（计算机应用技术专业论文）web方式dos渗透测试平台的设计与实现.pdf

太原理工大学硕士研究生学位论文 w e b 方式d o s 渗透测试平台的设计与实现 摘要 渗透测试是检测网络漏洞和网络性能的重要手段，它能使网络管理人 员直观地体会到网络漏洞的危害程度和网络的脆弱性，使其增强安全意识， 并且能够以检测结果为依据有效提高网络的安全程度。因此，渗透测试技 术的研究及工具实现具有重要的意义。 拒绝服务攻击是网络安全的重大挑战，也是渗透测试中的重要技术。 目前主要的d o s 测试工具大多数都是软件版本，这类工具的特点是测试速 度快，但是有很强的平台依赖性。在l i n u x 系统上开发的测试工具只能在 l i n u x 系统上运行，同样的，对于w i n d o w s 系统来说也是一样。而且各种 不同的测试工具之间不具有兼容性，用户掌握一种测试工具后，不一定能 够熟练地使用另外一种。软件版本的测试工具也不易于安装配置，比如在 l i n u x 系统下开发的软件很难在w i n d o w s 系统下使用。用户要做测试时， 必须要有与测试工具相应的操作系统，而且能够对其进行熟练的操作。 基于以上特点，提出了基于w e b 方式的d o s 渗透测试平台的概念。基 于w e b 方式的测试平台具有很多软件版本平台所不具有的优点。w e b 方式 的测试平台不具有操作系统依赖性，用户不需要安装测试平台，只要使用 浏览器就能够使用。相对于软件版本的测试工具，特别是某些需要在特殊 系统比如l i n u x 系统上安装的测试工具而言，克服了必须首先对软件进行安 装的缺陷。但是由于必须额外装载w e b 页面，w e b 方式测试工具最大的缺 陷是运行的速度较慢。 太原理工大学硕士研究生学位论文 本文深入介绍了常见的拒绝服务攻击的原理，包括s y nf l o o d i n g 、 s m u r f , i c m pf l o o d 、u d pf l o o d 等攻击方式。在研究渗透测试平台理论的 基础上，实现了一个在l i n u x 服务器上基于w e b 方式的拒绝服务渗透测试 平台。此平台架构用j s p 语言编写，给用户提供了一个w e b 方式的界面。 用户可以通过这个平台对自己想测试的主机进行模拟攻击测试。使用j a v a 实现了端口扫描功能，可以在模拟测试前进行端口扫描，增加测试效率。 后台拒绝服务渗透数据报的构造和发送用c 语言原始套接字实现。为了防 止测试平台被滥用，需要纪录用户使用平台的情况。使用了m y s q l 数据库 保存每个用户每次使用平台的信息，比如测试和被测试主机地址等。 总之，本论文在研究现有渗透测试平台特点和拒绝服务攻击原理的基 础上，提出了一种新的渗透测试攻击平台架构，并实验分析了该架构和原 有测试平台在性能和易用性等方面的优缺点。 关键词：拒绝服务，渗透测试，w e b ，l i n u x ，端口扫描 太原理工大学硕士研究生学位论文 d e s i g na n di m p l e m e n t a t i o no f d o sp e n e t r a t i n gt e s tp l a t f o r mb a s e do nw e b a b s t r a c t p e n e t r a t i n gt e s t h a sb e e na n i n d i s p e n s a b l em e t h o do ft e s t i n gn e t w o r k v u l n e r a b i l i t ya n di t sp e r f o r m a n c e i tc a l ls h o wv i v i d l yt h ew e a k n e s so ft h e n e t w o r kt ot h ea d m i n i s t r a t o r sa n di m p r o v et h es e c u r i t yc o n s c i o u s n e s so ft h e a d m i n i s t r a t o r s a n db a s e do nt h et e s tr e s u l t ，n e t w o r ks e c u r i t yc a p a b i l i t yi sa l s o s t r e n g t h e n e d t h u s ，t h er e s e a r c ha n di m p l e m e n t a t i o no fp e n e t r a t i n gt e s ti s m e a n i n g f u l d e n yo fs e r v i c e ( d o s ) i sn o to n l yas i g n i f i c a n tc h a l l e n g et on e t w o r ks e c u r i t y b u ta l s oa l l i m p o r t a n tt e c h n i q u ei np e n e t r a t i n gt e s t c u r r e n t l