溫州網站建設營銷建站
公司企業網站建設服務
當前位置:首頁 > 新聞資訊 > 鹽城網站建設之DDoS攻擊原理及防護探究

鹽城網站建設之DDoS攻擊原理及防護探究

鹽城網站建設今天和你聊下DDoS攻擊對網站的危害,及如何更好更有效的防止此類問題的發生及阻止,下面帶領大家來看下西部數碼空間商是怎么來防護的。

互聯網的安全領域,DDoS( Distributed Denial of Service )攻擊技術因為它的隱蔽性,高效性一直是網絡攻擊者最青睞的攻擊方式,它嚴重威脅著互聯網的安全。

一、DDoS攻擊的工作原理

1.1   DDoS的定義

DDos的前身 DoS (Denial of Service)攻擊,其含義是拒絕服務攻擊,這種攻擊行為使網站服務器充斥大量的要求回復的信息,消耗網絡帶寬或系統資源,導致網絡或系統不勝負荷而停止提供正常的網絡服務。

而DDoS分布式拒絕服務,則主要利用 Internet上現有機器及系統的漏洞,攻占大量聯網主機,使其成為攻擊者的代理。

當被控制的機器達到一定數量后,攻擊者通過發送指令操縱這些攻擊機同時向目標主機或網絡發起DoS攻擊,大量消耗其網絡帶和系統資源,導致該網絡或系統癱瘓或停止提供正常的網絡服務。由于DDos的分布式特征,它具有了比Dos遠為強大的攻擊力和破壞性。

1.2   DDoS的攻擊原理

如圖1所示,一個比較完善的DDos攻擊體系分成四大部分,分別是攻擊者( attacker也可以稱為master)、控制傀儡機( handler)、攻擊傀儡機( demon,又可稱agent)和受害著( victim)。第2和第3部分,分別用做控制和實際發起攻擊。

第2部分的控制機只發布令而不參與實際的攻擊,第3部分攻擊傀儡機上發出DDoS的實際攻擊包。對第2和第3部分計算機,攻擊者有控制權或者是部分的控制權,并把相應的DDoS程序上傳到這些平臺上,這些程序與正常的程序一樣運行并等待來自攻擊者的指令。

通常它還會利用各種手段隱藏自己不被別人發現。在平時,這些傀儡機器并沒有什么異常,只是一旦攻擊者連接到它們進行控制,并發出指令的時候,攻擊愧儡機就成為攻擊者去發起攻擊了。

圖1分布式拒絕服務攻擊體系結構

之所以采用這樣的結構,一個重要目的是隔離網絡聯系,保護攻擊者,使其不會在攻擊進行時受到監控系統的跟蹤。

同時也能夠更好地協調進攻,因為攻擊執行器的數目太多,同時由一個系統來發布命令會造成控制系統的網絡阻塞,影響攻擊的突然性和協同性。而且,流量的突然增大也容易暴露攻擊者的位置和意圖。整個過程可分為:

1)掃描大量主機以尋找可入侵主機目標;

2)有安全漏洞的主機并獲取控制權;

3)入侵主機中安裝攻擊程序;

4)用己入侵主機繼續進行掃描和入侵。

當受控制的攻擊代理機達到攻擊者滿意的數量時,攻擊者就可以通過攻擊主控機隨時發出擊指令。由于攻擊主控機的位置非常靈活,而且發布命令的時間很短,所以非常隱蔽以定位。

一旦攻擊的命令傳送到攻擊操縱機,主控機就可以關閉或脫離網絡,以逃避追蹤要著,攻擊操縱機將命令發布到各個攻擊代理機。

在攻擊代理機接到攻擊命令后,就開始向目標主機發出大量的服務請求數據包。這些數據包經過偽裝,使被攻擊者無法識別它的來源面且。

這些包所請求的服務往往要消耗較大的系統資源,如CP或網絡帶寬。如果數百臺甚至上千臺攻擊代理機同時攻擊一個目標,就會導致目標主機網絡和系統資源的耗盡,從而停止服務。有時,甚至會導致系統崩潰。

另外,這樣還可以阻塞目標網絡的防火墻和路由器等網絡設備,進一步加重網絡擁塞狀況。于是,目標主機根本無法為用戶提供任何服務。

攻擊者所用的協議都是一些非常常見的協議和服務。這樣,系統管理員就難于區分惡意請求和正連接請求,從而無法有效分離出攻擊數據包

二、DDoS攻擊識別

DDoS ( Denial of Service,分布式拒絕服務) 攻擊的主要目的是讓指定目標無注提供正常服務,甚至從互聯網上消失,是目前最強大、最難防御的攻擊方式之一。

