初探DDos

偏执的太偏执、 2023-01-05 03:54 116阅读 0赞

### 文章目录 ###

*  1. 前言
 *  2. 什么是DDos
 *  3. 死亡之ping
 *  补充：CC攻击
 *  4. DDos攻击的分类
 *   *  4.1.Flood型DDos攻击
     *  4.2.反射型DDos攻击
     *  4.3.协议层面的攻击
 *  补充：云业务相关的DDos攻击的解决方案
 *  5. DDos攻击涉及到的业务
 *  6.总结
 *  7.参考文章
 *  补充：

# 1. 前言 #

刚接触网络安全行业就听到过DDos这个词汇但是没有深入了解过，今天看了别人的文章，对DDos有了一点点自己的理解，于是写下这篇文章做一个记录。

# 2. 什么是DDos #

全名是分布式拒绝服务攻击(Distributed Denial of Service)，DDos攻击轻则使得网络变的十分缓慢，重则使得服务器无法提供服务。总的来说使用DDos攻击的人的目的主要为：  
1.炫技  
2.恶意报复  
3.敲诈勒索  
4.商业竞争  
早些年间的`死亡之ping`就是一个典型的DDos攻击。

# 3. 死亡之ping #

1996年的因特网出现了ping of death，它一种畸形报文攻击，方法是由攻击者故意发送大于65535字节的ip数据包给对方。  
TCP/IP的特征之一是分片，它允许单一IP包被分为几个更小的数据包，但前提是包的大小必须小于65535，如果收到一个数据量大于65535的包的话，系统是不知道怎么处理的，这时候整个系统就有可能会被冻结、宕机或重新启动。

利用这种原理的攻击被成为[死亡之ping][ping]。

# 补充：CC攻击 #

CC攻击的原理是通过代理服务器或者大量肉鸡模拟多个用户访问目标网站的动态页面，制造大量的后台数据库查询动作，消耗目标CPU资源，造成拒绝服务。CC不像DDoS可以用硬件防火墙来过滤攻击，CC攻击本身的请求就是正常的请求。它之所以叫CC攻击，是因为CC攻击的出现是为了对抗那些抗DDos的设备的，过去抗DDos的设备叫黑洞，CC就是"抗黑洞"的意思。

# 4. DDos攻击的分类 #

## 4.1.Flood型DDos攻击 ##

最常见的类型，洪水(Flood)DDos攻击，其中包含了SYN Flood、ACK Flood、UDP Flood、ICMP Flood等攻击方法。

1.`syn Flood`

> 原理：  
> 这种攻击总体来说就是通过产生虚假的TCP连接来消耗掉服务器的CPU。

防御方法：以性能更加强大的设备代替服务器去处理那些TCP连接，防御的本质是设备性能的对抗。随着各大运营商对伪造源IP地址的数据包的治理，很多伪造源IP的包都被路由器丢弃了，威力大打折扣。

还有一种SYN Flood攻击是发送一个很大的SYN包来阻塞网络，防御方法是直接丢弃掉过大的SYN包。

2.`UDP Flood`

> 原理  
> 通过将大量的UDP包发送到目标服务器来阻塞机房带宽，格式一般是固定的。

防御方法：丢弃掉这些非业务端口或者特定格式的UDP包即可。同样随着运营商的治理，伪造源IP的UDP包威力也大减，所以导致攻击者必须依靠庞大的僵尸网络实施真实IP的攻击。

现在有一种攻击方式，黑客控制一些IoT设备来作为肉鸡进行DDos攻击，防御方法就是发现如果是DDos攻击直接拉黑这个IP。

3.`ack flood`  
细节参考文章：https://blog.csdn.net/turk/article/details/51798579

整体来说影响比SYN型的要小，但是发现有一些TCP服务会对ACK Flood比较敏感，比如说JSP Server，在数量并不多的ACK小包的打击下，JSP Server就很难处理正常的连接请求。对于Apache或者IIS来说，10kpps的ACK Flood不构成危胁，但是更高数量的ACK Flood会造成服务器网卡中断频率过高，负载过重而停止响应。可以肯定的是，ACK Flood不但可以危害路由器等网络设备，而且对服务器上的应用有不小的影响。

一些防火墙应对的方法是：建立一个hash表，用来存放TCP连接“状态”，相对于主机的TCP stack实现来说，状态检查的过程相对简化。例如，不作sequence number的检查，不作包乱序的处理，只是统计一定时间内是否有ACK包在该“连接”上通过，从而“大致”确定该“连接”是否是“活动的”。

4.`icmp flood`  
通过大量的icmp数据包的发送来进行攻击。现在已经用的比较少了，因为很多服务器会选择过滤icmp报文。

## 4.2.反射型DDos攻击 ##

简单来说，通过一个小的请求流量获得一个很大的流量响应，并利用协议漏洞将这组很大的响应流量引导至被攻击的目标机器，具体细节可看[DNS反射型DDos攻击实例][DNS_DDos]。

