任务6.3 DDOS入侵应急响应

DDoS攻击定义

DDoS全称DistributedDenialofService，意思为“分布式拒绝服务”，即利用大量合法的分布式服务器对目标发送请求，从而导致正常合法用户无法获得服务。示意图如下：1DDoS攻击特点2DDoS攻击特点

借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动攻击，从而成倍地提高拒绝服务攻击的威力。达到阻止目标业务运转和系统瘫痪的目的。3DDoS攻击方式主要分为以下三类：攻击网络宽带资源直接攻击反射和放大攻击链路攻击攻击系统资源TCP连接攻击SSL连接攻击攻击应用资源DNS服务攻击Web服务攻击DDoS攻击方式4DDoS攻击方式-攻击网络宽带资源直接攻击使用大量的受控主机向被攻击目标发送大量的网络数据包，以沾满被攻击目标的宽带，并消耗服务器和网络设备的网络数据处理能力，达到拒绝服务的目的。5DDoS攻击方式-攻击网络宽带资源反射和放大攻击反射攻击又被称为DRDoS（分布式反射拒绝服务）攻击，是指利用路由器、服务器等设施对请求产生应答，从而反射攻击流量并隐藏攻击来源的一种分布式拒绝服务攻击技术。6DDoS攻击方式-攻击网络宽带资源链路攻击攻击链路与以前介绍的几种攻击方法有所不同，其攻击的目标并不是作为互联网断点的服务器的宽带资源，而是骨干网上的链路的宽带资源，对链路进行攻击的一种典型的方式是Coremelt攻击。

Coremelt是安全研究人员在2009年提出的一种针对链路的分布式拒绝服务攻击方法，攻击者需要控制一个分布足够广泛的僵尸网络来发动Coremelt攻击。攻击者通过traceroute等手段来判断各个僵尸主机和将要攻击的链路之间的位置关系，并根据结果将僵尸主机分为两个部分，使两部分主机进行通信并收发大量数据，这样，大量的网络数据包就会经过骨干网上的被攻占链路，造成网络拥堵和延时。7DDoS攻击方式-攻击网络宽带资源链路攻击以下为链路攻击示意图：8DDoS攻击方式-攻击系统资源TCP连接攻击

TCP是一种面向连接的、可靠的、基于字节流的传输层通讯协议，不同主机连接通常通过TCP协议来实现。TCP连接包括三个阶段：连接创建，数据传送和连接终止，由于在协议的设计过程当中只专注于协议的可用性，而没有对协议的安全性进行比较周密和详细的考虑，因此TCP协议存在很多安全缺陷和安全性问题，主要分为以下攻击方式：1）TCP洪水连接攻击2）SYN洪水攻击3）PSH-ACK洪水攻击4）RST洪水攻击5）Sockstress攻击9DDoS攻击方式-攻击系统资源TCP连接攻击1）TCP洪水连接攻击：此种攻击方式是在三次握手过程中，服务器会创建并保存TCP连接的信息，这个信息通常被保存在连接表结构中，一旦服务器接收到的连接数量超过了连接表能存储的数量，服务器就无法创建新的TCP连接了。攻击者可以利用此原理，快速建立大量恶意的TCP连接占满被攻击目标的连接表，使目标无法接受新的TCP连接请求，从而达到拒绝服务攻击的目的。10DDoS攻击方式-攻击系统资源TCP连接攻击2）SYN洪水攻击：在建立TCP连接的过程中，如果服务器返回SYN+ACK报文后，客户没有对其进行确认，这时服务器端就需要重传SYN+ACK报文，并等待客户端的确认报文直到TCP连接超时，此种攻击就是利用受控主机发送大量的TCPSYN报文，占满服务器的连接表，从而影响正常用户与服务器建立会话，造成拒绝服务。11DDoS攻击方式-攻击系统资源TCP连接攻击3）PSH-ACK洪水攻击：在TCP数据传输的过程中，通过设置PSH标志位来表示当前数据传输结束，由于带有PSH标志位的TCP数据包会强制要求接收端将接收缓冲区清空并将数据提交给应用服务进行处理，因此当攻击者利用受控主机向攻击目标发送大量的PSH+ACK数据包时，被攻击目标就会消耗大量的系统资源不断地进行接收缓冲区的清空处理，导致无法正常处理数据，从而造成拒绝服务。12DDoS攻击方式-攻击系统资源TCP连接攻击4）RST洪水攻击：在TCP连接中，RST表示复位，用来在异常时关闭连接，发送端发送RST报文时会直接丢弃缓冲器的数据，接收端在收到RST报文后，也会清空缓冲区并关闭连接，并且不必发送ACK报文进行确认。攻击者可以利用RST报文的这个特性，发送伪造的带有RST标志位的TCP报文，强制中断客户端与服务端的TCP连接。13DDoS攻击方式-攻击系统资源TCP连接攻击5）