yp o p u l a rd o s s t e s t i n gt o o l sa r ei m p l e m e n t e di nt h ef o r mo fs o f t w a r e ，t h e i rm a i nf e a t u r ei s h i g h s p e e d b u tt h e i rp l a t f o r m - i n d e p e n d e n c y , c o m p a t i b i l i t ya n dt h ec o n v e n i e n c e o fi n s t a l l a t i o na r en o tv e r yw e l l t h es o f t w a r ed e v e l o p e di nl i n u xc a no n l yr u n i nl i n u xo p e r a t i n gs y s t e m ，t h es a m ei st r u et ot h et o o l sw h i c ha r ed e v e l o p e di n w i n d o w so p e r a t i n g s y s t e m m o r e o v e r , d i f f e r e n tk i n d so fs o f t w a r e a r e i n c o m p a t i b l e e v e nau s e ri sf a m i l i a rw i t ht e s ts o f t w a r e ；h ec a nn o ta l w a y su s e a n o t h e ro n ea d r o i t l y t h et e s tt o o l sa r en o te a s yt oi n s t a l l f o re x a m p l e ，t h e s o f t w a r ed e v e l o p e di nl i n u xo p e r a t i n gs y s t e mi sh a r dt ob eu s e di nw i n d o w s i i i 奎堕墨! ；叁堂堡婴塞尘堂堡堡奎 o p e r a t i n gs y s t e m o n l yc a nt h o s eu s e r s ，w h oa r eu s e dt ou s i n gl i n u xo p e r a t i n g s y s t e m ，u s et h e s et e s t i n gt o o l s c o n s i d e r i n gt h ea b o v ep r o b l e m s ，t h i st h e s i sp r e s e n t st h en o t i o n o fd o s p e n e t r a t i n gt e s tp l a t f o r mb a s e do nw e b t h e r ea r es e v e r a ld i s t i n c te x c e l l e n c e si n t h i s p l a t f o r mc o m p a r e d w i t ho t h e rs o f t w a r et e s t t o o l s ，s u c h a si t s s y s t e m i n d e p e n d e n c ea n dn o i n s t a l l a t i o n u s e rc a nu s et h ep l a t f o r ma sl o n ga s h ec a nu s et h eb r o w s e r u s e r sa r en o tr e q u i r e dt oi n s t a l lt h es o t t w a r ei nt h e i r c o m p u t e r i ti sv e r yc o n v e n i e n tt oc o m m o nu s e r s ，b e c a u s ei ti sh a r dt ot h e m w h e nt h es o f t w a r em u s tb ei n s t a l l e di nl i n u xo p e r a t i o ns y s t e m h o w e v e r , t h e k e yp r o b l e mi si t sl o w - s p e e dt ot h ep l a t f o r mb e c a u s eo ft h el o a d i n go ft h ew e b i n t e r f a c e i nt h i st h e s i s ，if i r s ti n t r o d u c e ds e v e r a lk i n d so fd o sa t t a c k s ，s u c ha ss y n f l o o d i n g ，s m u r f ，i c