2.1 DDoS表現形式

DDoS的表現形式主要有兩種,一種為流量攻擊,主要是針對網絡帶寬的攻擊,即大量攻擊包導致網絡帶寬被阻塞。

合法網絡包被虛假的攻擊包淹沒而無法到達主機;另一種為資源耗盡攻擊,主要是針對服務器主機的政擊,即通過大量攻擊包導致主機的內存被耗盡或CPU內核及應用程序占完而造成無法提供網絡服務。

2.2 攻擊識別

流量攻擊識別主要有以下2種方法:

1) Ping測試:若發現Ping超時或丟包嚴重,則可能遭受攻擊,若發現相同交換機上的服務器也無法訪問,基本可以確定為流量攻擊。測試前提是受害主機到服務器間的ICMP協議沒有被路由器和防火墻等設備屏蔽;

2) Telnet測試:其顯著特征是遠程終端連接服務器失敗,相對流量攻擊,資源耗盡攻擊易判斷,若網站訪問突然非常緩慢或無法訪問,但可Ping通,則很可能遭受攻擊。

若在服務器上用Netstat-na命令觀察到大量 SYN_RECEIVED、 TIME_WAIT, FIN_ WAIT_1等狀態,而EASTBLISHED很少,可判定為資源耗盡攻擊。

特征是受害主機Ping不通或丟包嚴重而Ping相同交換機上的服務器正常,則原因是攻擊導致系統內核或應用程序CPU利用率達100%無法回應Ping命令,但因仍有帶寬,可ping通相同交換機上主機。

三、DDoS攻擊方式

DDoS攻擊方式及其變種繁多,就其攻擊方式面言,有三種最為流行的DDoS攻擊方式。

3.1 SYN/ACK Flood攻擊

這種攻擊方法是經典有效的DDoS攻擊方法,可通殺各種系統的網絡服務,主要是通過向受害主機發送大量偽造源P和源端口的SYN或ACK包,導致主機的緩存資源被耗盡或忙于發送回應包而造成拒絕服務,由于源都是傷造的故追蹤起來比較困難。

缺點是實施起來有一定難度,需要高帶寬的僵尸主機支持,少量的這種攻擊會導致主機服務器無法訪問,但卻可以Ping的通,在服務器上用 Netstat-na命令會觀察到存在大量的 SYN RECEIVED狀態,大量的這種攻擊會導致Ping失敗,TCP/IP棧失效,并會出現系統凝固現象,即不響應鍵盤和鼠標。普通防火墻大多無法抵御此種攻擊。

攻擊流程如圖2所示,正常TCP連接為3次握手,系統B向系統A發送完 SYN/ACK分組后,停在 SYN RECV狀態,等待系統A返回ACK分組;

此時系統B已經為準備建立該連接分配了資源,若攻擊者系統A,使用偽造源IP,系統B始終處于“半連接”等待狀態,直至超時將該連接從連接隊列中清除;

因定時器設置及連接隊列滿等原因,系統A在很短時間內,只要持續高速發送偽造源IP的連接請求至系統B,便可成功攻擊系統B,而系統B己不能相應其他正常連接請求。

圖2 SYN Flooding攻擊流程

3.2 TCP全連接攻擊

這種攻擊是為了繞過常規防火墻的檢查而設計的,一般情況下,常規防火墻大多具備過濾 TearDrop、Land等DOS攻擊的能力,但對于正常的TCP連接是放過的。

殊不知很多網絡服務程序(如:IIS、 Apache等Web服務器)能接受的TCP連接數是有限的,一旦有大量的TCP連接,即便是正常的,也會導致網站訪問非常緩慢甚至無法訪問,TCP全連接攻擊就是通過許多僵尸主機不斷地與受害服務器建立大量的TCP連接。

直到服務器的內存等資源被耗盡面被拖跨,從而造成拒絕服務,這種攻擊的特點是可繞過一般防火墻的防護而達到攻擊目的,缺點是需要找很多僵尸主機,并且由于僵尸主機的IP是暴露的,因此此種DDOs攻擊方容易被追蹤。

3.3 TCP刷 Script腳本攻擊

這種攻擊主要是針對存在ASP、JSP、PHP、CGI等腳本程序,并調用 MSSQL Server、My SQL Server、 Oracle等數據庫的網站系統而設計的,特征是和服務器建立正常的TCP連接,不斷的向腳本程序提交查詢、列表等大量耗費數據庫資源的調用,典型的以小博大的攻擊方法。

一般來說,提交一個GET或POST指令對客戶端的耗費和帶寬的占用是幾乎可以忽略的,而服務器為處理此請求卻可能要從上萬條記錄中去查出某個記錄,這種處理過程對資源的耗費是很大的,常見的數據庫服務器很少能支持數百個查詢指令同時執行,而這對于客戶端來說卻是輕而易舉的。

