè)備是Cisco的百兆交換機(jī)。這是在攻擊并未進(jìn)行之前，在Solaris上進(jìn)行snoop的記錄，snoop與tcpdump等網(wǎng)絡(luò)監(jiān)聽工具一樣，也是一個很好的網(wǎng)絡(luò)抓包與分析的工具。可以看到攻擊之前，目標(biāo)主機(jī)上接到的基本上都是一些普通的網(wǎng)絡(luò)包。 …

…