DDoS的原理及危害
DDoS:拒绝服务攻击的目标大多采用包括以SYNFlood和PingFlood为主的技术，其主要方式是通过使关键系统资源过载，如目标网站的通信端口与记忆缓冲区溢出，导致网络或服务器的资源被大量占用，甚至造成网络或服务器的全面瘫痪，而达到阻止合法信息上链接服务要求的接收。形象的解释是，DDoS攻击就好比电话点歌的时候，从各个角落在同一时间有大量的电话挂入点播台，而点播台的服务能力有限，这时出现的现象就是打电话的人只能听到电话忙音，意味着点播台无法为听众提供服务。这种类型的袭击日趋增多，因为实施这种攻击的方法与程序源代码现已在黑客网站上公开。另外，这种袭击方法非常难以追查，因为他们运用了诸如IP地址欺骗法之类所谓网上的“隐身技术”，而且现在互联网服务供应商（ISP）的过剩，也使作恶者很容易得到IP地址。拒绝服务攻击的一个最具代表性的攻击方式是分布式拒绝服务攻击（DistributedDenialofService，DDoS），它是一种令众多的互联网服务提供商和各国政府非常头疼的黑客攻击方法，最早出现于1999年夏天，当时还只是在黑客站点上进行的一种理论上的探讨。从2000年2月开始，这种攻击方法开始大行其道，在2月7日到11日的短短几天内，黑客连续攻击了包括Yahoo，Buy.com，eBay，Amazon，CNN等许多知名网站，致使有的站点停止服务达几个小时甚至几十个小时之久。国内的新浪等站点也遭到同样的攻击，这次的攻击浪潮在媒体上造成了巨大的影响，以至于美国总统都不得不亲自过问。
分布式拒绝服务攻击采用了一种比较特别的体系结构，从许多分布的主机同时攻击一个目标。从而导致目标瘫痪。目前所使用的入侵监测和过滤方法对这种类型的入侵都不起作用。所以，对这种攻击还不能做到完全防止。
DDoS通常采用一种跳台式三层结构。如图10—7所示：图10—7最下层是攻击的执行者。这一层由许多网络主机构成，其中包括Unix，Linux，Mac等各种各样的操作系统。攻击者通过各种办法获得主机的登录权限，并在上面安装攻击器程序。这些攻击器程序中一般内置了上面一层的某一个或某几个攻击服务器的地址，其攻击行为受到攻击服务器的直接控制。
攻击服务器。攻击服务器的主要任务是将控制台的命令发布到攻击执行器上。
这些服务器与攻击执行器一样，安装在一些被侵入的无关主机上。
攻击主控台。攻击主控台可以是网络上的任何一台主机，甚至可以是一个活动的便携机。它的作用就是向第二层的攻击服务器发布攻击命令。
有许多无关主机可以支配是整个攻击的前提。当然，这些主机与目标主机之间的联系越紧密，网络带宽越宽，攻击效果越好。通常来说，至少要有数百台甚至上千台主机才能达到满意的效果。例如，据估计，攻击Yahoo！站点的主机数目达到了3000台以上，而网络攻击数据流量达到了1GB秒。通常来说，攻击者是通过常规方法，例如系统服务的漏洞或者管理员的配置错误等方法来进入这些主机的。一些安全措施较差的小型站点以及单位中的服务器往往是攻击者的首选目标。这些主机上的系统或服务程序往往得不到及时更新，从而将系统暴露在攻击者面前。在成功侵入后，攻击者照例要安装一些特殊的后门程序，以便自己以后可以轻易进入系统，随着越来越多的主机被侵入，攻击者也就有了更大的舞台。他们可以通过网络监听等方法进一步扩充被侵入的主机群。
黑客所作的第二步是在所侵入的主机上安装攻击软件。这里，攻击软件包括攻击服务器和攻击执行器。其中攻击服务器仅占总数的很小一部分，一般只有几台到几十台左右。设置攻击服务器的目的是隔离网络联系，保护攻击者，使其不会在攻击进行时受到监控系统的跟踪，同时也能够更好的协调进攻。因为攻击执行器的数目太多，同时由一个系统来发布命令会造成控制系统的网络阻塞，影响攻击的突然性和协同性。而且，流量的突然增大也容易暴露攻击者的位置和意图。剩下的主机都被用来充当攻击执行器。执行器都是一些相对简单的程序，它们可以连续向目标发出大量的链接请求而不作任何回答。现在已知的能够执行这种任务的程序主要包括trin00，TFN（TribeFloodNetwork）、randomizer以及它们的一些改进版本，如TFN2k等。
