Denial of service attack

Kiểu tấn công này không giới hạn ở kết nối mạng tốc độ thấp.Có trường hợp kẻ tấn công lấy truy cập mạng có hơn 100-Mbps dải thông khả dụng, kể tấn công có thể mở cuộc tấn công chống lại

Denial Of Service Attack & Solutions - Tấn công từ chối dịch vụ và các giải pháp

Tấn công từ chối dich vụ ( Denial of Service-DOS) thực sự là thảm họa trên internet,Những Web site lớn như : Yahoo,eBay,Buy.com cũng đã từng bị DOS.Cuộc tấn công DOS nổi tiếng nhất diễn

ra vào tháng 9/1996.Nhà cung cấp dịch vụ internet "Public Access Networks Corporations" (PANIX),đã bị tấn công hơn một tuần ,từ chối dịch vụ Internet cho khoảng 6000 cá nhân và 1000 công ty Một lần nữa xin khuyến cáo rằng DOS là một thảm họa của internet,mọi người không nên

áp dụng phương pháp tấn công này để đi tấn công các Web site Hacker (nói chung trên thế giới ) không coi trọng việc tấn công này,thâmh chí một Newbie cũng có

Kẻ tấn công sẽ chiếm dụng hết Bandwidth của bạn, hãy xét hai tình huống cơ bản sau đây:

Người có đường truyền T1 ( 1.544-Mbps) hoặc cao hơn làm ngập kết nối mạng 56-Kbps(hoặc 128-Kbps) ( lấy đá chọi chứng đây mà - chứng làm sao chứng nổi) Kiểu tấn công này không giới hạn ở kết nối mạng tốc độ thấp.Có trường hợp kẻ tấn công lấy truy cập mạng có hơn 100-Mbps dải thông khả dụng, kể tấn công có thể mở cuộc tấn công chống lại các kết nối T1 và hoàn toàn nhấn chìm T1

Kẻ tấn công sẽ khuếch đại cuốc tấn công của anh ta bằng cách dùng nhiều địa điểm để làm ngập

kết nối mạng của nạn nhân.Bản chất của việc tấn công này là : kẻ tấn công sẽ nhờ vào yếu tố thứ 3 (

" mạng khuếch đại") để làm ngập Bandwidth của nạn nhân

Kiểu tấn công này khác với kiểu tấn công trước ở chỗ kiểu này sẽ chiếm dụng tài nguyên của hệ thống( CPU,RAM ) thay vì chiếm dụng tài nguyên mạng Khi hệ thống bị chiếm hết tài nguyên ( ví

dụ : bộ nhớ ) hệ thống sẽ không thể hoạt đông được dẫn đến bị "treo"

Đây là nhưng lỗi của chương trình ứng dụng,hệ điêu hành Kẻ tấn công sẽ gửi nhưng packet khó hiểu đến nạn nhân nhằm xác định xem Network Stack có xử lí ngoại lệ hay không hay là sẽ làm toàn bộ hệ thông ngừng hoạt động Đối với những CT ứng dụng cần nhập dữ liệu kể tấn công có thể gửi những chuỗi dữ liệu dài đễn hàng ngàn dòng ( dẫn đến tràn bộ đệm dẫn đến hệ thống ngưng

- Tấn công bằng định tuyến và DNS ( Routing and DNS attack) Routing

Đa số các giao thức định tuyến như RIP,BGP không có chứng thực hoặc chứng thức rất yếu , đây là điểm tuyết vời cho kể tân công.Kẻ tấn công sẽ thay đổi tuyến đường hợp lệ bằng cách giả mạo địa chỉ IP nguồn Các nạn nhân sẽ có lưu lượng định tuyến qua mạng của kẻ tấn công hoặc các Black hole

DNS

Kẻ tấn công có thể đổi một lối vào trên Domain Name Server của hệ thống nạn nhân rồi cho chỉ đến

một website nào đó của kẻ tấn công Khi máy khách yêu cầu DNS phân tích địa chỉ bị xâm nhập thành địa chỉ ip, lập tức DNS ( đã bị kẻ tấn công thay đổi cache tạm thời ) sẽ đổi thành địa chỉ ip mà

kể tấn công đã cho chỉ đến đó Kết quả là thay vì phải vào trang Web muốn vào thì các nạn nhân sẽ