m pf l o o d ，u d pf l o o d ，e t c b a s e do i lt h i st h e o r y , w e i m p l e m e n taw e bp l a t f o r mo fd o si nl i n u xo p e r a t i o ns y s t e m t h i sp l a t f o r m ， p r o g r a m m e dw i t hj s p , c a np r o v i d eaw e bi n t e r f a c ef o ru s e r s t h e yc a nt e s tt h e d e s t i n a t i o nh o s tu s i n gt h i sp l a t f o r m i tc a ns c a nt h ep o r t so ft h ed e s t i n a t i o nh o s t ； t h i sf u n c t i o ni si m p l e m e n t e db yu s i n gj a v al a n g u a g e t h ec o n s t r u c t i n ga n d s e n d i n go fd o sd a t a g r a ma r er e a l i z e db yr a ws o c k e to fcl a n g u a g e t oa v o i d t h em i s u s eo ft h i sp l a t f o r m ，i ，u s i n gm y s q ld a t a b a s e ，r e c o r de a c hu s e r sb a s i c i n f o r m a t i o n ，s u c ha st h ea d d r e s so f t h es o u r c eh o s ta n dd e s t i n a t i o nh o s t i naw o r d ，m yt h e s i s ，o nt h eb a s i so fs t u d y i n gt h ef e a t u r e so fc u r r e n t p e n e t r a t i n gt e s tp l a t f o r m sa n dt h ep r i n c i p l e so fd o s ，p r e s e n t san e wc o n c e p to f i v 太原理工大学硕士研究生学位论文 p e n e t r a t i n gt e s t i n gp l a t f o r m ，a n da n a l y s e st h ea d v a n t a g e sa n dd i s a d v a n t a g e so f i t sp e r f o r m a n c e k e y w o r d s ：d o s ，p e n e t r a t i n gt e s t ，w e b ，l i n u x ，p o r ts c a n v 声明 本人郑重声明：所呈交的学位论文。是本人在指导教师的指导下， 独立进行研究所取得的成果。除文中已经注明引用的内容外。本论文 不包含其他个人或集体已经发表或撰写过的科研成果。对本文的研究 做出重要贡献的个人和集体。均已在文中以明确方式标明。本声明的 法律责任由本人承担。 论文作者签名：臼墨毒： 关于学位论文使用权的说明 本人完全了解太原理工大学有关保管、使用学位论文的规定其 中包括：学校有权保管、并向有关部门送交学位论文的原件与复印 件；学校可以采用影印、缩印或其它复制手段复制并保存学位论文； 学校可允许学位论文被查阅或借阅；学校可以学术交流为目的。 复制赠送和交换学位论文；学校可以公布学位论文的全部或部分内 容( 保密学位论文在解密后遵守此规定) o 签名：豳墨查日期：! ! ：! 太原理工大学硕士研究生学位论文 1 1 课题研究背景以及意义 第一章绪论 计算机是2 0 世纪最伟大的发明之一，而计算机网络是计算机发展史上的一个里程 碑。现在几乎不能想象有离开网络的计算机。计算机网络已经和交通、电力等一样，成 为一个国家重要的基础设施【l 】。以i n t e m e t 为代表的全球性信息网络迅速发展，极大地 提高了生产力，不仅改变了人们的生产方式、生活方式、学习方式，甚至改变了人们的 思维方式1 2 】。但与此同时，人们也认识到i n t e m e t 是一把双刃剑。黑客活动的日益猖獗， 信息安全问题越来越多地被各级政府和网络管理部门提到议事日程上来。黑客攻击网络 的手段十分丰富，如目前最常见的就有d o s ( d e n i a lo fs e r v i c e 拒绝服务攻击) 、 d d o s ( d i s t d b u t e dd e n i a lo fs e r v i c e 分布式拒绝服务攻击) 、网络炸弹、特洛伊木马、攻 击病毒、电子欺骗、缓冲区溢出和s q l 注入等p l ，令人防不胜防。分析和研究黑客活动 的手段和采用的技术，对加强网络安全建设、防止网络犯罪有很好的借鉴作用1 4 】。