Sockstress攻击：

此种攻击是一种慢速攻击。在TCP传输数据时，并不是将数据直接递交给应用程序处理，而是先临时存储在接受缓冲区里，该接收缓冲区的大小是由TCP窗口表示的，如果TCP窗口大小为0，则表示接收缓冲区已被填满，发送端应该停止发送数据，直到接收端的窗口发生了更新，Sockstress攻击就是利用该原理长时间维持TCP连接，以达到拒绝服务攻击的目的。14DDoS攻击方式-攻击系统资源SSL连接攻击安全套接层是为网络通信提供安全及数据完整性的一种安全协议，SSL能够在传输层对网络连接进行加密，以防止传输的数据明文被监听和截获。然而，SSL协议加密、解密和秘钥协商的过程中会消耗大量的系统资源，严重降低机器的性能，因此，通常只有在传输密码等机密信息时才使用SSL协议进行传输。攻击者可以利用SSL协议消耗资源的特性进行拒绝服务攻击。有如下两种攻击方式：1）SSL洪水攻击2）THCSSLDOS攻击

15DDoS攻击方式-攻击系统资源SSL连接攻击

1）SSL洪水攻击：在SSL握手的过程中，服务器会消耗较多的CPU计算资源进行加解密，并进行数据的有效性检验，对于客户端发过来的数据，服务器需要先花费大量的计算资源进行解密，之后才能对数据的有效性进行检验，攻击者可以利用这个特性进行SSL洪水攻击。16DDoS攻击方式-攻击系统资源SSL连接攻击

2）THCSSLDOS攻击：

这是安全研究人员在2011年提出的一种针对SSL的拒绝服务攻击方法，在进行SSL连接并握手之后，攻击者反复不断的进行秘钥重新协商过程，而秘钥重新协商过程需要服务器投入比客户端多15倍的CPU计算资源，如果有大量主机同时进行攻击，则会使服务器忙于协商秘钥而完全停止响应。17DDoS攻击方式-攻击应用资源DNS服务攻击

DNS服务是互联网的一项核心服务，通过使用DNS，人们在访问网络时不需要记住其IP地址，而只需输入其域名即可，在IPv6网络环境下，由于IP地址由原来的32位扩展到了128位，变得更加难以记忆，DNS服务也就变得更加重要，当DNS服务的可用性收到威胁时，互联网上的大量设备都会受到影响甚至无法正常运行，历史上曾有多次针对DNS的攻击事件，都造成了较大影响。针对DNS服务的攻击方法主要有以下两种：1）DNSQUERY洪水攻击2）DNSNXDOMAIN洪水攻击18DDoS攻击方式-攻击应用资源DNS服务攻击1）DNSQUERY洪水攻击：在DNS解析的过程中，客户端发起一次查询请求，这个过程中会消耗一定的计算和网络资源，如果攻击者利用大量受控主机不断发送不同域名的解析请求，那么DNS服务器的缓存会被不断刷新，这会极大的增加DNS服务器的资源消耗，导致DNS响应缓慢甚至完全拒绝服务。19DDoS攻击方式-攻击应用资源DNS服务攻击2）DNSNXDOMAIN洪水攻击：

此种攻击是DNSQUERY洪水攻击的一个变种攻击方式，攻击时，DNS服务器会进行多次域名查询，使其缓存会被大量NXDOMAIN记录所填满，导致响应正常用户的DNS解析请求的速度变慢，达到攻击的目的20DDoS攻击方式-攻击应用资源Web服务攻击近年来，web技术发展非常迅速，人们可以通过浏览器使用web服务，简单方便的获取需要的信息，而许多机构和企业的重要信息和关键业务也是通过web服务的方式对外提供，一旦web服务受到解决服务攻击，就会对其承载的业务造成致命的影响。

