第四周 拒绝服务与数据库安全

1、第3章 回绝效力与数据库平安 回绝效力攻击概述 3.1SQL数据库平安 3.2 SQL Server攻击的防护 3.3.掌握DoS攻击的原理掌握DoS攻击工具的根本运用和防护了解基于效力的破绽和入侵方法掌握Telnet入侵的根本防护了解SQL数据库的平安技术和原理掌握基于SQL的入侵和防护本章学习要点：.3.1 回绝效力攻击概述3.1.1 DoS定义 DoSDenial of Service，回绝效力是指阻止或回绝合法运用者存取网络效力器。 呵斥DoS的攻击行为被称为DoS攻击，即将大量的非法恳求封包传送给指定的目的主机，其目的是完全耗费目的主机资源，使计算机或网络无法提供正常的效力。.回绝效

2、力攻击(DoS)：DoS-Denial of Service：如今普通指点致效力器 不能正常提供效力的攻击。DoS攻击的事件 ： 2000年2月份的Yahoo、亚马逊、CNN被DoS攻击。 2002年10月全世界13台DNS效力器同时遭到了DDoS分布式回绝效力攻击。 2003年1月25日的“2003蠕虫王病毒。 2004年8月，共同社报道：日本近期共有上百网站遭到黑客袭击。. 最常见的DoS攻击包括计算机网络带宽攻击和连通性攻击。 带宽攻击是指以极大的通讯量冲击网络，使得一切可用的网络资源都被耗费殆尽，最后导致合法的用户恳求无法经过。 连通性攻击是指用大量的衔接恳求冲击计算机，使得一切可用的

3、操作系统资源都被耗费殆尽，最终计算机无法再处置合法用户的恳求。. 是借助网络系统或协议的缺陷以及配置破绽进展网络攻击，使网络拥塞、系统资源耗尽或系统运用死锁，妨碍目的主机和网络系统对正常用户效力恳求的及时呼应，呵斥效力的性能受损，甚至导致效力中断。DoS攻击的原理:.是首先攻击者向效力器发送众多的带有虚伪地址的恳求，效力器发送回复信息后等待回传信息。由于地址是伪造的，所以效力器不断等不到回传的音讯，分配给这次恳求的资源就一直没有被释放。当效力器等待一定的时间后，衔接会因超时而被切断，攻击者会再度传送一批新的恳求，在这种反复发送伪地址恳求的情况下，效力器资源最终会被耗尽，而导致效力中断，如图3.

4、1所示。DoS攻击的根本过程:.图3.1 DoS攻击的根本过程.3.1.2 回绝效力攻击的分类1按攻击的对象分类 回绝效力攻击可以是“物理的又称“硬件的，也可以是“逻辑的又称“软件的。 物理方式的攻击，如偷窃、破坏物理设备，破坏电源等。 逻辑的攻击，如经过软件破坏网络、系统资源和效力，如邮件效力、DNS效力、CPU资源等。.2按攻击的目的分类 按攻击的目的回绝效力攻击又可分为节点型和网络衔接型。 节点型：旨在耗费节点主机Host资源。节点型又可以进一步细分为主机型和运用型。.主机型攻击：其目的主要是主机中的公共资源，如CPU、磁盘等，使得主机对一切的效力都不能呼应。 运用型攻击：其目的是网络中

5、特定的运用，如邮件效力、DNS效力、Web效力等。受攻击时，受害者上的其他效力能够不受影响或者受影响的程度较小与受攻击的效力相比而言。 网络衔接型：旨在耗费网络衔接和带宽。.3按攻击方式分类 按照攻击方式回绝效力攻击可以分为资源耗费、效力中止和物理破坏。 资源耗费：指攻击者试图耗费目的的合法资源，如网络带宽、内存和磁盘空间、CPU运用率等。根据资源类型的不同，资源耗费可分为带宽耗尽和系统资源耗尽两类。.带宽耗尽攻击：其本质是攻击者经过放大等技巧，耗费掉目的网络的一切可用带宽。系统资源耗尽攻击：指对系统内存、CPU 或程序中的其他资源进展耗费，使其无法满足正常提供效力的需求。著名的Syn Flo

6、od攻击即是经过向目的效力发送大量的数据包，呵斥效力的衔接队列耗尽，无法再为其他正常的衔接恳求提供效力。. 效力中止：指攻击者利用效力中的某些缺陷导致效力解体或中止。 物理破坏：指雷击、电流、水、火等以物理接触的方式导致的回绝效力攻击。.4按受害者类型分类 按受害者类型回绝效力攻击可以分为效力器端回绝效力攻击和客户端回绝效力攻击。 效力器端回绝效力攻击：指攻击的目的是特定的效力器，使之不能提供效力或者不能向某些客户端提供某种效力，如攻击一个Web效力器使之不能访问。 客户端回绝效力攻击：针对特定的客户端，使之不能运用某种效力，如游戏、聊天室中的“踢人，也就是使某个特定的用户不能登录游戏系统或聊