尽管 近年来网络安全的研究得到了越来越多的关注，网络安全问题并没有因此减少【5 】。在这 种形势下，针对网络攻击及相关防范对策的研究自然就成为了国内外学术界关注的热点 【6 1 。 把网络攻击技术用于对网站和网络的安全测试是一项新的技术。这种技术可以在网 络受到真j 下的攻击以前提供安全报告，以便管理员能够及时对网络的安全进行加强和升 级。渗透测试平台就是这样的一种工具。 渗透测试平台用到的技术主要是网络攻击技术。 1 2 渗透测试简介 很多人认为渗透测试的目的是侵入到某个企业网络的内部，这是一种错误的认识们。 虽然渗透测试相关人员也是尽他们最大的力量去入侵网络，但测试的最终目的是要验证 被测网络安全策略等方面的有效性，并根据测试结果来调整安全策略等内容。网络安全 领域内有很多技术，之所以要使用渗透测试技术，最重要的原因是渗透测试可以最直观 的展现攻击者获得的是什么样的信息，这些信息的泄漏会造成何种程度的损害【引。渗透 太原理工大学硕士研究生学位论文 测试通过模拟攻击者采用的手段和技术来检测目标网络的漏洞，直观展示了主机的安全 性和容易受到攻击的程度，并且生动说明此种威胁可能造成的后果。正因为如此，渗透 测试有时候也被称为“合法攻击( e t h i c a lh a c k i n g ) ( 9 1 ”。渗透测试从网络环境上看，可 以针对大多数的流行环境，包括企业内部网、外部网、拨号网络等；渗透测试从技术上 看，包含大多数的攻击技术，如拒绝服务攻击1 0 1 、缓冲区溢出攻击1 1 。2 1 、漏洞扫描【1 3 】、 脚本攻击f 1 4 】、暴力破解等。目前大多数网络或信息安全公司都有专业的渗透测试服务【j 5 j ， 而且市场需求也在不断增长【。 完整的渗透测试包括四个步骤：发现、列举、漏洞映射、测试【1 7 j ，下面分别给予介 绍 1 发现 无论被测试的是什么环境，在合理的时间段内获得尽可能多的有关目标组织的信 息，无论对入侵者还是渗透测试人员都是至关重要的一步。i n t e m e t 是各种信息的最好 来源，比如测试人员彻底的搜索各w h o i s 数据库和新闻组，将可能得到很多该主机的 i n t e m e t 连接信息；如果是基于网络的攻击，还可以使用p i n g 或i c m p n u m 之类的网络探 测工具进行大范围的扫描来决定潜在的目标。也可以使用端口扫描工具，来识别所有开 放的端口等信息。 2 列举 列举也是一种发现，但是列举和发现的关键区别在于深入的程度更大。列举的主要 目的足要获耿用户名、网络共享信息和服务器程序版本等信息。这些信息可以通过连接 不同平台、匿名登录获取标志信息等来得到，例如t e l n e t 、w i n d o w s 的空会话连接等。 3 漏洞映射 漏洞映射使用目标的关键信息映射众所周知的安全漏洞，简单的说就是对比已知漏 洞和获得的列举信息，以便确定目标主机有什么样的漏洞。常用的方法是将特定系统的 属性和丌放的安全漏洞信息资源作比较。这些资源一般从供应商的安全警告，计算机紧 急响应组( c o m p u t e re m e r g e n c yr e a d i n e s st e a m ，c e r t ) 和c v e ( c o m m o n v u l n e r a b i l i t i e s e x p o s u r e s ，公共漏洞和暴露) 发布的漏洞信息等方面获取。 4 测试 通过漏洞映射得到目标系统的弱点后就可以进入入侵阶段。渗透测试人员利用前面 的步骤取得的这些弱点信息尝试获得目标主机的最高控制权。无论采用什么方法，晟终 目标是获得目标操作系统的特权。 从技术方面看，测试目标不同，涉及采用的技术也会有一定差异。下面简m 说明在 2 太原理工大学硕士研究生学位论文 不同位置、攻击路径不同时可能采用的技术。 1 内网测试 内网测试指的是渗透测试人员由内部网络发起测试，这类测试能够模拟企业内部违 规操作者的非法行为。内网测试或内部违规操作最主要的优势是由于其位置在企业内 部，所以能轻易绕过防火墙的保护可能采用的技术有：远程缓冲区溢出；口令猜测； b s 或c s 应用程序测试。 。 2 外网测试 外网测试是渗透测试人员完全处于外部网络，模拟对内部网络状态一无所知的外部 攻击者的行为。可能采用的技术有：对网络设备的远程攻击；口令管理安全性测试；防 火墙规则试探、规避；w e b 及其它开放应用服务的安全性测试。这种测试的难度要比内 网测试大，但也是最重要的测试手段，因为大多数不可追查的攻击都来自网络外部，一 旦造成损失，不易弥补。 3 不同网段n l a n 之间的渗透 这种渗透方式是从某内部或外部网段，尝试对另一网段v l a n 进行渗透。可能采用。 的技术有：对网络设备的远程攻击：对防火墙的远程攻击或规则探测、规避尝试。 1 3 现有测试工具的不足 渗透测试根据己知的目标信息可以分成黑盒测试和白盒测试。黑盒测试指测试人员 对目标系统，如i p 地址，网络的配置等情况一无所知的情况下进行测试；而在白盒测 试中，测试人员通过一些手段，已经对目标系统和网络配置及软硬件的使用情况有了一 定的了解。 黑盒测试能够利用类似于s p i k e 的工具快速地自动进行。