黑客所作的最后一步，就是从攻击控制台向各个攻击服务器发出对特定目标的攻击命令。由于攻击主控台的位置非常灵活，而且发布命令的时间很短，所以非常隐蔽，难以定位。一旦攻击的命令传送到服务器，主控台就可以关闭或脱离网络，以逃避追踪。接着，攻击服务器将命令发布到各个攻击器。在攻击器接到攻击命令后，就开始向目标主机发出大量的服务请求数据包，这些数据包经过伪装，无法识别它的来源。而且，这些数据包所请求的服务往往要消耗较大的系统资源，如CPU或网络带宽。如果数百台甚至上千台攻击器同时攻击一个目标，就会导致目标主机网络和系统资源的耗尽，从而停止服务。有时，甚至会导致系统崩溃。另外，这样还可以阻塞目标网络的防火墙和路由器等网络设备，进一步加重网络拥塞状况。这样，目标主机根本无法为用户提供任何服务。攻击者所用的协议都是一些非常常见的协议和服务。这样，系统管理员就难于区分恶意请求和正常链接请求，从而无法有效分离出攻击数据包。
除了上述类型的攻击以外，其他种类的拒绝服务袭击有，从电脑中删除启动文件，使之无法启动，或删除某个网络服务器的网页等。为什么有人要发起这种类型的袭击呢？因为他们所闯入的服务器并没有什么秘密数据。其实，这种袭击也是出于各种原因，有政治的，不正当商业竞争为原因的、也有的是作为一种大规模袭击的一个组成部分。比如，巴勒斯坦的黑客为了抗议以色列的犹太人政权而发起的对以色列政府网站的攻击；某恶意电子商务网站为争夺客户而发起的针对竞争对手的拒绝服务攻击。拒绝服务袭击也可以用来关闭某位黑客想要欺诈的服务器。比如，黑客可能会为了获得客户PIN码或信用卡号码而对一家银行的服务器进行攻击等，这类袭击是“比其他类型的袭击要突出得多的、最普遍的安全隐患”。当然，这种袭击的主要损失是系统不能正常运行而耽误的时间，而且系统很容易就可以通过重新启动的方式而恢复运行。然而，任何注重品牌声誉的企业都明白，在互联网世界中，品牌声誉可能会因一次安全性攻击而毁于一旦，因此，黑客攻击行为（尤其是拒绝服务攻击）已成为当今企业所面临的最大威胁中的一部分。
一个企业的网上服务即使没有遭到拒绝服务的攻击，它还会面临另外一种风险，即成为攻击者的跳台的危险。在实际发生的大规模拒绝服务攻击的案例当中，往往是那些网络安全管理不严格的企业或组织的系统，被黑客侵入，在系统内被植入攻击时使用的黑客程序。而攻击犯罪发生以后，由于黑客的消踪灭迹的手段很高明，所以最后被侦破机关追索到的攻击源往往是那些成为攻击跳台的网络。虽然，企业本身没有遭到损失，但是由于成为攻击跳台，而带来的合作伙伴的疑虑和商业信用的损失却是无法估计的。
DDOS攻击包括哪些
1、TCP洪水攻击（SYN Flood）
TCP洪水攻击是当前最流行的DoS（拒绝服务攻击）与DDoS（分布式拒绝服务攻击）的方式之一，这是一种利用TCP协议缺陷；
发送大量伪造的TCP连接请求，常用假冒的IP或IP号段发来海量的请求连接的第一个握手包（SYN包），被攻击服务器回应第二个握手包（SYN+ACK包），因为对方是假冒IP，对方永远收不到包且不会回应第三个握手包。
导致被攻击服务器保持大量SYN_RECV状态的“半连接”，并且会重试默认5次回应第二个握手包，塞满TCP等待连接队列，资源耗尽（CPU满负荷或内存不足），让正常的业务请求连接不进来。
2、反射性攻击（DrDoS）
反射型的 DDoS 攻击是一种新的变种，与DoS、DDoS不同，该方式靠的是发送大量带有被害者IP地址的数据包给攻击主机，然后攻击主机对IP地址源做出大量回应，形成拒绝服务攻击。
黑客往往会选择那些响应包远大于请求包的服务来利用，这样才可以以较小的流量换取更大的流量，获得几倍甚至几十倍的放大效果，从而四两拨千斤。一般来说，可以被利用来做放大反射攻击的服务包括DNS服务、NTP服务、SSDP服务、Chargen服务、Memcached等。
3、CC攻击（HTTP Flood）
HTTP Flood又称CC攻击，是针对Web服务在第七层协议发起的攻击。通过向Web服务器发送大量HTTP请求来模仿网站访问者以耗尽其资源。虽然其中一些攻击具有可用于识别和阻止它们的模式，但是无法轻易识别的HTTP洪水。它的巨大危害性主要表现在三个方面：发起方便、过滤困难、影响深远。