大概实现过程是这个样子的：

我们首先需要知道一般情况下ISP的DNS解析器会被设置为仅回答来自ISP客户端的请求。但不幸的是，存在大量配置错误的DNS解析器，它们会接受来自Internet上任何人的查询。DNS查询通常通过UDP协议发送。UDP是一劳永逸的协议，这意味着无需握手即可确定数据包所说的实际来自何处。这意味着，如果您是攻击者，则可以伪造UDP数据包的源IP，然后将该伪造的数据包发送到开放的DNS解析器。DNS解析器将回复伪造的IP地址，并回答所问的任何问题。

有时候攻击者会请求[DNSSEC][]记录来进行攻击，因为此记录的返回数据很大。

`防御方法：`过滤掉业务无关的协议的包。例如业务只会用到TCP协议，那么就过滤掉所有UDP协议的包，或者过滤掉不重要端口的数据包等。

下图为某一时期反射型DDos攻击的分类比例：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]

## 4.3.协议层面的攻击 ##

针对于游戏业务，攻击者采用小流量的UDP Flood攻击业务端口，导致游戏内的房间崩溃，但不会使得整个服务器崩溃。

对抗方式：修改业务端口接收流量的方式，只允许接收符合游戏协议的特定格式的UDP包，或者给每个UDP包上加上TOKEN，进而达到过滤无效流量的效果。

# 补充：云业务相关的DDos攻击的解决方案 #

云上客户与公司业务同事不同，云上客户人数多而且容忍度低，此环境下的攻击强度也会更大。云上业务复杂，很多时候过往经验并不适用，有一些客户的系统健壮性不足，很小流量的攻击系统就崩溃了，根本来不及触发防护阈值，所以需要针对的定制化方案来进行问题解决。

# 5. DDos攻击涉及到的业务 #

主要为游戏业务，具体情况如下图所示：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]

# 6.总结 #

以下是腾讯安全应急响应中心的文章的原话，说得十分清楚明了：

> DDoS攻击和防护的本质是攻防双方资源的对抗，一方要不断囤积大量资源具备超大流量输出，一方要不断建设能够抗住超大流量的带宽，对抗的成本和激烈程度甚至可以用军备竞赛来形容（每年我们的服务器运营成本就是数千万）。跟入侵一样，大部分普通攻击比较容易防护，真正厉害的是顶尖高手（比如利用核心交换路由系统bug进行DoS的几十字节数据包，再比如针对防护设备本身的DDoS……）  
> 技术对抗是一方面，在技术之外的刑事打击和震慑必不可少。腾讯“守护者计划”安全团队也会配合警方对黑产进行打击，破获的几起DDoS攻击大案有效地遏制了国内DDoS攻击态势。

# 7.参考文章 #

[军备竞赛：DDoS攻击防护体系构建][DDoS]  
[DNS反射型DDos攻击实例][DNS_DDos]  
[宙斯盾系统构建之路—系统介绍][Link 1]  
[论持久战——带你走进腾讯DDoS防护体系][DDoS 1]

--------------------

# 补充： #

1.一个完善的DDos防御设备应该具有三种功能，分别为流量分析系统，流量清洗系统和策略联动系统。

*  检测系统负责分析流量和产生攻击告警。业界已有的DDoS攻击流量检测方法主要是通过对网络中的数据类型，如：协议，标志位，应用层特征（GET/POST）进行统计，当统计结果偏离原有模型、阈值时，则认为攻击发生。
 *  流量清洗系统负责丢弃网络中的攻击流量，并将正常用户请求回送至服务器。

> DDoS攻击流量清洗过程可以简单的分成6步：
> 
> 1、检测系统通过流量分析检测到攻击发生。
> 
> 2、自动启动保护。
> 
> 3、防御设备通过和核心交换机的BGP 邻居关系，宣告BGP路由，将被攻击的服务器的流量引入防御设备，实现逻辑上的串行。
> 
> 4、攻击流量通过防御设备清洗，防御设备通过特定的防御算法将攻击流量丢弃。
> 
> 5、防御设备将正常流量会送至服务器。

*  策略联动系统负责根据被攻击的业务的流量特征制定防御策略。

[ping]: https://baike.baidu.com/item/Ping%20of%20Death
[DNS_DDos]: https://blog.cloudflare.com/65gbps-ddos-no-problem/
[DNSSEC]: https://blog.csdn.net/huangzx3/article/details/86526068
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]: /images/20221119/c341e165a06c4682accd9dc00de37842.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20210111161601457.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70
[DDoS]: https://security.tencent.com/index.php/blog/msg/128
[Link 1]: https://security.tencent.com/index.php/blog/msg/62
[DDoS 1]: https://security.tencent.com/index.php/blog/msg/71