因此攻擊者只需通過 Proxy代理向主機服務器大量遞交查詢指令,只需數分鐘就會把服務器資源消耗掉而導致拒絕服務,常見的現象就是網站慢如蝸牛、ASP程序失效、PHP連接數據庫失敗、數據庫主程序占用CPU偏高。

這種攻擊的特點是可以完全繞過普通的防火墻防護,輕松找一些Poxy代理就可實施攻擊,缺點是對付只有靜態頁面的網站效果會大打折扣,并且有些代理會暴露DDOS攻擊者的IP地址。

四、DDoS的防護策略

DDoS的防護是個系統工程,想僅僅依靠某種系統或產品防住DDoS是不現實的,可以肯定的說,完全杜絕DDoS目前是不可能的,但通過適當的措施抵御大多數的DDoS攻擊是可以做到的。

基于攻擊和防御都有成本開銷的緣故,若通過適當的辦法增強了抵御DDoS的能力,也就意味著加大了攻擊者的攻擊成本,那么絕大多數攻擊者將無法繼續下去而放棄,也就相當于成功的抵御了DDoS攻擊。

4.1 采用高性能的網絡設備

抗DDoS攻擊首先要保證網絡設備不能成為瓶頸,因此選擇路由器、交換機、硬件防火墻等設備的時候要盡量選用知名度高、口碑好的產品。

再就是假如和網絡提供商有特殊關系或協議的話就更好了,當大量攻擊發生的時候請他們在網絡接點處做一下流量限制來對抗某些種類的DDoS攻擊是非常有效的。

4.2 盡量避免NAT的使用

無論是路由器還是硬件防護墻設備都要盡量避免采用網絡地址轉換NAT的使用,除了必須使用NAT,因為采用此技術會較大降低網絡通信能力。

原因很簡單,因為NAT需要對地址來回轉換,轉換過程中需要對網絡包的校驗和進行計算,因此浪費了很多CPU的時間。

4.3 充足的網絡帶寬保證

網絡帶寬直接決定了能抗受攻擊的能力,假若僅有10M帶寬,無論采取何種措施都很難對抗現在的 SYNFlood攻擊,當前至少要選擇100M的共享帶寬,1000M的帶寬會更好。

但需要注意的是,主機上的網卡是1000M的并不意味著它的網絡帶寬就是千兆的,若把它接在100M的交換機上,它的實際帶寬不會超過100M,再就是接在100M的帶寬上也不等于就有了百兆的帶寬,因為網絡服務商很可能會在交換機上限制實際帶寬為10M。

4.4 升級主機服務器硬件

在有網絡帶寬保證的前提下,盡量提升硬件配置,要有效對抗每秒10萬個SYN攻擊包,服務器的配置至少應該為:P4 2.4G/DDR512M/SCSI-HD,起關鍵作用的主要是CPU和內存,內存一定要選擇DDR的高速內存,硬盤要盡量選擇SCSI的,要保障硬件性能高并且穩定,否則會付出高昂的性能代價。

4.5 把網站做成靜態頁面

大量事實證明,把網站盡可能做成靜態頁面,不僅能大大提高抗攻擊能力,而且還給黑客入侵帶來不少麻煩,到現在為止還沒有出現關于HTML的溢出的情況,新浪、搜狐、網易等門戶網站主要都是靜態頁面。

此外,最好在需要調用數據庫的腳本中拒絕使用代理的訪問,因為經驗表明使用代理訪問我們網站的80%屬于惡意行為。

五、總結

DDoS政擊正在不斷演化,變得日益強大、隱密,更具針對性且更復雜,它已成為互聯網安全的重大威脅,同時隨著系統的更新換代,新的系統漏洞不斷地出現,DDoS的攻擊技巧的提高,也給DDoS防護增加了難度。

有效地對付這種攻擊是一個系統工程,不僅需要技術人員去探索防護的手段,網絡的使用者也要具備網絡攻擊基本的防護意識和手段,只有將技術手段和人員素質結合到一起才能最大限度的發揮網絡防護的效能。

本文取自西部數碼資訊中心

網站建設推薦新聞

睢寧卷簾門廠家推薦

安尚邦門業作為徐州睢寧卷簾門廠家自創辦以來始終以顧客為中心,以市場為導向、以品牌為核心的設計制造防火卷簾門、抗風卷簾門、水晶卷簾門、工業提升門、PVC快速門等相關產品的企業。公司現投放市場的各種防火卷簾門系列產品, 外觀及自動化程度均已達到國內標準水平,產品銷往全國各地。

