您当前的位置:首页 > 计算机论文>计算机网络论文

浅谈基于校园网拒绝服务攻击的分析及防范

2015-07-02 14:41 来源:学术参考网 作者:未知
  校园网络的建设和普及,给学校的教学和管理、学生的学习生活等多方面带来了极大的方便,并担负着支持全校教学和科研工作的重要职责,然而校园网在网络安全方面并非一方“净土”,从黑客的发展历史看,黑客(入侵者)和校园网络有很深的渊源。
1拒绝服务(dos)攻击在校园网内频繁发生的原因
拒绝服务dos(denialofservice)攻击顾名思义就是使internet中的受攻击对象(主机、服务器、路由器等网络设备)无法提供或者接受正常服务的一种攻击,典型的dos攻击中,攻击者向受害者发送大量的数据从而消耗其资源(网络带宽,路由器上的包缓冲区,目标机器的cpu和内存),从而使用户无法访问所需信息。因此可以说dos是一种损人不利已的攻击行为。
从拒绝服务攻击的原理可以看出,不管是拒绝服务攻击阶段还是分布式拒绝服务攻击的攻击阶段,都需要很高的网络带宽。而校园网络的宽带和大量主机资源,以及学生的好奇,想在教育网络中进行入侵实验的诸多特点,正好满足拒绝服务攻击的要求,这就是校园网成为拒绝服务攻击的“一方乐土”的重要原因。在比较严重的网络攻击事件中,以校园网为“基地”发起的拒绝服务攻击事件令人印象深刻。最著名的是2002年黑客对yaho和ebay等网站发起的拒绝服务攻击,使这些网站的服务一度关闭,据调查,这些攻击就是从校园网络中发起的。
拒绝服务攻击不仅可以利用校园网络为“基地”发起,攻击校园网以外的目标,更多的是攻击校园网内部的目标,特别是在攻击者“练手”的实验阶段。wWw.133229.cOM通过调查发现,校园网的入侵方式中拒绝服务攻击最多,危害也最大。由于校园网具有开放、高带宽、多主机等特点,校园网内部网络入侵一般具有以下特征:
·大规模。所谓大规模,一方面是指发动入侵所涉及的网络范围大或者主机数量多,引起的网络流量大,另一方面指入侵形式不是一对一,而是多对一或多对多。
·分布式。所谓分布式入侵是指从多个地点、多台主机发起甚至是联合发起的。
通过上述对校园网络安全特点的分析,我们可以看出校园网具有拒绝服务攻击存在的种种“优势”。古语云“知己知彼,百战不殆”,因此研究拒绝服务攻击对于校园网的安全,具有非常现实l的意义。
2常见的几种拒绝服务拒绝攻击(dos)
服务拒绝攻击是最容易实施的攻击行为之一,攻击操作方法多种多样,可能是单一的手段,也可能是多种方式的组合利用,dos:~c击主要包括:
(1)死亡之ping
由于在早期的阶段,路由器对包的最大尺寸都有限制,许多操作系统对tcp/ip栈的实现在icmp包上都是规定64kb,并且在对包的标题头进行读取之后,要根据该标题头里包含的信息来为有效载荷生成缓冲区。当产生畸形的,声称自己的尺寸超过icmp上限的包也就是加载的尺寸超过64kb上限时,就会出现内存分配错误,导致tcp/ip堆栈崩溃,致使接收方死机。
防御方法:现在所有的标准tcp/ip.都已实现对付超大尺寸的包,并且大多数防火墙能够自动过滤这些攻击,包括:从wind0ws98之后的windowsnt(servicepack3之后)、linux、solaris和macos都具有抵抗一般死亡之ping攻击的能力。此外,对防火墙进行配置,阻断icmp以及任何未知协议,都能防止此类攻击。
(2)泪滴攻击
泪滴攻击是利用在tcp/ip堆栈中实现信任lp碎片中的包的标题头所包含的信息来实现自己的攻击。对于一些大的lp包,需要对其进行分片传送,这是为了迎合链路层的mtu(最大传输单元)的要求。比如,一个4500字节的lp包,在mtu为1500的链路上传输的时候,就需要分成三个lp包。在lp报头中有一个偏移字段和一个分片标志(mf),如果mf标志设置为1,则表明这个lp包是一个大lp包的片断,其中偏移字段指出了这个片断在整个lp包中的位置。例如,对一个4500字节的ip包进行分片(mtl为1500),则三个片断中偏移字段的值依次为:0,1500,3000。这样接收端就可以根据这些信息成功地组装该lp包。
如果一个攻击者打破这种正常情况,把偏移字段设置成不正确的值,即可能出现重合或断开的情况,就可能导致目标操作系统崩溃。这就是所谓的泪滴攻击。防御方法:服务器应用最新的服务包,或者在设置防火墙时对分段进行重组,而不是转发它们。
(3)udp洪水
各种各样的假冒攻击利用简单的tcp/lp服务,如chargen和echo来传送毫无用处的占满带宽的数据。通过伪造与某一主机的chargen}]~l务之间的一次的udp连接,回复地址指向开着echo。服务的一台主机,这样就生成在两台主机之间的足够多的无用数据流,如果足够多的数据流就会导致带宽的服务攻击。
防御方法:关掉不必要的tcp/ip}]~l务,或者对防火墙进行配置阻断来自internet的这些服务的udp请求。
(4)syn洪水
在tcp/ip的连接建立过程中,正常情况下连接双方需要完成从客户向服务器发送的一个syn请求消息(第一次握手),服务器同意响应的syn—ack(第二次握手),当客户收到syn—ack后,再向服务器发送一个ack消息(第三次握手)的3次握手过程,一个tcp连接才被建立,在3次握手过程中,服务器需要保持所有未完成的握手信息在有限的内存缓冲区中,如果攻击者不停地向该服务器发送syn连接请求,而又不向服务器回复ack信息,内存缓冲区充满了虚假连接的初始信息,该服务器就会对接下来的连接停止响应。防御方法:在防火墙上过滤来自同一主机的后续连接。但是,未来的syn洪水令人担忧,由于释放洪水并不寻求响应,所以无法从一个简单高容量的传输中鉴别出来。

