Wireshark把DDoS照原形(下)

简介: Wireshark把DDoS照原形

5 为啥UDP易被用做DDoS?

TCP也可被DDoS用,但同样成本,反射型攻击更高效。反射型攻击主要基于UDP

5.1 UDP报文简单易构造

UDP头部。 RFC768 定义UDP头部的格式:

UDP头部仅8字节:

  • 2字节源端口
  • 2字节目的端口
  • 2字节报文长度
  • 2字节校验和

Wireshark看UDP报文:

TCP头部复杂多,还有序列号、确认号、各种标志位、各种TCP扩展选项。UDP报文头部因简单,减少攻击者伪造难度,只要做到:

  • 伪造一个源IP
  • 找到NTP等有反射攻击漏洞的服务器
  • 向这些服务器发送构造好的虚假的UDP报文

5.2 UDP是无状态的

更关键 原因。UDP无状态的,不

但TCP先要三次握手,如攻击者SYN报文源地址是伪造成【被攻击站点IP】,SYN+ACK报文就直接回复到那个站点IP,而非攻击者。然后被攻击站点收到一个莫名其妙SYN+ACK,直接被RST,TCP握手结束,攻击中止。

跳过TCP握手,直接发应用层请求(源地址还是伪造成【被攻击站点的IP】)给反射服务呢?直接被RST,因为连握手都没做过。

即使通过握手,后续通信双方还有对序列号和确认号进行校验等机制。虽然这些技术上都可实现,但难度大很多,而选择UDP不需考虑这些。

所以, 用TCP就是直接攻击,不是反射攻击。如SYN攻击、半连接攻击、全连接攻击、CC攻击等。“性价比”反射攻击优势大。

6 对抗DDoS?

以后发现服务异常,如客户端请求十分卡顿,就在服务端抓包分析,就能快速定位是否DDoS攻击。

更简单直接证据,你的公网接口带宽使用图,如图上有明显突增,甚至达到了接口带宽的上限,那也基本可以判定是遭遇DDoS。

6.1 高防

服务架在公有云,考虑使用云商或其他专业安全服务商的高防产品。

高防需放置在源站前面的一类安全防护和清洗系统。它利用自身足够大带宽及强大防护清洗集群,实现流量清洗,最终把攻击流量拦截,清洗过后正常流量进入源站:

源站,就是被攻击的站点。

高防按时计费费用高昂,一般平时不接入高防。只有探测到被攻击,才自动或手动转高防。“接入高防”就是把站点域名指向高防域名,就把流量先流向高防,再经清洗后回到源站。

如攻击者不通过域名解析,盯IP攻击呢?把老IP解绑,让攻击流量进入路由黑洞,然后绑定新IP。不要暴露新IP信息,它只能给高防回源用,不能让更多人知道。

从防护的生效点,高防作用在 服务端侧。如我们能 在攻击的源头就做防护,效果更好?另一类DDoS防护产品的设计思想,典型产品电信云堤。


6.2 云堤

运营商自己系统,而无论被攻击站点还是肉机,都依托运营商公网线路才能进因特网,所以云堤 具有“地理”上的天然优势。可作用在肉机攻击流量进入骨干网之前,所以很可能这些攻击都没有机会走到被攻击站点的跟前了,相当于“扼杀在摇篮里”。


6.3 anycast和多POP

我们知道了DDoS的本质是挤占网络带宽,那么对付它的核心策略就是:

  • 用更大的带宽来接纳,先解决正常流量被挤出网络的问题。
  • 在接纳后进行清洗,把正常流量识别出来,发回给源站,让业务继续进行。

前面介绍了高防和云堤,两者分别在被攻击站点的近端和远端起到了作用,也都是商业服务。那么,另外一种方式是自己搞定,这也是一些 自身规模比较大的网站会部署的架构,它就是anycast和多POP。


anycast是网络术语,是指 多个地点宣告同一个网段或者同一个IP地址的行为。比如,最典型的电信的DNS服务地址114.114.114.114,还有谷歌的DNS服务8.8.8.8,就是在全国乃至全球各处做了anycast的IP地址。与这个词类似的,还有unicast和multicast,分别是指单播和多播。


比较大型的网站都会在各地部署POP点(也就是多POP),然后这些POP点会宣告相同的IP段。一旦有DDoS攻击,因为它的目标IP是属于anycast网段的,所以会被因特网的路由策略,相对均匀地分布到这些POP。


假如你有20个POP点宣告同一个网段,那么你就有机会把DDoS攻击化整为零,平均每个POP点承受1/20的攻击流量,大大降低了危害性。在攻击流量不高的时候,仅依靠自己的多个POP就可以吸收掉这些攻击流量,然后用自己的设备进行清洗就可以了。


anycast+多个POP+自有的清洗设备,这一整套做好以后,相当于自己建设了一个中小型的高防系统。

补充:这里的anycast一般是作用在网段级别。而在单个IP级别的anycast应用还较局限,目前主要还是主要应用在基于UDP的服务,比如DNS服务上。基于anycast的HTTP是比较前沿的领域,目前有少数公司已经开始实践,相信在不久的将来,应该会看到越来越多的公司应用HTTP over anycast。