7、天室中，使之不能运用系统的效力。.5按攻击能否针对受害者分类 直接和间接回绝效力攻击6按攻击地点分类 本地攻击和远程攻击.Land原是一段C程序，其向受害者发送TCP SYN包，而这些包的源IP地址和目的IP地址被伪呵斥一样的，即受害者的IP地址，源端口和目的端口也是一样的；此将导致接受效力器向它本人的地址发送SYN-ACK音讯，结果这个地址又发回ACK音讯并创建一个空衔接。被攻击的效力器每接纳一个这样的衔接都将保管，直到超时。 目的系统在收到这样的包以后能够会解体或者重启。 3.1.3 常见DoS攻击1Land程序攻击.InternetCode解体G. Mark HardyLAND攻击IP

8、包欺骗：源地址 2 Port 目的地址 2 Port 包被送回它本人攻击者目的2LAND攻击:.Land攻击防御有针对性地更改协议算法，打最新的相关的平安补丁；在防火墙上进展配置，将那些在外部接口上进入的含有内部源地址的包过滤掉，包括10域，127域，192.168域，172.16到172.31域。对剧毒包进展识别。如：由于Land攻击主要是构造IP包，使源IP和目的IP一样，源端口和目的端口一样，可以对此类包进展单独区分、处置。.2SYN Flood攻击 攻击者向被攻击效力器发送一个包含SYN标志的TCP报文，SYNSynchronize，同步报文会指明客户端运用的端口以及TCP衔接的初始序

9、号，这时同被攻击效力器建立了第1次握手。 受害效力器在收到攻击者的SYN后，将前往一个SYN+ACK的报文，表示攻击者的恳求被接受，同时TCP序号被加1，ACK Acknowledgement即确认，这样就同被攻击效力器建立了第2次握手。 攻击者也前往一个确认报文ACK给受害效力器，同样TCP序列号被加1，到此一个TCP衔接完成，第3次握手完成。“攻击过程.SYN Flood原理 TCP衔接的三次握手 .SYN Flood原理Syn Flood攻击者不会完成三次握手 .我没发过恳求SYN FloodSYN_RECV形状半开衔接队列遍历，耗费CPU和内存SYN|ACK 重试SYN Timeout

10、：30秒2分钟无暇理睬正常的衔接恳求回绝效力SYN 我可以衔接吗？ACK 可以/SYN请确认！攻击者受害者伪造地址进展SYN 恳求为何还没回应就是让他白等不能建立正常的衔接！SYN Flood 攻击原理攻击表象.SYN Flood原理假设一个客户向效力器发送了SYN报文段后忽然掉线，那么效力器在发出SYN+ACK应对报文后是无法收到客户端的ACK报文的第三次握手无法完成，这种情况下效力器端普通会重试再次发送SYN+ACK给客户端并等待一段时间后丢弃这个未完成的衔接，这段时间的长度称为SYN Timeout，普通来说这个时间大约为30秒-2分钟；同时，对于每个衔接，双方都要为这个衔接分配必要的内

11、存资源，用来存放所运用的协议，地址、端口、时钟以及初始序号等信息，这些内存资源大约占用280字节。.SYN Flood原理当一个效力器收到大量延续的SYN包时，就会为这些衔接分配必要的内存资源，这些半衔接将耗尽系统的内存资源和CPU时间，从而回绝为合法的用户提供效力。此时从正常客户的角度看来，效力器失去呼应，这种情况我们称做：效力器端遭到了SYN Flood攻击SYN洪水攻击。 .以windows 为例SYN攻击花费时间（秒）累计花费时间（秒）第一次，失败3 3尝试第1 次，失败69尝试第2 次，失败1221尝试第3 次，失败2445尝试第4 次，失败4893尝试第5 次，失败96189.SY

12、N Flood防护战略优化系统配置缩短超时时间，使无效的半衔接尽快释放，也能够导致某些合法衔接失败；添加半衔接队列长度，使系统可以处置更多的半衔接；封锁不用要或不重要的效力，减少被攻击的时机。优化路由器配置丢弃那些来自内网而源地址具有外网IP地址的包。加强监测在网络的关键点上安装监测软件，继续监视TCP/IP流量，分析通讯形状，区分攻击行为。.SYN Flood防护战略防火墙有些防火墙具有SYN Proxy功能，这种方法设置每秒经过指定对象目的地址和端口、仅目的地址或仅源地址的SYN片段数的阈值，当来自一样源地址或发往一样目的地址的SYN片段数到达这些阈值之一时，防火墙就开场截取衔接恳求和代理