使用s p i k e ，能够映射很 多漏洞信息并提供了溢出代码，然而s p i k e 发起的攻击是随机的，所以这个工具会中断 系统或者服务。 目前还有许多透明式的商业测试工具和开放源码的测试工具，如c a n v a s 和c o r e i m p a c t 包括了网络扫描器和缓冲区溢出平台；m e t a s p l o i t 和l i b e x p l o i t 是开放源码的缓 冲区溢出测试工具。这些工具中包括了常见的溢出程序及生成s h e l l c o d e 的工具。缓冲 区溢出作为渗透测试中必不可少的技术，可能会给目标系统留下安全漏洞或者造成无意 的损害，如m e t a s p o i t 中针对w i n d o w s 系统l s a s s 服务的攻击程序会导致系统在一分钟 之内重新启动。当前的缓冲区溢出测试工具一般没有认真筛选溢出代码，所以使用它们 进行测试时目标主机的安全性无法保证。随着网络管理员安全意识的增强，缓冲区溢出 3 太原理工大学硕士研究生学位论文 漏洞的寿命已经越来越短，一般服务器都能够及时的安装系统补丁，所以缓冲区溢出一 般在内网渗透测试时采用。 和缓冲区溢出越来越短的寿命相比，拒绝服务攻击是当前网络上遇到的最常见的攻 击方式。要减小拒绝服务攻击造成的损失，最重要的就是合理的配置和优化网络。在此 之前，首先应该知道自己网络能承受的攻击能力。这就需要一种能模拟攻击的工具对目 标网络进行测试，以便给管理员的优化配置做出参考。传统的安全性测试平台一般是单 机版的软件，这种软件不能在多种平台上运行，测试时，用户必须有性能优良的硬件和 满足要求的操作系统平台。d o s 测试软件一般都在l i n u x 系统下编写，这就要求用户预 先安装l i n u x 操作系统并能熟练使用。所以这种平台无论从测试人员安装角度还是用户 使用角度，易用性都不强。此外，测试工具管理不善，有可能导致攻击泛滥，渗透测试 工具被滥用。 总之，需要一种能够使用户方便使用且集中管理的的模拟拒绝服务攻击的平台。内 网测试和外网测试时都可以使用。 1 4 课题研究的主要内容 传统的拒绝服务测试平台大多是单机软件版的，易用性较差，w e b 方式的测试平台 基于b s 模式，用户只要有浏览器就可以测试目标主机的抗d o s 能力。所以本论文研究 的重点就是如何用w e b 方式实现拒绝服务渗透测试平台。 由于研究这个平台的目的是提供安全测试服务，所以平台自身的安全性和稳定性也 尤为重要。因此，支撑这个平台的操作系统和平台本身都要有很高的安全性和稳定性。 基于以上考虑，这个平台的支撑操作系统选用l i n u x 操作系统，因为这些系统比w i n d o w s 操作系统更安全稳定；平台本身将选用j 2 e e 架构，使用j a v a 和j s p 语言实现，因为该 体系具有很高的安全性。 测试平台将允许用户发送某种类型的拒绝服务测试数据报。数据报的源地址可以伪 造，以便获得更好的测试效果和效率。平台还有扫描端1 2 功能，在测试时，能根据用户 需要自动对目标主机的开放端口进行渗透测试。 1 5 论文内容及安排 本文首先介绍渗透测试平台中的一些基本概念和惯用方法，其次对现有的渗透测试 方法进行了分析指 ；j c 仉缺点。然后分析了常见的几种拒绝服务攻击方式在此丛础 4 太原理工大学硕士研究生学位论文 上开发了基于w e b 方式的常见拒绝服务渗透测试平台，并详细分析了其渗透性能。现 将各章节的安排介绍如下： 第一章介绍课题研究的背景、意义及主要研究内容。 第二章介绍渗透测试平台的相关概念，以及常见的拒绝服务渗透测试平台。分析了 其优缺点。 第三章提出了一种基于w e b 方式的拒绝服务渗透测试平台，并详细介绍了其实现 过程。 第四章给出了具体的实验结果，详细分析了该结果。 第五章对全文进行概括性的总结，提出了未解决的问题及今后要做的工作。 1 6 本章小结 本章介绍了课题研究的背景和意义，简述了渗透测试平台的发展历史和现状，说明 了课题的主要研究内容和论文的章节安排。在对现有的测试平台特点进行研究的基础 上，提出了一种新的平台架构作为研究的方向。 5 太原理【：大学项七研究生学位论文 第二章拒绝服务渗透测试平台的基本原理 近年来，随着计算机技术的发展，计算机的应用范围越来越广从而引发的安全问 题也越来越多，特别是计算机网络的普及更加快了这种问题的发展。目前比较常见的安 全问题就有诸如病毒和木马等。但是黑客利用的最基本的攻击方式没有变。拒绝服务就 是用的最多也是最容易成功的一种攻击手段。 2 1 拒绝服务渗透测试平台的目的 如何避免和预防拒绝服务攻击是网络管理员最需要关心的问题之一。要减小拒绝服 务攻击造成的损失，最重要的就是合理的配置和优化网络。在此之前，首先应该知道自 己网络能承受的攻击能力这就需要一种能模拟攻击的工具对目标网络进行测试，以便 给管理员的优化配置做出参考。 拒绝服务渗透测试平台就是这样的一种工具。它应该能模拟进行各种不同类型的拒 绝服务攻击，测试网络对不同类型不同流量的数据报的承受能力。 2 2 拒绝服务渗透测试平台内容 d o s 渗透测试平台是测试远程或者本地主机承受d o s 攻击强度的安全性评估工具。 