任务拒绝服务攻击和检测

1、任务拒绝服务攻击和检测学习目标1. 知识目标2. 能力目标学习目标返回下页上页学习目标返回下页上页认识并了解DoS和DDoS攻击1理解UDP Flood攻击的原理2理解SYN Flood攻击的原理3了解防御DDoS攻击的方法45了解安装入侵检测软件的必要性1. 知识目标学习目标返回下页上页采用UDP Flood方式攻击目标主机1防范常见DDoS攻击2使用拒绝效劳攻击状态监视器3安装和配置黑冰入侵检测软件42. 能力目标工作任务 工作任务2. 工作任务背景4. 条件准备1. 工作名称3. 工作任务分析返回下页 上页 任务背景：最近张教师发现校园网效劳器的运行速度经常会突然变慢，有时甚至出现死机的

2、情况，导致用户无法正常登陆效劳器。翻开效劳器的“Windows任务管理器，查看“性能后发现“CPU使用率接近100%，内存的“可用数接近0，而效劳器的杀毒软件未发现任何病毒。张教师疑心有人对效劳器实施了拒绝效劳攻击。任务名称：模拟拒绝效劳攻击、安装入侵检测软件 任务名称与背景返回下页工作任务 上页拒绝效劳攻击常见的表现形式主要有两种，一种为流量攻击，主要是针对网络带宽的攻击，即使用大量攻击包而导致网络带宽被阻塞，合法网络包被虚假的攻击包淹没而无法到达主机；另一种为资源耗尽攻击，主要是针对效劳器主机的攻击，即使用大量攻击包而导致主机的CUP和内存被耗尽，造成无法提供网络效劳。在效劳器再次遭受攻击

3、时，张教师用一台主机Ping效劳器，发现可以Ping通，没有超时和丢包现象，根本排除了遭受流量攻击的可能性。张教师在效劳器上用“Netstat na命令观察到有大量的“SYN_RECEIVED、“TIME_WAIT、“FIN_WAIT_1等状态存在，而“ESTABLISHED状态很少。“ESTABLISHED状态代表已经翻开了一个连接，而“SYN_RECEIVED、 任务分析返回下页工作任务 上页“TIME_WAIT等状态代表效劳器正在等待对方对连接请求确实认，这就表示大量主机向效劳器发送了连接请求，效劳器承受请求，并发送回应信息，等待这些主机再次发送确认回应信息从而建立连接时，这些主机不再回

4、应。这就导致了效劳器因等待这些大量的半连接信息而消耗系统资源，而没有空余资源去处理普通用户的正常请求。张教师根据这些情况判定，这是一次典型的资源耗尽型的拒绝效劳攻击，而且是拒绝效劳攻击中威力最为巨大且为目前比较常见的分布式拒绝效劳攻击DDoS，Distributed Denial of Service。任务分析返回下页工作任务 上页返回下页工作任务 上页任务分析张教师决定在效劳器中安装“拒绝效劳攻击状态监视器，用于检测本次拒绝效劳攻击的类型和攻击频率，为效劳器安装BlackICE(黑冰)入侵检测系统软件，以便在黑客对效劳器再次实施攻击时进展提示和警告，甚至捕捉到实施DDoS攻击的主机IP地址、

5、用户名等信息。张教师还下载了一个可以实施UDP-Flood攻击的黑客软件，利用多台主机模拟对效劳器进展UDP-Flood攻击，从而检验“拒绝效劳攻击状态监视器和BlackICE(黑冰)入侵检测软件的配置和使用。 条件准备张教师在网上下载了金盾防火墙的插件“拒绝效劳攻击状态监视器和“BlackICE PC Protection 黑冰入侵检测软件，并将两个软件安装到效劳器中。金盾防火墙的 “拒绝效劳攻击状态监视器可以识别SYN Flood攻击、UDP Flood攻击、ICMP Flood攻击等多种攻击类型，并可以显示攻击频率等信息。BlackICE PC Protection 软件简称BlackI

6、CE是由ISS平安公司出品的一款著名的入侵检测系统。它集成了非常强大的检测和分析引擎，识别200多种入侵技巧，进展全面的网络检测及系统防护，拦截可疑的网络入侵和攻击，并将试图入侵的黑客的NetBIOS(WINS)名、DNS名以及其目前所使用的IP地址记录下来，以便采取进一步行动。该软件的灵敏度和准确率非常高，稳定性也相当出色，系统资源占用率极少。返回下页工作任务 上页 条件准备张教师为了测试入侵检测软件，下载了可以实现UDP攻击的黑客软件，并安装到网络实验室的20台主机中，该实验室中的所有主机均能“ping通效劳器。UDP(User Data Protocol，用户数据报协议)是与TCP相对应