Chúng ta sẽ đi vào những phần cụ thể vể tấn công và các biên pháp phòng tránh ( xin mọi người đừng áp dụng những kiến thức trên để đi phá hoại )

Đây có lẽ là kiểu tấn công đáng sợ nhất do tác động của mạng khuếch đại.khi bạn gửi ping request (ICMP ECHO REQUEST)đến một máy tính hoặc một hệ thống mạng, máy tính or hệ thống đó sẽ gửi lại cho bạn ping reply(ICMP ECHO REPLY), dựa vào điều này kẻ tấn công sẽ giả mạo địa chỉ

IP nguồn là nạn nhân và gửi các packet đến mạng khuếch đại ,lúc đó mạng khuếch đại sẽ gửi các packet trả lời như thế cho nạn nhân ( vì kể tấn công đã giả mạo địa chỉ IP là nạn nhân )

-attacker - -> - mạng khuếch

victim < mạng khuếch đại

Smurf attack tận dụng directed broadcast và yêu cầu tối thiểu là 3 diễn vien:

- mạng khuếch đại ( càng lớn thì victim chết càng nhanh )

Solutions

Thực ra đối phó là cả một vấn đề vì không một cá nhân nào làm được mà yêu cầu phải là một cộng đồng ( một cây làm chẳng nên non - 3 cây chụm lại nên hòn núi cao ) Từng cá nhân,công ty,tổ chức phải biết config máy tính,hệ thống của mình để không bị biến thành

Khi bị tấn công các công ty,cá nhân cần phải phối hợp với ISP nhằm giới hạn lưu lựong ICMP,tăng

Theo rõi cuộc tấn công như kiểu này là rất khó nhưng không phải là không được

Để không bị biến thành mang khuếch đại bạn nên vô hiệu hóa chức năng

+Đối với bộ định tuyến của Cisco: vô hiệu hóa bằng lênh

+ Đối với thiết bị khác bạn nên tham khảo tài liệu

+Linux :Áp dụng bức tường lửa ở cấp độ nhân thông qua ipfw.Nhớ biên dịch bức tường lửa sang

ipfwadm -I -a deny -P icmp -D 10.10.10.0 -S 0/0 0 8 ipfwadm -I -a deny -P icmp -D 10.10.10.255 -S 0/0 0 8

SYN flood attack

Đến khi Smurf attack trở nên thình hành thì SYN flood attack ( ở đây tôi gọi tắt là SFA) gây tàn phá nhiều nhất PANIX là một ví dụ điển hình về khả năng tàn phá của SFA Khi hai hệ thống kết nối TCP với nhau,chúng sẽ phải bắt tay nhau qua 3 bước ( phương pháp bắt tay

clien 1 - SYN gửi từ clien -> sever clien 2 < SYN/ACK gửi từ sever - sever clien 3 - ACK gửi từ clien -> sever sau 3 bước trên kết nối mới được thiệt lập giữa hai hệ thống.Trong hoàn cảnh bình thường ,SYN packet từ một công cụ thể trên hệ thông A đến một cổng cụ thể trên hệ thống B trong tình trang LISTEN.Vào thời điểm này kết nối trên hệ thông B ở tình trạng SYN_RECV Vào giai đoạn này hệ thống B sẽ tìm cách gửi packet SYN/ACK về cho hệ thống A Nếu mọi sự ổn thỏa hệ thông A sẽ gửi trả packet ACK,và kết nối truyển sang tình trạng ESTABLISHED