主要分为以下几种攻击方式：1）HTTP洪水攻击2）Slowloris请求攻击3）Slowpost请求攻击4）数据处理过程攻击21DDoS攻击方式-攻击应用资源Web服务攻击

1）HTTP洪水攻击：如果攻击者利用大量的受控主机不断的向web服务器发送恶意大量HTTP请求，要求web服务器处理，就会完全占用服务器的资源，造成其他正常用户的web访问请求处理缓慢设置得不到处理，导致拒绝服务，这就是HTTP洪水攻击。22DDoS攻击方式-攻击应用资源Web服务攻击

2）Slowloris请求攻击：这是一种针对web服务器的慢速HTTP攻击，由安全研究人员在2009年提出。攻击者在发送HTTPGET请求时，缓慢的发送无用的header字段，并且一直不发送结束标志，这样就能够长时间占用与web服务器的连接，从而利用大量受控主机发送这种请求并持续占用这些连接，就会耗尽web服务器的连接资源，导致其他用户的http请求无法被处理，造成拒绝服务。23DDoS攻击方式-攻击应用资源Web服务攻击

3）SlowPOST请求攻击：这也是一种针对web服务器的慢速http攻击，由安全研究人员在2010年提出，与Slowloris请求攻击不同的是，SlowPOST请求攻击利用缓慢发送HTTPBODY的方式达到占用并耗尽web服务器连接资源的目的。24DDoS攻击方式-攻击应用资源Web服务攻击

4）数据处理过程攻击：

web服务器在收到HTTP请求之后，需要检查并处理其中的数据，通过恶意构造请求数据的内容，攻击者可以显著的增加数据处理过程中的资源消耗，造成拒绝服务攻击。这里以哈希冲突拒绝服务攻击为例进行说明。web应用在处理请求中的POST数据时，通常使用键-值对的方式来进行存储，在PHP、Python、Java等语言中，键-值对的实质是一个哈希表，web应用程序通过计算“键”的哈希来获取其所对应的的“值”。正常情况下，这个哈希表的哈希冲突较少，因此进行查找和插入的速度很快。25DDoS攻击方式-攻击应用资源Web服务攻击

4）数据处理过程攻击：如果攻击者构造一组恶意的POST数据，使得请求中的“键”的哈希值全部相同，那么保存POST数据的哈希表就会因此退化成为链表，对哈希表的查找和插入等操作规则变成了对链表的遍历操作，造成大量的计算资源被占用，导致拒绝服务攻击。如下图所示。26DDoS攻击应急响应应急响应措施：1）流量型（直接）—流量未超过链路带宽—本地清洗2）流量型（直接）—流量超过链路带宽—通知运营商清洗||临时扩容||云清洗—本地清洗针对SYN、ACK、UDP、ICMP等类型的flood攻击：一般情况下：本地清洗设备的防御算法都可以轻松应对。比如说首包丢弃、IP溯源等。特殊情况下：可以再次基础上增加一些限速，至少就可以保证在遭受攻击的时候保持业务基本的可用性。如果通过排查发现发生攻击源IP具有地域特征，可以根据地域进行限制（大量来自国外的攻击尤其适用）。3）流量型（反射）—流量未超过链路带宽—本地清洗27DDoS攻击应急响应应急响应措施：4）流量型（反射）—流量超过链路带宽—通知运营商清洗||临时扩容||云清洗—本地清洗针对NTP、DNS、SSDP等类型的反射攻击：一般情况下：本地清洗设备的防御算法都可以有效的进行缓解。比如说对UDP碎片包的丢弃，以及限速等。特殊情况下：由于反射攻击的特征大多呈现为固定源端口+固定目的IP地址的流量占了整个链路带宽的90%+我们可以针对这些特征配置更加彻底的丢弃规则28DDoS攻击应急响应应急响应措施：5）CC—本地清洗—本地清洗效果不佳后—-云清洗针对CC