7、的协议。它是面向非连接的协议，它不与目标主机建立连接，而是直接把数据包发送到目标主机的端口。目标主机接收到一个 UDP 数据包时，它会确定目的端口正在等待中的应用程序。如果随机地向目标主机系统的端口发送大量的 UDP 数据包，而目标主机发现该端口中并不存在正在等待的应用程序，它就会产生一个目的地址无法连接的 ICMP 数据包发送给源地址，这就构成了UDP Flood攻击。返回下页工作任务 上页 实践操作 1.模拟UDP Flood攻击2.安装BlackICE黑冰入侵检测软件3.配置BlackICE黑冰软件实践操作 返回下页上页1.模拟UDP Flood攻击由于本次模拟攻击所用到的“UDP Fl

8、ooder软件可被较新的杀毒软件和防火墙检测出并自动进展隔离或删除的处理，因此，在模拟攻击前要先将网络实验室中20台主机安装的杀毒软件和防火墙全部关闭效劳器的防火墙和杀毒软件不用关闭。分别在20台主机中翻开“UDP Flooder攻击软件，在“IP/hostname后面的文本框中输入效劳器的IP地址，在“Port后的文本框中输入端口号，一般为“80，将攻击速度“speed调整到最高“max，即每秒发送255个攻击包。“Data选项中选择“Text，其后的内容随意输入。单击“GO按钮，开场攻击。如下图。实践操作 返回下页上页1.模拟UDP Flood攻击实践操作 返回下页上页UDP Floode

9、r攻击器 拒绝效劳攻击状态监视器1.模拟UDP Flood攻击此时，在效劳器中翻开金盾防火墙的 “拒绝效劳攻击状态监视器，可以观察到该效劳器已经遭受到了“UDP攻击和“ICMP攻击，攻击状态为“中度攻击。如下图。由于效劳器的硬件配置一般较高，来自20台主机的攻击不会对效劳器造成太大的影响，但是如果利用黑客入侵手段，将攻击软件作为木马植入到几千台甚至上万台主机中，并由一台管理机控制，所有被控主机同时对效劳器进展攻击，即发动一次分布式拒绝效劳攻击DDoS，往往会使效劳器瘫痪。实践操作 返回下页上页2.安装BlackICE黑冰入侵检测软件 安装前准备：实践操作 返回下页上页在安装BlackICE之前

10、，先要确定效劳器的操作系统，如果是WindowsServer2003 SP1或WinXPSP2及以上版本，那么要先对操作系统做一下调整，否那么安装后会出现蓝屏现象。因为这些版本的操作系统新增了一个名为DEP数据执行保护的平安保护功能。如果效劳器使用64位CPU，那么，这个保护功能将更加强大，因为64位处理器中采用了一种全新的防毒技术-EVP(增强型病毒防护)，配合DEP技术，能将病毒的防治机制提升到一个新的高度。不过EVP和DEP也存在兼容问题，它可能对用户有用的程序也进展阻止，包括BlackICE软件。翻开“我的电脑，执行“工具菜单中的“文件夹选项命令，选择“查看选项卡，将“高级设置中“隐藏

11、受保护的操作系统文件推荐选项前面的“去掉，并在“隐藏文件和文件夹中选择“显示所有文件和文件2.安装BlackICE黑冰入侵检测软件 在系统所在分区一般为C盘的根目录下找到Boot.ini文件。在该文件上点击鼠标右键，选择“属性命令，将该文件的“只读属性去掉。然后双击翻开该文件，看到该文件有一个“NoExecute参数，其值为“Opton，该参数即为“数据执行保护启动状态。设置“NoExecute=AlwaysOff，并保存。这相当于关闭了EVP和DEP功能，解决了这两项功能引起的兼容性问题。恢复Boot.ini文件的“只读属性，恢复“文件夹选项中“高级设置的初始状态。实践操作 返回下页上页夹。