Dù có nhiêu lúc cơ chế này chẳng có vấn đề gì ,nhưng trong hệ thống có những chỗ yếu cỗ hữu để

kẻ tân công có thể lơi dụng để DOS Vấn đề là đa số hệ thông phân phối số lượng tài nguyên nhất định khi thiết lập kết nối tiềm tàng hoặc kết nối chưa được thiết lập hẳn ( SYN_RECV).Tuy rằng 1

hệ thống chấp nhân hàng trăm kết nối vào một cổng cụ thể ( ví dụ như cổng 80 ) nhưng chỉ lấy một

chục yêu cầu kết nối là hết sạch tài nguyên phân phối cho thiết lập kết nối Đây chính là điểm mà

kẻ tấn công sẽ lợi dụng để vô hiệu hóa hệ thống Attacker (hệ thống A ) sẽ gửi SYN packet đến Victim ( hệ thống B) và giả mạo địa chỉ IP của hệ thống C ( hệ thống C này không tồn tại trên thực

tế nha) Lúc đó hệ thống B sẽ sử lí như thế nào ? hệ thống B sẽ gửi packet SYN/ACK đến hệ thống

C Giả sử rằng hệ thống C tồn tại ,nó sẽ gửi packet RST cho hệ thống B (vì nó không khởi đông kết nối).Nhưng chăng đời nào ATTACKER giả mạo IP của một hệ thông tồn tại ,chính vì thế mà hệ thống B sẽ chẳng bao giờ nhận được packet RST từ hệ thông C.Và lúc đó hệ thống B sẽ đặt kết nối này vào hàng đợi ( SYN_RECV).Do hàng đợi kết nối thường rất nhỏ attacker chỉ cần gửi vài packet SYN ( sau 10 giây thì có thể vô hiệu hóa hoàn toàn một cổng )

Solutions

Muốn biết mình có bị tấn công SYN flood không ban có thể dùng lênh :

nếu thấy nhiều kết nối trong tình trạng SYN_RECV thì có nghĩa bạn đang bi tấn công

Vào năm 1997, Secure Network Inc (SNI) bây giờ là Network Associates Inc(NAI) phát hành bài tư vấn về điểm yếu trong thi hành BIND (NAI-0011-BIND vulnerabilities and solutions).Các phiên bản BIND trước 4.9.5 +P1 cache thông tin giả khi kíc hoạt phép đệ quy (recursion) DNS.Recursion cho phép Namesever sử lí yêu cầu mà nó không phuc vụ Khi nameserver nhận vấn tin vùng hoặc tên miền không được nó phục vụ,nameserver này sẽ chuyển vấn tin này cho nameserver khác có thẩm quyền Sau khi nhận hồi âm từ nameserver có thẩm quyền nó sẽ trả lời về bên yêu cầu

Đáng tiếc là khi active recursion trên phiên bản BIND dễ bị tấn công,attacker có thể đầu độc cache của nameserver chuyên tra cứu lặp.Người ta gọi đó là giả mạo mẩu tin PTR ,kiểu tấn công này khai

Attacker cố thuyết phục nameserver cache thông tin ánh sạ từ www.abc.com 0.0.0.10 ( địa chỉ IP

ma ) khi người dùng muốn vào www.abc.com họ sẽ chẳng bao giờ nhận được trả lời từ 0.0.0.10 ( vì đay là địa chỉ ma) Một cách từ chối dịch vụ www.abc.com hiệu quả

Solutions

Để giải quyết vấn đề trong BIND, bạn nâng cấp BIND lên nhưng phiên bản mới (độ bảo mật cao hơn)

Hiện nay,đa số tình trạng từ chối dịch vụ (DOS) đều có dính dáng đến lỗi lập trình trong thi hành IP stack.Vì thi hành IP rất phức tạp và không ngừng phát triển nên xuất hiện lỗi lập trình cũng là điều tất yếu.Tiền đề đằng sau kiểu tấn công này là gửi các packet đến hệ thống đích nhằm khai thác lỗi lập trình.Khi hệ thống đích nhận các packet này do không sử lí chính xác các packet dẫn đến hệ thống bị Crash ( kiểu này hơi bị ác).Sau đay chúng ta sẽ đi vào tưng kiểu tấn công cụ thể và sẽ