6.4 CDN

前一点类似,CDN也通过“多点分布”防护或缓解DDoS。CDN服务商一般也采用anycast等策略混合使用,使其防护DDoS能力更出色。

7 总结

NTP反射攻击和SSDP反射攻击这两个典型的DDoS案例,了解反射放大攻击特点,主要利用:

  • IP协议不对源IP进行校验,可伪造源IP,把它设定为被攻击站点的IP,这样就可以把响应流量引向被攻击站点。
  • UDP协议是无连接的,可直接进行应用层一问一答,这就使得IP欺骗可以奏效。
  • 某些服务具有“ 响应报文的大小是请求报文的很多倍”特点,使攻击“四两拨千斤”

系统性地分析了DDoS核心方法,“ 耗尽网络带宽”让被攻击站点无法正常提供服务。在排查方面,当我们发现服务异常时,在服务端做抓包分析,可以快速定位是否有DDoS攻击。也可以直接根据带宽使用图,关注到突发的巨型流量时也可以直接判定是DDoS攻击。

应对DDoS攻击的策略:

  • 高防产品,可以防护非常巨大的攻击流量。
  • 如对防护效果有更高需求,可以使用运营商的 云堤类的产品。
  • 自身条件足够,部署 多POP和anycast,平均吸收攻击流量。
  • 也可 CDN,让CDN天然分布式布局减轻DDoS影响

新命令 capinfos快速获取到抓包文件的整体信息,包括括抓包时长、总报文量、平均报文大小等信息。关于如何在Wireshark里解读出报文字段的长度,你也要知道至少下面这两种方法:

  • 选中要解读的报文字段,然后在下面的字节码部分,数一下有底色的字节个数。
  • 还是选中要解读的报文字段,在底边栏里也有对应的字节数的显示。
  • UDP载荷最好不要超过512字节,IPv4协议规范建议,NTP和DNS这些基于UDP的协议都实现这规范。

8 FAQ

  • “肉机”发出100Mbps的攻击流量,到达被攻击站点的时候,仍然是100Mbps吗?为什么呢?
  • 为什么CDN可以达到缓解DDoS的效果呢?

https://www.wangan.com/docs/1231

目录
相关文章
|
7月前
|
安全 网络协议 Linux
Wireshark把DDoS照原形(上)
Wireshark把DDoS照原形
155 0
|
5天前
|
运维 安全 网络安全
DDoS攻击升级,解读防御DDoS攻击的几大有效方法
DDoS攻击升级,解读防御DDoS攻击的几大有效方法
44 0
|
5天前
|
存储 人工智能 安全
DDoS攻击激增,分享高效可靠的DDoS防御方案
DDoS攻击激增,分享高效可靠的DDoS防御方案
67 0
|
5天前
|
安全 网络协议 网络安全
DDOS攻击原理
DDOS攻击原理
8 0
|
5天前
|
机器学习/深度学习 监控 安全
【网安】DDoS攻击:方法、影响与防御策略
【网安】DDoS攻击:方法、影响与防御策略
24 0
|
5天前
|
存储 Serverless 网络安全
Serverless 应用引擎产品使用之阿里云函数计算中的Web云函数可以抵抗网站对DDoS攻击如何解决
阿里云Serverless 应用引擎(SAE)提供了完整的微服务应用生命周期管理能力,包括应用部署、服务治理、开发运维、资源管理等功能,并通过扩展功能支持多环境管理、API Gateway、事件驱动等高级应用场景,帮助企业快速构建、部署、运维和扩展微服务架构,实现Serverless化的应用部署与运维模式。以下是对SAE产品使用合集的概述,包括应用管理、服务治理、开发运维、资源管理等方面。
27 0
|
5天前
|
安全 网络安全 API
DDoS攻击愈演愈烈,谈如何做好DDoS防御
DDoS攻击愈演愈烈,谈如何做好DDoS防御
35 0
|
5天前
|
存储 安全 应用服务中间件
解密Nginx限流机制:有效应对DDoS攻击与高并发流量
解密Nginx限流机制:有效应对DDoS攻击与高并发流量
63 0
|
5天前
|
负载均衡 安全 网络协议
突发!亚洲游戏行业遭遇史上最大黑客 DDoS 攻击
游戏行业遭受频繁DDoS攻击,导致服务中断,例如欧洲国家安道尔全国近断网半小时。黑客利用低成本的DDoS手段勒索,尤其是针对中日韩印的手游市场。最常见的攻击方式是UDP洪水。防御措施包括使用硬件防火墙、抗D盾、负载均衡、SCDN流量清洗和分布式集群防御。游戏公司需平衡成本与安全,以确保服务稳定和玩家体验。在中国,此类攻击属犯罪行为,最高可判处有期徒刑。
|
5天前
|
Linux 网络安全 Windows
如何通过隐藏服务器真实IP来防御DDOS攻击
如何通过隐藏服务器真实IP来防御DDOS攻击