12、点击“确定完成，此时所有系统文件和隐藏文件均显示出来。2.安装BlackICE黑冰入侵检测软件 安装BlackICE： 实践操作 返回下页上页在效劳器中运行BlackICE软件的安装程序“BISPSetup.exe，启动安装过程。首先进入欢送对话框，如下图。2.安装BlackICE黑冰入侵检测软件 单击“Next按钮，进入“用户许可协议确认对话框，单击“I Accept按钮，同意协议内容，翻开软件序列号输入对话框，在“License后的文本框中输入黑冰软件的序列号，序列号由12位数字和字母组合而成，如果不输入或输入错误，安装程序将提示是否再次输入，如果单击“否按钮，将退出安装。序列号输入正确后

13、单击“next按钮，进入软件安装位置设置对话框，系统默认将软件安装到“C:Program FilesISSBlackICE文件夹下，如果需要更改安装位置，可单击“Browse按钮，选择新的文件夹。位置选择完成后单击“Next按钮，进入应用程序文件夹设置对话框，默认程序文件夹为“ISS。设置完成后单击“Next按钮，翻开应用程序保护模式选择对话框，如下图 实践操作 返回下页上页2.安装BlackICE黑冰入侵检测软件 该对话框有两个选项，“AP Off和“AP On。其中“AP On模式表示翻开应用程序保护模式，如果选择该模式，软件将对应用程序的运行进展保护，并且在安装完毕后扫描系统中的所有文件

14、，找实践操作 返回下页上页出可以访问Internet的程序，这样可以有效地防止木马程序访问网络。“AP Off模式那么对应用程序不进展保护。为平安起见，选择“AP On。点击“next按钮，翻开效劳器是否有人值守的选择对话框，如下图。2.安装BlackICE黑冰入侵检测软件 在该对话框中，“Attended表示有人值守，选择该项，那么发生未知的程序活动、网络连接等操作时BlackICE都会进展提示，要求效劳器管理员值守者进展确认；“Unattended表示无人值守，选择该项的话，BlackICE会自动制止所有的未知活动。这里选择“Attended。实践操作 返回下页上页2.安装BlackICE

15、黑冰入侵检测软件 点击“next按钮，会显示前面所做设置的回忆界面，如果不需修改的话点击“next按钮，开场文件复制安装。安装完毕之后，BlackICE软件将对操作系统的当前情况进展检测。实践操作 返回下页上页 卸载BlackICE：卸载BlackICE软件，不能在“控制面板的“添加/删除程序中进展。而是需要重新启动计算机，并进入“平安模式。翻开BlackICE软件的安装目录，找到“BIRemove.exe文件，双击执行，完成卸载操作。3.配置BlackICE黑冰软件 控制台界面：BlackICE安装后将以后台效劳的方式运行。前端提供一个控制台进展各种报警和修改程序的配置，可以通过双击任务栏中

16、的“ 图标翻开BlackICE控制台， 实践操作 返回下页上页3.配置BlackICE黑冰软件 在控制台中，“Events窗口提供一些根本入侵信息，如入侵的时间、动作、入侵者的IP等。可以直接右击一条入侵信息来对该入侵者进展诸如信任、阻止等的操作。这些信息中，黄色的问号是疑心攻击，橙色和红色的叹号是十分确定的攻击。只要在图标上有黑色的斜杠，就代表成功拦截。灰色的斜杠是在攻击时 BlackICE已经尝试拦截，但是可能有局部数据还是穿透了防火墙。“Intruders窗口提供了入侵者更为详细的信息，如果需要永久拦截该入侵者的访问，可以在入侵者名单上单击鼠标右键，在出现的快捷菜单中选择“BlockIi

17、ntruderForever。“History窗口提供图示统计信息，在其左侧选择“Min、“Hour或“Day，就可以很直观地看到分别以分钟、小时、天数为单位的事件发生曲线图和网络数据流量图，据此就可判断出木马、病毒程序作案的发生频率、数据包流量。实践操作 返回下页上页3.配置BlackICE黑冰软件 BlackICE设置：选择“Tools菜单中的“Edit BlackICE Settings命令可以翻开“BlackICE Settings对话框，如下图，其中：实践操作 返回下页上页3.配置BlackICE黑冰软件 “Firewall防火墙选项卡：修改BlackICE的平安级别。BlackIC