Teardrop (giọt nước mắt ) khai thác các chỗ yếu trong mã tái hợp packet Khi truyền đi các packet ,có khi phải chia nhỏ các packet ra thành nhiều phần nhỏ hơn (theo đơn vị truyền tối đa MTU (maximum transmission unit)) mỗi mảnh đều phải có một giá trị offset nhất định để xác định vị trí của mảnh đó trong packet được chuyển đi.Khi đến hệ thống đích sẽ dựa vào các giá tri offset này để ghép lại thành packet(hoàn chỉnh ) như ban đầu.Đây chính là vấn đề, attacker sẽ lợi dụng điểm này để gởi đến hệ thống đích một loạt gói packets với giá trị offset chồng chéo lên nhau Hệ thống đích sẽ không thể nào tái hợp lại các packets này, nó không điều khiển được và có thể bị crash, reboot hoặc ngừng hoạt động nếu số lượng gói packets với giá trị offset

Linux,windows NT &95 sẽ dễ bị tấn công kiểu này

Solutions

Đối với LINUX kiểu tấn công trên đã bị chế ngự trong nhân 2.0.x và 2.2.x Đối với hệ thông NT nên cái service pack mới nhất ( service 3 trở lên )

Windows NT có rò rỉ bộ nhớ trong spoolss.exe vốn cho phép người dùng bất hợp pháp kết nối

đến \\sever\PIPE\SPOOLSS và chiếm hết toàn bộ bộ nhớ khả dụng trên hệ thống đích Tình huống

này sẽ xấu hơn nếu mở tấn công thông qua null session ( phiên rỗng ) bất kể đã kết nối RestrictAnonymous.Kiểu Tấn công này có khi mất thời gian vô hiệu hóa hoàn toàn hệ thống đích và chậm rãi chiếm dụng tài nguyên trong thời gian dài nhằm tránh bị dò tìm

Solutions

Để không bị tấn công kiểu này qua phiên rỗng,bạn phải can thiệp vào Registry và xóa spoolss : HKLM\system\CCS\Serveces\LamanServer\Parameters\Nu llSessionPipes (REG_MULTI_SZ)

Internet Information service (IIS 3.0,4.0) và FTP Server dễ bị tấn công trước tình trạng tràn bộ đệm

vốn cho phép làm ngưng hoạt đông của Server Lệnh này chỉ khả dụng với người dùng đã chứng

thực,tuy nhiên người dùng FTP nặc danh sẽ có truy cập lênh list

Solutions

Cập nhật những phiên bản mới nhất ( càng mới càng tốt)

DDOS yêu cầu phải có ít nhất vài attacker cùng tham gia Đầu tiên các Attacker sẽ cố thâm nhập vào các mạng máy tính được bảo mật kém, sau đó cài lên các hệ thống này chương trình DDOS server( như Trinoo,Tribe flood network-TFN,Wintrinoo,TFN2K ) Bây giờ các Attacker sẽ hẹn nhau đến thời gian đã định sẽ dùng DDOS client kết nối đến các DDOS servers, sau đó đồng loạt ra lệnh cho các DDOS servers này tiến hành tấn công DDoS đến hệ thống nạn nhân

Trinoo

Trinoo làm viêc dưới sự điều khiển từ xa,Attacker( dùng trương trình clien) sẽ gọi đến trương trình

The network: attacker(s) >master(s) >daemon(s) >victim(s)

-+ -+ -+ -+ -+ -+ -+-+

| daemon | | daemon | | daemon | | daemon | | daemon |

CODE

Attacker to Master(s): 27665/tcp

-Việc Điều khiển từ xa Trinoo master thông qua công 27665/TCP Sau khi kết nối attacker phải

-Liên lạc từ Trinoo Master đến Daemon thông qua công 27444/UDP

-Liên lạc giữa Daemon và Master thông qua cổng 31355/UDP

-Khi Daemon khởi động, trước tiên nó sẽ gửi "*HELLO*" tới cho Master,trong khi trờ sự điều

CODE

UDP Packet ID (from_IP.port-to_IP.port): 192.168.0.1.32876-10.0.0.1.31335

45 E 00 00 23 # B1 5D ] 40 @ 00 F8 11 B9 27 C0 A8 00 01 0A 00 00 01 80 6C l 7A z 67 g 00 0F 06 D4 2A * 48 H 45 E 4C L

-Nếu Master gửi lênh "png" đến cho Daemon trên cổng 27444/UDP thì Daemon sẽ trả lời lại bằng