13、回复SYN/ACK片段，并将不完全的衔接恳求存储到衔接队列中直到衔接完成或恳求超时。当防火墙中代理衔接的队列被填满时，防火墙回绝来自一样区域中一切地址的新SYN片段，防止网络主机蒙受不完好的三次握手的攻击。这种方法在攻击流量较大的时候，衔接出现较大的延迟，网络的负载较高，很多情况下反而成为整个网络的瓶颈。.这种攻击利用RSTReset the connection 位来实现。假设如今有一个合法用户(1)曾经同效力器建立了正常的衔接，攻击者构造攻击的TCP数据，伪装本人的IP为1，并向效力器发送一个带有RST位的TCP数据段。效力器接纳到这样的数据后，以为从1发送的衔接有错误，就会清空缓冲区中建

14、立好的衔接。这时，假设合法用户1再发送合法数据，效力器就曾经没有这样的衔接了，该用户就必需重新开场建立衔接。攻击时，攻击者会伪造大量的IP地址，向目的发送RST数据，使效力器不对合法用户效力，从而实现了对受害效力器的回绝效力攻击。3IP欺骗DoS攻击.4. Smurf攻击这种攻击方法结合运用了IP欺骗和ICMP回复方法使大量网络传输充斥目的系统，引起目的系统回绝为正常系统进展效力。Smurf攻击经过运用将回复地址设置成受害网络的广播地址的ICMP应对恳求(ping)数据包，来淹没受害主机，最终导致该网络的一切主机都对此ICMP应对恳求做出回答，导致网络阻塞。更加复杂的Smurf将源地址改为第三

15、方的受害者，最终导致第三方解体。.第一步：攻击者向被利用网络A的广播地址发送一个ICMP 协议的echo恳求数据报，该数据报源地址被伪呵斥第二步：网络A上的一切主机都向该伪造的源地址前往一个echo呼应，呵斥该主机效力中断。Smuff攻击.Smurf攻击攻击通常分为以下五步：黑客锁定一个被攻击的主机通常是一些Web效力器；黑客寻觅中间代理路由器，用来对攻击实施放大；黑客给中间代理站点的广播地址发送大量的ICMP包主要是指Ping命令的ECHO包。这些数据包全都以被攻击的主机的IP地址做为IP包的源地址；中间代理向其所在的子网上的一切主机发送源IP地址欺骗的数据包；中间代理子网主机对被攻击的网络

16、进展呼应。.分析和对抗首先，防止让他的网络里的人发起这样的攻击。在Smurf攻击中，大量源欺骗的IP数据包分开了第一个网络。经过在路由器上运用输出过滤，滤掉这样的包，从而阻止从他的网络中发起的Smurf攻击。其次，防止他的网络做为中间代理。假设没有必需求向外发送广播数据包的情况，就可以在路由器的每个接口上设置制止直接广播；配置主机的操作系统，使其不呼应ICMP广播包。.5Ping of Death发送长度超越65535字节的ICMP Echo Request 数据包导致目的机TCP/IP协议栈解体，系统死机或重启现有的操作系统根本上都能正确处置这种异常数据包，不会出现问题。.6Teardrop

17、攻击发送特别构造的IP 数据包导致目的机TCP/IP协议栈解体，系统死锁现有的操作系统根本上都能正确处置这种异常数据包，不会出现问题。7WinNuke攻击发送特别构造的TCP包，使得Windows机器蓝屏.3.1.4 分布式回绝效力 分布式回绝效力Distributed Denial of Service，DDoS是一种基于DoS的特殊方式的回绝效力攻击，是一种分布、协作的大规模攻击方式，主要瞄准比较大的站点，像商业公司、搜索引擎或政府部门的站点。. 分布式回绝效力如图3.2所示。 DoS攻击只需一台单机和一个Modem就可实现，与之不同的是DDoS攻击是利用一批受控制的机器向一台机器发起攻击

18、，这样来势迅猛的攻击令人难以防备，因此具有较大的破坏性。.图3.2 分布式回绝效力 .InternetDDoS攻击原理图HACKERCreate感染, 埋伏, 分散攻击 破坏 回绝效力 利用系统后门感染RandomlyAttack RandomlyAttack RandomlyAttack DDOSDDOSDDOSDDOSDDOSDDOSDDOSCreate感染, 埋伏, 分散攻击破坏 回绝效力 利用系统后门感染Activate 100, 300 or 600 threads to attack random IP address servers没用补丁 web system已补丁web sy

19、stem.DDoS攻击过程扫描程序非平安主机黑客 黑客利用工具扫描 Internet，发现存在破绽的主机1Internet(Wu-ftpd;RPC service).黑客Zombies 黑客在非平安主机上安装类似“后门的代理程序2DDoS Attack IllustratedInternet.黑客 黑客选择主控主机，用来向“僵尸发送命令3Zombies主控主机InternetDDoS Attack Illustrated.Hacker 经过客户端程序，黑客发送命令给主控端，并经过主控主机启动 “僵尸程序对目的系统发动攻击4ZombiesTargetedSystemMasterServerInt