網站建設推廣方案

策劃網站建設推廣方案是為達到一定的營銷目標而制定的綜合性的、具體的可操作的網絡營銷策略和活動計劃。一份完整的以網站為基本網絡營銷平臺的網絡營銷策劃方案必須包括以下幾個基本要素:網站診斷分析、網站優化、綜合網絡推廣、網絡營銷培訓、收費形式、經典案例、聯系我們等七大模塊。

網站建設制作教程

《網站建設制作教程》從軟件開發的角度來介紹網站的建設過程,以成熟的具有廣泛實用性的ASP技術作為教材的主體,內容包括網站建設基礎、ASP動態網頁編程、網站開發技術,新一代的互聯網技術。網頁編程以ASP為主,深入講解了ASP的對象和組件;同時對COM、XML(標準通用標記語言的子集)、Web Service、.net、J2EE也做了簡要介紹。在本書的寫作中,作者努力將現代的軟件開發原理、技術和思維方法融入互聯網站建設的開發示例中,以實例貫穿《網站建設制作教程》。

網站建設企業類型與標準

網站建設企業類型:1、營銷型網站建設2、外貿型網站建設3、企業集團式網站建設4、企業購物型網站建設5、企業微網站6、seo優化型企業網站建設,網站建設企業標準所謂的營銷型網站就是滿足企業的營銷目的,面向客戶,銷售的企業的產品或服務。所以定位企業的市場再國內還是國際市場的營銷功能非常重要。

西部數碼企業備案碼如何獲取

西部數碼企業備案碼如何獲取 備案碼,是備案時用于驗證業務開通情況的密碼,僅限在備案平臺備案時使用,可在主機業務管理區查看獲取:虛擬主機業務管理區-備案碼選項-點擊查看云建站管理區-站點詳細信息-點擊查看備案碼

西部數碼備案企業備案碼作為憑證

啟用[備案碼]作為業務憑證從即日起,備案“網站信息”中不再使用業務名+業務密碼方式判斷業務是否存在,而啟用[備案碼]為業務是否存在的唯一憑證。

網站icp備案啟用電子化在線核驗不需要蓋章

在線核驗ICP備案主體真實身份信息后,自動生成《ICP備案信息真實性核驗單》,并在線提交相關信息,不再提交紙質《ICP備案信息真實性核驗單》,也無需單位蓋章,核驗用戶僅需在線提交《互聯網信息服務備案承諾書》即可。備案用戶真實身份信息全電子化核上線以后,會大大減少備案的復雜程度,大大縮短備案時間。

電子化在線核驗的備案流程

網站備案改革告別幕布,備案全程電子化手機拍照核驗真實性備案填寫信息驗證備案類型系統將根據您填寫的域名和證件,自動驗證您的備案類型:根據各省規則填寫備案主辦單位信息填寫網站負責人信息以及網站信息

百度智能小程序接入貼吧流量說明

接入貼吧流量進吧投放功能介紹及申請: 智能小程序發布后,開發者可在【流量配置】-【貼吧推廣】模塊進行貼吧流量獲取,選擇對應吧投放后會進行審核,審核通過后用戶可在“貼吧”APP及“百度APP”中的貼吧小程序內對應吧看到掛載展示。

百度智能小程序自然搜索結果流量說明

智能小程序為開發者提供對接百度搜索生態的能力,為智能小程序導入搜索流量,旨在打造更加開放、互聯互通的小程序生態。具體操作詳見接入自然搜索。自然搜索能夠把自己的詳細服務或信息與用戶的需求做精準匹配,完成用戶的深度轉化。

百度智能小程序流量基礎入口

百度智能小程序自然搜索-智能小程序單卡-初級卡自然搜索-智能小程序搜索tab自然搜索-語音直達自然搜索-搜索詞推薦直達

百度智能小程序主體認證及真實性認證

百度智能小程序主體認證類型選擇目前支持的主體類型:媒體、企業、政府、其他組織。暫不支持個人主體類型開發者入駐。主體類型一旦選擇后將無法更改。百度智能小程序真實性認證該環節主要用于驗證主體真實性,為不影響到開發進展,可暫時跳過此步驟直接創建小程序,并在小程序的開發過程中任意時間完成真實性認證即可,真實性認證狀態將影響提交代碼包及發布上線。

pt电子热力宝石
江苏五分快三计划 周六足球 北京pk10计划50期连中 快三黑彩 188比分直播 时时彩最精准人工计划 全天时时计划 软件协议书范本 重庆时时大小单双专家 33娱乐 欢乐生肖彩票平台 时时缩水软件手机 彩虹计划活动 pk10软件计划可信吗 竞彩篮球一月稳定赚1万 炸金花赢钱的小方法