CODE

UDP Packet ID (from_IP.port-to_IP.port): 10.0.0.1.1024-192.168.0.1.27444

45 E 00 00 27 ' 1A AE 00 00 40 @ 11 47 G D4 0A 00 00 01 C0 A8 00 01 04 00 6B k 34 4 00 13 2F / B7 70 p 6E n 67 g 20 6C l 34 4 34 4 61 a 64 d 73 s 6C l UDP Packet ID (from_IP.port-to_IP.port): 192.168.0.1.32879-10.0.0.1.31335

45 E 00 00 20 13 81 40 @ 00 F8 11 57 W 07 C0 A8 00 01 0A 00 00 01 80 6F o 7A z 67 g 00 0C 4E N 24 $ 50 P 4F O 4E N 47 G -Khi muốn kết nối đến Remote command ( mặc định trên cổng 27665/tcp)

CODE

Escape character is '^]' kwijibo

betaalmostdone

trinoo>

CODE

"gOrave" trinoo master server startup ("?? " prompt)

"killme" trinoo master password to control "mdie" command

CODE

die -Shutdown

quit -Log off mtimer N -Đặt thờI gian để tấn công DoS , vớI N nhận giá

dos IP -Tấn công đến một địa chỉ IP xác định mdie pass -Vô hiệu hoá tất cả các Broadcast , nếu như passwd chính xác Một lệnh đưọc gửi tới ("d1e l44adsl") Broadcast để Shutdown chúng Một

mping -Gửi một lệnh ping tới ("png l44adsl") c¸c Broadcast

mdos -Send nhiều lênh DOS ("xyz l44adsl 123:ip1:ip2") đến các Broadcast

info -Hiển thị thông tin về Trinoo msize -Đặt kích thước đệm cho những gói tin được

nslookup host -Xác định tên thiết bị của Host mà Master

usebackup -Chuyển tớI các file Broadcast sao lưu được tạo

bcast -Liệt kê danh sách tất cả các Broadcast có thể

help [cmd] -Đưa ra danh sách các lệnh mstop -Ngừng lại các cuốc tấn công DOS

Daemon commands CODE

aaa pass IP -Tấn công đến địa chỉ IP đã xác định GửI gói tin UDP (0-65534) đến cổng của UDP của địa chỉ IP đã xác định trong một khoảng thời gian xác định được mặc định là 120s hay từ 1 >1999 s bbb pass N -Đặt thờI gian giới hạn cho các cuộc tấn công

Shi pass -Gửi chuỗi “*HELLO*” tới dánh sách Master Server đã được biên dịch trong chương trình trên cổng 31335/UDP png pass -Send chuỗi “Pong” tớI Master Server phát

die pass -Shutdown Trinoo rsz N -Là kích thước của bộ đệm được dùng để tấn

xyz pass 123:ip1:ip3 -tấn công DOS nhiều mục tiêu cùng lúc

Solutions

Việc đư ra phương pháp ỏ đây là vô cùng khó,vì nạn nhân gần như không thể chống lại !tự mỗi hệ thống phải bảo vệ chình mình ,chương tình sử dụng những port UDP cao nên bạn có thể chặn những

Được viết bưởi 1 hacker có tên là: Mixter.Cũng gần giống Trinoo nó làm viêc dưới sự điều khiển từ

xa,Attacker sẽ gọi đến trương trình clien và nó chỉ dẫn cho Daemon tấn công Victim: The network: attacker(s) >client(s) >daemon(s) >victim(s)

-+ -+ -+ -+ -+ -+ -+-+

| daemon | | daemon | | daemon | | daemon | | daemon |

-Điều khiển và thức thi trương trình của TFN đều dựa vào Command Line -Không đòi hỏi phải có password khi chạy clien,cho dù nó là cần thiết để có "IPLIST" file

-Liên lạc từ TFN clien đến Daemon thông qua các packet ICMP_ECHO Reply -Khi chạy trương trình không có lụa chọn nó sẽ hiện ra bảng help cua TFN [

CODE

contains a list of numerical hosts that are ready to flood -1 for spoofmask type (specify 0-3), -2 for packet size,

is 0 for stop/status, 1 for udp, 2 for syn, 3 for icmp,

5 to smurf, first ip is target, further ips are broadcasts

[port] must be given for a syn flood, 0 = RANDOM

Solutions

Bởi vì chương trình liên lạc băng các packet ICMP_ECHO reply nên biên pháp phòng thủ sẽ rất khó khăn ( nêu không muốn nói la không thể ) Nguồn: QTM