18、E对外来访问设有4个平安级别，分别是Trusting、Cautious、Nervous和Paranoid。Paranoid是阻断所有的未受权信息，Nervous是阻断大局部的未受权信息，Cautious是阻断局部的未受权的信息，而BlackICE软件缺省设置的是Trusting级别，即承受所有的信息。“BackTrace回溯选项卡：将里面两项复选框均勾选中，就可以跟踪并分析入侵者的信息。“Evidence证据日志：将其中的“Loggingenabled启用日志复选框选中可以将入侵者的入侵记录存入证据日志中。实践操作 返回下页上页3.配置BlackICE黑冰软件 实践操作 返回下页上页“Appl

19、icationControl应用程序控制和“CommunicationsControl通讯控制选项卡：建议将这两个选项卡的“EnableApplicationPort启用应用程序保护复选框选中，这样可以防止未经许可的应用程序访问网络，从而防范病毒或木马程序对系统的破坏。“InrtusionDetection入侵检测选项卡：可以单击“add按钮添加自己绝对信任的IP地址或效劳。3.配置BlackICE黑冰软件 高级防火墙设置：实践操作 返回下页上页执行“Tools菜单的“AdvancedFirewallSettings命令，可以翻开高级防火墙设置对话框， 3.配置BlackICE黑冰软件 在该对

20、话框可以翻开某个端口，从而开启相应的效劳，也可以关闭某个端口，从而防范通过该端口进展的入侵。在该窗口中点击“Add或“Modify按钮可以新增或修改应用规那么，点击“Delete可以删除选中的规那么。实践操作 返回下页上页4.利用BlackICE进展入侵检测和防范 检测UDP Flood攻击：实践操作 返回下页上页将效劳器的BlackICE软件的平安级别设置为Paranoid，阻断所有的未受权信息。利用实验室的某台计算机对效劳器发动UDP Flood攻击。此时BlackICE的控制台显示如下图。 4.利用BlackICE进展入侵检测和防范 可以看到，在“Events窗口中，显示出一条疑心攻击信

21、息黄色问号图标，该信息包括攻击时间、攻击类型、攻击着主机名、攻击数据包数量的内容。图标上显示黑色的斜杠，表示该攻击已经被拦截。点击“Intruders选项卡还可以看到攻击者的IP地址等更加详细的信息。如果需要拦截来自该主机的访问，可以在该条攻击信息上单击鼠标右键，执行“Block Intruder命令，选择“Forever进展永久拦截，或选择拦截一小时For an Hour、一天For a Day或一个月For a Month。如果确信来自该主机的访问没有攻击意图，是可以信任的，可以执行“Trust Intruder命令，选择“Trust and Accept信赖并认可该主机的访问，或选择“T

22、rust Only仅信赖该主机的访问。 实践操作 返回下页上页4.利用BlackICE进展入侵检测和防范 防范某台主机的139端口入侵：执行“Tools菜单的“AdvancedFirewallSettings命令，翻开高级防火墙设置对话框，单击“Add按钮，翻开端口访问设置对话框。如下图 实践操作 返回下页上页4.利用BlackICE进展入侵检测和防范 在该对话框中，“Name文本框为该规那么的名称，“IP文本框可以输入对该端口进展操作的主机IP，选择“All Address复选框表示所有主机对该端口的操作都是一样的，“Port文本框输入端口号，“All Port表示对所有端口采取措施，“Ty

23、pe表示访问的类型，“Mode中的“Accept表示允许用户对该端口操作，“Reject表示拒绝用户对该端口的操作，“DurationofRule选择可以设置规那么的持续时间。如果要防范某台主机的139端口攻击，可以在“Name文本框中任意输入规那么的名称，“IP文本框中输入该用户的IP地址，去掉“All Port的勾选，在“Port文本框中输入“139，“Type选择“TCP，“Mode中选择“Reject，并选择规那么持续时间后，点击“OK按钮。这样就添加了一条防范规那么。实践操作 返回下页上页4.利用BlackICE进展入侵检测和防范 对多台主机的防范需要添加多条规那么。如果需要添加某个

24、端口，开启相应的效劳，也可以采用类似的方法。拒绝某台主机的所有访问：如果需要对某台主机的所有访问操作均进展拒绝，可以翻开高级防火墙对话框，单击“Add按钮，在“IP一栏填入这台主机的IP地址，选择“Type为“IP，将“Mode选为“Reject，“DurationofRule选为“Forever，此时该IP地址被永远屏蔽了。实践操作 返回下页上页问题探究 问题探究DoS攻击是目前非常常见的黑客攻击手段，它采用一对一的攻击形式，如下图。 返回下页上页DoS攻击可以划分为三种类型：带宽攻击协议攻击逻辑攻击问题探究 问题探究带宽攻击是早期比较常见的DoS攻击形式。这种攻击行为通过发送一定数量的请求