利用d o s 测试平台能够发现主机是否存在常见的d o s 安全漏洞；能够承受多大流量的 各种d o s 攻击。根据测试结果，系统管理员可以及时修补漏洞或采取相应的防御措施阻 止d o s 攻击使系统崩溃，从而保障系统的安全性。 d o s 渗透澳4 试平台的主要内容是，在l i n u x 上搭建一个w e b 平台，该w e b 平台和 用户具有良好的互操作性，用户可以使用该平台测试某远端主机的抗d o s 攻击的性能。 该平台还应具有端口扫描和隐藏源i p 功能，以便真实模拟黑客d o s 攻击，达到最佳测 试效果。 2 3d o s 攻击原理分析 任何以干扰、破坏网络系统为目的的非法授权行为都称之为网络攻击【1 8 】。d o s 是 6 太原理工大学硕士研究生学位论文 最常见的一种攻击手段。d o s 攻击是通过欺骗伪装及其他手段以使得提供服务资源的主 机出现错误或资源耗尽，从而让目标机器停止提供服务或资源访问的一种攻击手段。从 目前的所有网络攻击的方法和所产生的破坏情况来看，d o s 是一种操作简单而且很有效 的攻击方式 1 9 】，在攻防对抗中略占优势 2 0 1 。它对目标系统本身的破坏性并不是很大， 但影响了正常的工作和生活秩序，间接损失严重。社会效应恶劣，已经成为i n t e m e t 中 。 一个急需解决的问题 2 1 1 。 d o s 的攻击方式有多种，大致分为两类，其一：利用协议、软件的漏洞和人们在一 个应用使用之初对安全性考虑不周，如前几年多播受到了广泛关注，但是针对多播的拒 绝服务防范却几乎没有人提及 2 2 1 ；其二：直接进行资源比拼。 利用被攻击软件实现上的缺陷完成d o s 攻击的有t e a r d r o p ，l a n d b a s e d ，s m u r f 等。很 多攻击是可以伪造源地址的，而且此类型的攻击多是特定类型的少量报文，攻击持续时 间短暂，所以即使通过i d s ( i n t r u s i o nd e t e c t i o ns y s t e m ，入侵检测系统) 、协议分析或 嗅探软件( 如s n i 腩r ) 记录到攻击报文也难以追查攻击者 2 0 】。 虽然安全协议在网络安全中发挥着越来越重要的作用 2 3 1 ，但是旧的通信协议使用7 范围很广泛，而且通信协议总会出现这样或那样的不完善之处。d o s 攻击就是建立在不 完善的网络机制之上的。黑客刻意扩大其错误的杀伤力，使之成为一种专门的攻击手段。 下面就简单介绍一下常见的d o s 攻击方式。 2 3 1s y n f l o o d i n g ( s y n 洪水) s y n 洪水是通过创建大量“半连接”来进行攻击，任何连接到i n t e m e t 上并提供 基于t c p 的网络服务的主机或路由器都可能成为这种攻击的目标，并且跟踪攻击的来 源十分困难。s y nf l o o d i n g 是当前最流行的d o s 与d d o s 的方式之一。 t c p 是基于连接的，也就是说，在数据传输之前，t c p 需要在发送端s 和接收端d 之间建立一个虚拟电路，也即t c p 连接，连接建立过程就是我们常说的“三次握手”， 参见图2 一l ： 三次握手的标准过程是这样的： 第一次握手过程，发送端( 客户端) s 发送一个包含s y n 标志的t c p 报文，s y n 即 同步( s y n c h r o n i z e ) 。同步报文会指明客户端使用的端口以及t c p 连接的初始序号； 第二次握手过程，接收端d 在收到发送端s 的s y n 报文后，将返回一个s y n + a c k 的报文，表示发送端s 的请求被接受，同时t c p 序号被加l ，a c k 即确认 ( a c k n o w l e d g e m e n o , 7 太原理l ：人学硕十研究生学位论文 图2 - 1t c p 连接的三次握手 f i g 2 一it h r e ew a y so f t c p l i n k l i s t e n s n qr e c v d c o n n e ( 舵d 第三次握手过程，发送端s 也返回一个确认报文a c k 给服务器端，同样t c p 序列 号被加l ，到此一个t c p 连接完成。针对每个连接，连接双方都要为该连接分配内存资 源：s o c k e t 结构；i n t e r n e t 协议控制块结构( i n p c b ) ；t c p 控制块结构( t c p c b ) 等。 完成三次握手，客户端与服务器开始传送数据。 之所以形成s y nf l o o d 攻击，问题就出在t c p 连接的三次握手中。假设一个用户 向服务器发送了s y n 报文后突然死机或掉线，那么服务器在发出s y n + a c k 应答报文 后是无法收到客户端的a c k 报文的，也就是说只完成了两次握手，第三次握手无法完 成。这利r 情况下服务器端一般会再次发送s y n + a c k 给客户端重试，并等待一段时间后 丢弃这个未完成的连接，这段时间的长度我们称为s y nt i m e o u t ，一般来说这个时间是 分钟的数量级，大约为3 0 秒一一2 分钟。