\

Tin chuyên ngành Thứ Sáu, 11/10/2013, 16:00

Một số biện pháp kỹ thuật phòng chống tấn công từ chối dịch vụ

Ngày 15/10/2013 sẽ diễn tập toàn quốc ứng cứu sự cố mạng Internet Mục tiêu chính của diễn tập là tăng cường khả năng hợp tác giữa các đầu mối về an toàn thông tin trong mạng lưới ứng cứu sự cố được lập theo Thông

tư 27/2011/TT-BTTTT nhằm kiểm tra kênh kết nối với khả năng vận hành của các đầu mối, sẵn sàng ứng phó hiệu quả với các sự cố mạng máy tính khi xảy ra.

Tình huống giả định là có đợt tấn công DDoS vào các website của Chính phủ Việt Nam và xuất hiện nhiều trang web giả mạo website của các hãng hàng không, đài truyền hình, công ty tài chính Các đơn vị, cơ quan tham gia cùng Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam(VNCERT) thảo luận về những phương án ứng phó cụ thể đối với những tình huống này, đặc biệt là cách thức thiết lập đầu mối kênh tiếp nhận thông tin cũng như phương thức, quy trình chia sẻ thông tin giữa các bên liên quan…

Ảnh minh họa

Nhằm cung cấp định hướng nâng cao năng lực chống tấn công từ chối dịch vụ DoS và DDoS cho Cổng và các Trang TTĐT Sau đây là thông tin và một số biện pháp kỹ thuật phòng chống tấn công từ chối dịch vụ.

Tấn công từ chối dịch vụ

Tấn công từ chối dịch vụ (DoS) là kiểu tấn công vào hệ thống mạng bằng cách làm tăng đột biến lưu lượng băng thông,

số lượng yêu cầu kết nối sử dụng dịch vượt quá khả năng mà hệ thống có thể đáp ứng xử lý, dẫn đến dịch vụ của hệ thống hoạt động bị chậm, mất khả năng đáp ứng hoặc mất kiểm soát.

Tấn công từ chối dịch vụ phân tán (DDoS) là dạng tấn công DoS nguy hiểm nhất khi nguồn tấn công nhiều và phân bố trên diện rộng trên mạng Internet toàn cầu, rất khó ngăn chặn triệt để Thông thường các cuộc tấn công DDoS được gây

ra bới một số lượng khá lớn các máy tính trên mạng Internet bị điều khiển bởi tin tặc do nhiễm mã độc thường gọi là mạng botnet.

Nguyên tắc chống tấn công DoS là cần phải lọc và gạt bỏ được các luồng tin tấn công và tốt hơn nữa là ngăn chặn được các nguồn tấn công Để chống DDoS phải vô hiệu hóa được hoạt động của các mạng botnet Để làm được điều này một cách hiệu quả thường đòi hỏi các biện pháp điều phối ứng cứu sự cố ở quy mô quốc gia hay thậm chí phối hợp nhiều nước Do đó khi phát hiện có các cuộc tấn công DoS hay DDoS, các đơn vị quản lý cổng/trang TTĐT cần báo cho Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam (VNCERT) càng sớm càng tốt Măt khác, việc áp dụng các biện pháp

và công cụ kỹ thuật tại chỗ để nâng cao năng lực bảo vệ các cổng/trang TTĐT cũng có hiệu quả rõ rệt.

Một số biện pháp kỹ thuật phòng chống tấn công từ chối dịch vụ

-Tăng cường khả năng xử lý của hệ thống:

+ Tối ưu hóa các thuật toán xử lý, mã nguồn của máy chủ web

+ Nâng cấp hệ thống máy chủ

+ Nâng cấp đường truyền và các thiết bị liên quan,

+ Cài đặt đầy đủ các bản vá cho hệ điều hành và các phần mềm khác để phòng ngừa khả năng bị lỗi tràn bộ đệm, cướp quyền điều khiển,v.v…