25、，使网络效劳器中充满了大量要求回复的信息，消耗网络带宽和系统资源，导致网络或系统不胜负荷以至于瘫痪，停顿正常的网络效劳。这种攻击是在比谁的机器性能好、速度快。不过现在的科技飞速开展，一般主机的处理能力、内存大小和网络速度都有了飞速的开展，有的网络带宽甚至超过了千兆级别，因此这种攻击形式就没有什么作用了。举个例子，假设攻击者的主机每秒能够发送10个攻击用的数据包，而被攻击的主机(性能、网络带宽都是顶级的)每秒能够接收并处理100个攻击数据包，这样的话，这种攻击就什么用处都没有了，而且由于攻击者发动这样的攻击时，主机CPU的占用率会到达90%以上，如果该机器配置不够高的话，很有可能出现死机的情况。

26、 返回下页上页问题探究 问题探究协议攻击是目前越来越流行的DoS攻击形式，这种攻击需要更多的技巧。攻击者通过对目标主机特定漏洞的利用进展攻击，导致网络失效、系统崩溃、主机死机而无法提供正常的网络效劳功能。逻辑攻击是一种最高级的攻击形式，这种攻击包含了对组网技术的深入理解。攻击者发送具有一样源IP地址和目的IP地址的伪造数据包，很多系统不能够处理这种引起混乱的行为，从而导致崩溃。尽管发自单台主机的DoS攻击通常就能够发挥作用，但如果有多台主机参与攻击，效率自然就会更高。这种攻击方式称为分布式拒绝效劳DDoS，Distributed Denial of Service攻击。一般来说，DDoS攻击不

27、是由很多黑客一起参与实施，而是由一名黑客来操作。 返回下页上页问题探究 问题探究这名黑客先是探测扫描大量主机以找到可以入侵的脆弱主机，入侵这些有平安漏洞的主机并获取控制权这些被控制的主机称为“肉鸡，在每台被入侵的主机上安装攻击程序，这个过程完全是自动化的，在短时间内即可入返回下页上页侵数千台主机，在控制了足够多的主机之后，从中选择一台作为管理机，安装攻击主程序。黑客控制该管理机指挥所有“肉鸡对目标发起攻击，造成目标机瘫痪。如下图。问题探究 问题探究在刚刚带宽攻击的例子中，一台主机每秒能发送10个攻击数据包，被攻击的主机每秒能够接收并处理100个攻击数据包，这样的攻击肯定不会起作用，而如果使用1

28、0台甚至更多的主机来对被攻击的主机同时进展攻击的话，其结果就不言而喻了。分布式拒绝效劳攻击一旦被实施，攻击网络包就会犹如洪水般涌向受害主机，从而把合法用户的网络包淹没，导致合法用户无法正常访问效劳器的网络资源，因此，DDoS攻击又被称为“洪水式攻击，本单元介绍的UDP Flood攻击就属于这种攻击形式。返回下页上页知识拓展 知识拓展除了已经介绍的UDP Flood之外，常见的DDOS攻击还有SYN Flood、ICMP Flood、TCP Flood、Script Flood、Proxy Flood等，其中黑客经常使用的是SYN Flood。SYN-Flood攻击是利用了大多数主机使用TCP三

29、次握手机制中的漏洞实施攻击的。在客户端与效劳器建立连接时需要进展TCP的“三次握手，如下图。返回下页上页知识拓展 知识拓展第一步：客户端发送一个带SYN位的请求包，向效劳器表示需要连接；第二步：效劳器接收到这样的请求包后，如果确认承受请求，那么向客户端发送回应包，表示效劳器连接已经准备好，并等待客户端确实认。第三步：客户端发送确认建立连接的信息，此时客户端与效劳器的连接建立起来。如果不完成TCP三次握手中的第三步，也就是不发送确认连接的信息给效劳器。这样，效劳器无法完成第三次握手，但效劳器不会立即放弃，而是不停地重试并等待一定的时间后才放弃这个未完成的连接，这段时间叫做SYN timeout，这段时间大约30秒至2分钟左右。返回下页上页知识拓展 知识拓展如果