一个用户出现异常导致服务器的一个线程等待 1 分钟并不是什么很大的问题，但如果有一个恶意的攻击者大量模拟这种情况，服务器 端为了维护一个非常大的半连接列表而消耗非常多的资源一一数以万计的半连接，即使 是简单的保存并遍历也会消耗非常多的c p u 时间和内存，何况还要不断对这个列表中 的i p 进行s y n + a c k 的重试。实际上如果服务器的t c p i p 栈不够强大，当缓冲区被这 些蓄意的无效请求所占满时，服务器就无法向正常用户提供服务了。即使服务器端的系 统足够强大，服务器端也将忙于处理攻击者伪造的t c p 连接请求而无暇理睬客户的正 常请求，毕竟客户端的正常请求比率非常小，此时从正常客户的角度看来，服务器失去 响应，这种情况我们称作服务器端受到了s y n 洪水攻击。 8 太原理工大学硕士研究生学位论文 u s t e n s y nr e c v d 图2 - 2 目标主机遭受s y n 洪水攻击 f i g 2 - 2t a r g e th o s ti ss u f f e d n gs y nf l o o d a t t a c k 参见图2 - 2 ，如果攻击者盗用的是某台可达主机x 的i p 地址，由于主机x 没有向 主机d 发送连接请求，所以当它收到来自d 的s y n + a c k 包时，会向d 发送r s t 包， 主机d 会将该连接重置。因此，攻击者通常伪造主机不可达的i p 地址作为源地址。攻， 击者只要发送较少的、来源地址经过伪装而且无法通过路由达到的s y n 连接请求至目 标主机提供t c p 服务的端口，将目的主机的t c p 缓存队列填满，就可以实施一次成功 的攻击。实际情况下，攻击者往往会持续不断地发送s y n 包，故称为“s y n 洪水”。 s y nf l o o d i n g 攻击的本质是利用t c p i p 协议集的设计弱点和缺陷。只有对现有 t c p i p 协议集进行重大改变才能修正这些缺陷。目前还没有一个完整的解决方案，但是 可以采取一些措施尽量降低这种攻击发生的可能性，减小损失。 基于上述s y n 洪水攻击的特点，可以在多个层次上进行应对： 1 优化系统配置：包括缩短超时时间，增加半连接队列长度，关闭不重要的服务 等。 2 优化路由器配置：配置路由器的外网卡，丢弃那些来自外部网络而源i p 地址具 有内部网络地址的包；配置路由器的内网卡，丢弃那些即将发到外部网络而源i p 地址 不具有内部网络地址的包。这种方法可以有效地减少攻击的可能。 3 完善基础设施：现有的网络体系结构没有对源i p 地址进行检查的机制，也不具 备追踪网络包物理传输路径的机制，使得发现攻击者十分困难。而且很多攻击手段都是 利用现有网络协议的缺陷，因此，对整个网络体系结构的再改造十分重要。 4 使用防火墙：采用半透明网关技术的防火墙能有效地防范s y n 洪水攻击。 5 主动监视：即监视t c p i p 流量，收集通信控制信息，分析状态，辨别攻击行为。 9 太原理t ：人学硕七研究生学位论文 2 3 2i c m pf l o o d 攻击 1 i c m p 洪水的成因 因为i c m p 通常用来报告网络传送中出现的故障，因此也最容易被黑客们用来制造 攻击。典型的如p i n g 命令就可以演化成f l o o d ( 洪水) 的攻击，更不要说重定向和目标 不可到达的i c m p 报文，因为伪造有的报文非常容易，攻击者往往假扮受害者的i p 发 送协议或端口不可到达报文给所有的主机，使其他机器不能访问该主机 2 4 】。 p i n g e x e 和i e m p s e n d e c h o 速度馒的个原因是它们必须等待目标主机返回r e p l y 信息，这个过程需要花费大量时间，而i c m p 洪水要求的速度是极快的，当一个程序发 送数据报的速度达到了每秒1 0 0 0 个以上，它的性质就成了洪水产生器，洪水数据就是 从洪水产生器里出来的。要做真正的i c m p 洪水攻击，还需要有足够的带宽。所以i c m p 洪水攻击的基本条件有两个：洪水产生器和足够大的带宽。 2 实现i c m p 洪水的前提 实现i c m p 洪水最大的前提是攻击者的速度。如果要用5 6 k b p s 拨号网络去攻击一 个5 1 2 k b p s a d s l 网络用户，是不可能实现i c m p 洪水攻击的。其次是机器运行速度和 数据吞吐量，由于涉及i p 校验和的计算( 先设置头校验和域的数值为0 ，然后对整个数 据报头按每1 6 位求异或，再把结果取反，就得到了校验和) ，如果数据处理能力不够， 在这步就慢了一个级别，效果会大打折扣。最后就是目标机器的带宽。如果被攻击端带 宽比攻击端带宽大很多，也基本上形不成i c m p 洪水攻击。 发送的速度与数据报大小成反比，而且太大的数据报会被路由器等设备过滤掉。所 以，找到一个合适的数据报大小，对提高f l o o d 测试效率有很大帮助。 3 洪水对自己的影响 洪水是一种两败俱伤的攻击方式。实际上，展开洪水攻击时，攻击程序在消耗被攻 击方带宽和资源时，也在消耗攻击端的带宽和资源。这是一种纯粹的资源比拼的攻击方 式，所以一般的攻击者都会用被控制的服务器来代替自己的机器发动攻击，一般不用自 己的机器直接做攻击。 