DDoS в картинках

Федор Михайлович

Хакер, номер #070, стр. 070-078-5

mess You was fucked, nigga! Gritz2: x_crew :)

* И наконец, самая главная функция: запуск icmp-флуд атаки. Это реализуется при помощи красноречивой команды flood:

flood www.xakep.ru

После того, как наш бот получит такую команду он начнет засыпать наш сервер icmp-пакетами длиной 10 кб, причем отсылать он их будет с частотой 1 пакет в секунду. Это оптимальный параметр для чертей, сидящих на выделенном канале, хотя то, как это будет работать на диалапе – вопрос. С другой стороны, в исходном коде бота, всегда можно подправить длину пакета и частоту отсылки, поэтому проблем не возникнет. Разумеется, вместо 127.0.0.1 нужно указать ip жертвы DDoS-атаки.

В атаку!

Увы, несмотря на все мои позитивные расчеты, количество ботов не спешило увеличиваться. По всему выходило, что сплоит не работал должным образом. Была уже глубокая ночь и разобраться с этим я решил завтра, тем более, что под рукой не было уязвимой винды. На утро я протестил свой вариант сплойта на бажной машине и понял, что не совсем корректно его использовал – в спешке забыл залить файл error.jsp. Однако к этому времени доступ к сайту, на котором я тестил сплоит вчера, был уже потерян и я решил воспользоваться другим, менее посещаемым ресурсом. Я вспомнил о сайте, который ломал давным-давно, еще весной,- там была классическая sql-injection уязвимость. Не долго думая я набрал его адрес, поигрался с параметрами и стало понятно, что баг еще живой. Я быстро добавил на главную страницу код эксплоита и принялся ждать. В этот раз все сработало “на ура” и оказалось, что примерно 10-15% посетителей используют уязвимую винду в отсутствие файрвола – и это через год (!) после выхода эксплойта. Через некоторое время в файле со статистикой по ботам накопилось примерно полторы сотни зараженных ip-адресов и можно было приступать к активным действиям. Но прежде давай сосчитаем, какой канал нам по силам завалить. Предположим, половина наших юзеров обладает широким каналом в инет. Это вполне правдоподобная цифра, поскольку для распространения троянов я использовал англоязычный проект. Ну что же, в этом случае я вправе рассчитывать на то, что каждый из 75 человек будет съедать у жертвы 10 кб/сек. В этом случае суммарная мощность составит 750 кб/сек. Хорошо, сделаем скидку на возможные лаги и глюки, пусть даже 400 кб/сек. Это уже очень неплохо и вполне достаточно, чтобы повалить сервер, висящий на шейпинговом канале и не рассчитанный на большое количество запросов. Такая вот позитивная математика. Разумеется, я не какой-нибудь там уголовник, и не стал потехи ради атаковать серверы коммерческих предприятий. Я начал с тренировки на собственном хосте с небольшим каналом – и что ты думаешь? Через некоторое время я напрочь потерял связь с ним, нельзя было достучаться ни до ssh, ни до web-сервера. И тут я стал заложником собственной армии – дело в том, что я не мог отменить команду, пока не достучусь до веб-сервера :). Пришлось ждать добрые полчаса, пока сами боты не смогут обновить команду и перейдут в режим ожидания. Надо сказать, после этого опыта я еще раз убедился в справедливости слов, что не стоит рубить сук, на котором сидишь. Суммарный трафик на icmp-счетчике моей машины составил примерно 170 метров и, можно сказать, я сполна ощутил экономический ущерб DDoS-атак :). Вот так вот. Не шали.