4、直接僵尸网络攻击
僵尸网络就是我们俗称的“肉鸡”，现在“肉鸡”不再局限于传统PC，越来越多的智能物联网设备进入市场，且安全性远低于PC，这让攻击者更容易获得大量“肉鸡”；
也更容易直接发起僵尸网络攻击。根据僵尸网络的不同类型，攻击者可以使用它来执行各种不同的攻击，不仅仅是网站，还包括游戏服务器和任何其他服务。
5、DOS攻击利用一些服务器程序的bug、安全漏洞、和架构性缺陷攻击
然后通过构造畸形请求发送给服务器，服务器因不能判断处理恶意请求而瘫痪，造成拒绝服务。以上就是墨者安全认为现阶段出现过的DDOS攻击种类，当然也有可能不是那么全面，DDOS攻击的种类复杂而且也不断的在衍变，目前的防御也是随着攻击方式再增强。
ddos攻击的常见类型有哪些？
网络层攻击：比较典型的攻击类型是UDP反射攻击，例如：NTP Flood攻击，这类攻击主要利用大流量拥塞被攻击者的网络带宽，导致被攻击者的业务无法正常响应客户访问。
传输层攻击：比较典型的攻击类型包括SYN Flood攻击、连接数攻击等，这类攻击通过占用服务器的连接池资源从而达到拒绝服务的目的。
会话层攻击：比较典型的攻击类型是SSL连接攻击，这类攻击占用服务器的SSL会话资源从而达到拒绝服务的目的。
应用层攻击：比较典型的攻击类型包括DNS flood攻击、HTTP flood攻击、游戏假人攻击等，这类攻击占用服务器的应用处理资源极大的消耗服务器处理性能从而达到拒绝服务的目的。
什么是DDoS攻击？
从网络攻击的各种方法和所产生的破坏情况来看，DoS算是一种很简单但又很有效的进攻方式。它的目的就是拒绝你的服务访问，破坏组织的正常运行，最终它会使你的部分Internet连接和网络系统失效。DoS的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务。 我们可以看出DoS攻击的基本过程：首先攻击者向服务器发送众多的带有虚假地址的请求，服务器发送回复信息后等待回传信息，由于地址是伪造的，所以服务器一直等不到回传的消息，分配给这次请求的资源就始终没有被释放。当服务器等待一定的时间后，连接会因超时而被切断，攻击者会再度传送新的一批请求，在这种反复发送伪地址请求的情况下，服务器资源最终会被耗尽。 DDoS（分布式拒绝服务），它的英文全称为Distributed Denial of Service，它是一种基于DoS的特殊形式的拒绝服务攻击，是一种分布、协作的大规模攻击方式，主要瞄准比较大的站点，象商业公司，搜索引擎和政府部门的站点。我们可以看出DoS攻击只要一台单机和一个modem就可实现，与之不同的是DDoS攻击是利用一批受控制的机器向一台机器发起攻击，这样来势迅猛的攻击令人难以防备，因此具有较大的破坏性。 DDoS攻击分为3层：攻击者、主控端、代理端，三者在攻击中扮演着不同的角色。 1、攻击者：攻击者所用的计算机是攻击主控台，可以是网络上的任何一台主机，甚至可以是一个活动的便携机。攻击者操纵整个攻击过程，它向主控端发送攻击命令。 2、主控端：主控端是攻击者非法侵入并控制的一些主机，这些主机还分别控制大量的代理主机。主控端主机的上面安装了特定的程序，因此它们可以接受攻击者发来的特殊指令，并且可以把这些命令发送到代理主机上。 3、代理端：代理端同样也是攻击者侵入并控制的一批主机，它们上面运行攻击器程序，接受和运行主控端发来的命令。代理端主机是攻击的执行者，真正向受害者主机发送攻击。 攻击者发起DDoS攻击的第一步，就是寻找在Internet上有漏洞的主机，进入系统后在其上面安装后门程序，攻击者入侵的主机越多，他的攻击队伍就越壮大。第二步在入侵主机上安装攻击程序，其中一部分主机充当攻击的主控端，一部分主机充当攻击的代理端。最后各部分主机各司其职，在攻击者的调遣下对攻击对象发起攻击。由于攻击者在幕后操纵，所以在攻击时不会受到监控系统的跟踪，身份不容易被发现。
0条大神的评论