(5)land攻击
land攻击利用了tcp连接建立的三次握手过程,通过向一个目标计算机发送一个tcpsyn报文(连接建立请求报文)而完成对目标计算机的攻击。与正常的tcpsyn报文不同的是,land攻击报文的源lp地址和目的lp地址是相同的,都是目标计算机的lp地址。这样目标计算机接收到这个syn报文后,就会向该报文的源地址发送一个ack报文,并建立一个tcp连接控制结构(tcb),而该报文的源地址就是自己,因此,这个ack报文就发给了自己。这样如果攻击者发送了足够多的syn报文,则目标计算机的tcb可能会耗尽,最终不能正常服务。防御方法:打最新的补丁,或者在防火墙进行配置,将那些在外部接口上入站的含有内部源地址滤掉。
(6)smurf攻击
icmpecho请求包用来对网络进行诊断,当一台计算机接收到这样一个报文后,会向报文的源地址回应一个icmpechoreply。一般情况下,计算机是不检查该echo请求的源地址的,因此,如果一个恶意的攻击者把echo的源地址设置为一个广播地址,这样计算机在回复reply的时候.,就会以广播地址为目的地址,这样本地网络上所有的计算机都必须处理这些广播报文。如果攻击者发送的echo请求报文足够多,产生的reply广播报文就可能把整个网络淹没。这就是所谓的smurf攻击。除了把echo报文的源地址设置为广播地址外,攻击者还可能把源地址设置为一个子网广播地址,这样,该子网所在的计算机就可能受到影响。防御方法:为了防止黑客利用你的网络攻击他人,关闭外部路由器或防火墙的广播地址特性。为防止被攻击,在防火墙上设置规则,丢弃掉icmp包。
(7)fraggle攻击
fraggle攻击是对smurf攻击作了简单的修改,使用的是udp应答消息而~-icmp.防御方法:在防火墙上过滤掉udp应答消息。
(8)电子邮件炸弹
电子邮件炸弹是最古老的匿名攻击之一,通过设置一台机器不断的大量的向同一地址发送电子邮件,攻击者能够耗尽接受者网络的带宽。防御方法:对邮件地址进行配置,自动删除来自同一主机的过量或重复的消息。
(9)畸形消息攻击
各类操作系统上的许多服务都存在此类问题,由于这些服务在处理信息之前没有进行适当正确的错误校验,在收到畸形的信息时可能会崩溃。防御方法:打上最新的服务补丁。
(10)分布式拒绝服务攻击(distributeddenialofservice,ddos)
ddos攻击是网络攻击中最有害的攻击之一,它是在传统的dos攻击基础之上产生的一类攻击方式,单一的dos攻击一般采用一对一的方式,如果用一台攻击机不能起到作用的话,攻击者就使用10台、1oo台……攻击机同时产生攻击,最终导致被攻击的机器无法及时处理请求。
一个比较完善的ddos攻击体系可分成四部分:黑客、控制机、代理攻击机、被攻击目标。在攻击时先由黑客入侵并控制大量的主机从而取得控制权,使他们成为控制机和攻击机,然后在这些被入侵的主机中安装ddos攻击程序,并利用这些被控制的代理攻击机对攻击目标发起ddos攻击,从而成倍地增加了攻击的威力。
3.结语
虽然拒绝服务攻击是一种技术含量低、容易实施的攻击行为,但是它的攻击效果明显而且相当难以防范,因此防范工作至关重要,总的来说应从合理配置路由器的控制流量、科学部署防火墙保护内部网络、及时升级系统软件和应用软件、安装nids、建立与防火墙联动体系等多方面入手,将拒绝服务攻击的危害降到最低。
相关文章
学术参考网 · 手机版
https://m.lw881.com/
首页