4 不同方式的i c m p 洪水 1 ) 直接f l o o d 要做直接f l o o d 攻击的首要条件是有足够的带宽，其次就是要有一个良好的i c m p f l o o d 攻击器，像p i n g e x e 这种探路j _ j 的程序，发送数据报的速度很小，不适合朋来镀 攻击器。对于渗透测试来说，攻击器发包速度应达到6 0 0 0 9 0 0 0 包秒以上，这样才能 0 太原理工大学硕士研究生学位论文 达到较理想的测试效果。直接攻击会暴露自己的地址，所以固定i p 用户一般不使用这 种攻击方式，直接f l o o d 主要是考虑到w i n 9 x m e 不能伪造i p ，黑客很少采用。所以测 试平台应该尽量选用能伪造i p 地址的操作系统，以便更真实地模拟黑客攻击。 2 ) 伪造i p 的f l o o d 对于w i n d o w s 2 0 0 0 ，系统，并且是a d m i n i s t r a t o r 权限，可是使用随意伪造i p 来进 行f l o o d 攻击，这种攻击方式比较隐蔽，攻击结束后很难追踪。 3 ) 反射 这种攻击方式，如下文将专门表述的s m u r f 攻击，把隐蔽性又提高了一个档次。这 种攻击模式里，最终淹没目标的洪水不是由攻击者，也不是伪造i p 发出的，而是由正 常通讯的服务器发出的。 实现的原理是，s m u r f 方式把源i p 设置为受害者i p ，然后向多台服务器发送i c m p 报文( 通常是e c h o 请求) ，这些接收报文的服务器被报文欺骗，向受害者返回e c h o 应 答( t y p e = o ) ，导致受害者遭受d o s 攻击。 从以上分析可以看出，它比上面两种方法多了一级路径受骗的主机( 称为“反射。 源”) ，所以，一个反射源是否有效或者效率低下，都会对f l o o d 效果造成影响。 以上是几种常见的f l o o d 方式。在测试中发现：一些防火墙( 如天网) 只能拦截e c h o 请求( p i n g ) 的i c m p 报文，对于其他i c m p 报文则不拦截。所以在做攻击软件时，一般 要尽量避免使用直接e c h of l o o d ，换用t y p e = 0 的e c h o 应答或t y p e = 1 4 的时间戳应 答最好。 i c m pf l o o d 的防御 由于i c m p f l o o d 是一种资源比拼型的攻击方式，所以很难防御。 软件的网络防火墙能防御一些漏洞、溢出、o o b 、i g m p 攻击，但是对于洪水类型 的攻击，很难防御。因为如果数据报很少的情况下，防火墙可以有时间和精力处理异常 的数据报，但是一旦遭受了洪水攻击，计算机和防火墙都有可能出现运行缓慢的情况， 不再拦截异常数据报。从而恶性循环，接收的攻击数据报越来越多，最终形成宕机。 所以，洪水很难防御。只能采取提高自己的带宽、硬件条件和预防洪水发生的办法。 虽然硬件防火墙和分流技术能做到有效防御洪水，但价格昂贵，对于一般用户成本太高， 而且没有必要。 用户或管理人员可以通过在运行菜单中输入r e g e d i t e x e 调出注册表编辑器，打开 h k e y _ l o c a l _ m a c h i n e s y s t e r r g c u r r e n t c o n t r o l s f f s e r v i c e s ? t c p i p p a r a m t e r s 键值并在其 右窗口中创建d w o r d 键值命名为e n a b l e l c m p r e d i r e c t s 键值为0 ，此时即可禁止计算 太原理：j ：大学硕士研究生学位论文 机响应i c m p 的定向报文，以达到保护计算机目的；还有一种方法是通过修改注册表禁 止响应i c m p 路由通告报文，来预防此类攻击。在运行菜单中输入r e g e d i t e x e 调出注册 表编辑器，依次打开 注册表中如下键值 h k e yl o c a lm a c h i n e s y s t e m c u r r e n t c o n t r o l s t s e r v i c e s ? t c p i p p a r a m t e r s i m e r f a c e s 在 右侧窗体中创建d w o r d 值命名为p e r f o r m r o u t e r d i s c o v e r y 其键值为0 即可停止响应。 2 3 3s m u f f 攻击 s m u f f 攻击是一种强力攻击，它结合使用了i p 欺骗和带有广播地址的i c m p 请求， 响应方法使大量网络传输充斥目标系统，引起目标系统拒绝为正常系统进行服务，属于 间接、借力攻击方式。任何连接到互联网上的支持i c m p 请求响应的网络设备都可能成 为这种攻击的目标。 一个简单的s m u r f 攻击通过使用将回复地址设置成受害网络的广播地址的i c m p 应 答请求p i n g ) 数据报来淹没受害主机的方式进行，最终导致该网络的所有主机都对此 i c m p 应答请求做出答复，导致网络阻塞，流量极高。更加复杂的s m u f f 将源地址改为 第三方的受害者，最终导致第三方崩溃。 i