20、ernetDDoS Attack Illustrated.目的系统SystemHacker 主控端向“僵尸发送攻击信号，对目的发动攻击5MasterServerInternetZombiesDDoS Attack Illustrated.目的黑客 目的主机被“淹没，无法提供正常效力，甚至系统解体6主控主机合法用户效力恳求被回绝Internet僵尸DDoS Attack Illustrated. DDoS攻击分为3层：攻击者、主控端和代理端，三者在攻击中扮演着不同的角色。攻击者主控端代理端.1Trinoo Trinoo的攻击方法是向被攻击目的主机的随机端口发出全零的4字节UDP包，在处置这些超出

21、其处置才干的渣滓数据包的过程中，被攻击主机的网络性能不断下降，直到不能提供正常效力，乃至解体。它对IP地址不进展修正，采用的通讯端口如下。攻击者主机到主控端主机：27665/TCP。主控端主机到代理端主机：27444/UDP。代理端主机到主效力器主机：31335/UDP。常见的DDoS工具：.2TFN TFN由主控端程序和代理端程序两部分组成，它主要采取的攻击方法为SYN风暴、Ping风暴、UDP炸弹和SMURF，具有伪造数据包的才干。.3TFN2K TFN2K是由TFN开展而来的，在TFN所具有的特性上，TFN2K又新增一些特性。 它的主控端和代理端的网络通讯是经过加密的，中间还能够混杂了许

22、多虚伪数据包，而TFN对ICMP的通讯没有加密。 .4Stacheldraht 检测DDoS攻击的主要方法有以下几种。根据异常情况分析运用DDoS检测工具 .3.1.5 回绝效力攻击的防护 通常建议用户可以采取以下手段来保证网络可以抵御回绝效力攻击。 添加网络中心设备的冗余性，提高对网络流量的处置才干和负载平衡才干。 经过路由器配置访问列表，过滤掉非法流量。 部署防火墙，提高网络抵御网络攻击的才干。 部署入侵检测设备，提高对不断更新的DoS攻击的识别和控制才干。.3.2 SQL数据库平安3.2.1 数据库系统概述3.2.2 SQL效力器的开展.3.2.3 数据库技术的根本概念 数据Data 数

23、据库DB 数据库管理系统DBMS 数据库系统DBS 数据库技术 数据模型.3.2.4 SQL平安原理1第一级平安层次 为方便效力器管理，每个SQL Server有多个内置的效力器角色，允许系统管理员给可信的实体授予一些功能，而不用使他们成为完全的管理员。 效力器中的一些角色如表3.1所示。.服务器角色描述sysadmin可以执行SQL Server中的任何任务securityadmin可以管理登录serveradmin可以设置服务器选项（sp_configure）setupadmin可以设置连接服务器，运行SP_serveroptionprocessadmin管理服务器上的进程（有能力取消连接

24、）diskadmin可以管理磁盘文件dbcreator可以创建、管理数据库bulkadmin可以执行BULK INSERT指令表3.1效力器角色及其主要功能 .2第二级平安层次3第三级平安层次1用户定义的角色2固定数据库角色.固定数据库角色描述db_owner可以执行所有数据库角色的活动db_accessadmin可以增加或删除Windows组、用户和数据库中的SQL Server用户db_datareader可以阅读数据库中所有用户表的数据db_datawriter可以写或删除数据库中所有用户表的数据db_ddladmin可以增加、修改或放弃数据库的对象db_securityadmin可以管

25、理角色和数据库角色的成员，管理数据库的参数和对象权限db_backupoperator可以备份数据库db_denydatareader不能选择数据库的数据db_denydatawriter不能改变数据库的数据表3.2数据库角色及其主要功能 .3.3 SQL Server攻击的防护 微软的SQL Server是一种广泛运用的数据库，很多电子商务网站、企业内部信息化平台等都是基于SQL Server的，但是数据库的平安性还没有和系统的平安性等同起来，多数管理员以为只需把网络和操作系统的平安做好了，那么一切的运用程序也就平安了。.3.3.1 信息资源的搜集 在讨论如何防守攻击者之前，必需求了解攻击者如何查找和浸透SQL Server或基于SQL Server的运用程序。 攻击者能够有许多缘由来选择潜在的目的，包括报仇、利益或恶意。 永远不要假定本人的效力器“飞得太低，以致于不能显示在他人的雷达屏幕上。. 许多攻击者只是由于高兴而扫描IP范围，假定本人的ISP或内部网络被这些人骚扰了，那就要做最坏的计划。 如今评价SQL Server被发现的方法，可以经过网络，也可以经过企业内部