DDoS в разрезе

Размахнин Сергей Александрович

Хакер, номер #094, стр. 094-082-4

Ну что осилил? Все отложилось в голове? Теперь можешь немного расслабиться, Syn Flood позади. Все остальное проще.

TCP flood

TCP flood – это вид атаки, при котором с атакуемой системой устанавливается множество TCP-соединений, что приводит к связыванию ее системных ресурсов. При этом виде атаки происходят все три стадии установления TCP-соединения, описанные выше, но никакие данные после установки соединения не пересылается, а происходит установление следующего соединения и т.д. Количество Tcp соединений, которые может установить одна система, теоретически ограничивается цифрой в 65535, а на практике это еще меньше из-за портов, используемых системными службами и пользовательскими приложениями. С одной машины серьезную систему не повесишь, но вот израсходовать лимит установленных соединений (если он есть) можно. Израсходовав лимит на количество одновременно установленных соединений, атакуемая система не сможет устанавливать новые соединения с легитимными пользователями и предоставлять им свой ресурс. Если Tcp Flood используется при организованном DDos'е, то эффективной защиты против него нет.

Reflection SYN flooding

Как уже говорилось выше, TCP-соединение требует, чтобы любая TCP-служба, которая получает SYN-пакет, ответила SYN/ACK-пакетом. На определенные серверы в сети, называемые «отражателями», посылаются пакеты с исходным IP-адресом, указывающим на атакуемую машину. Сервер или router, который получает эти поддельные SYN-пакеты, посылает SYN/ACK-ответы на атакуемый хост. Любая TCP-связь с сервером общего назначения может использоваться для того, чтобы «отразить» SYN-пакеты. Довольно легко может быть построен список, в котором будут перечислены router’ы и серверы, отвечающие на SYN-пакеты. Наиболее популярные TCP-порты - 22 (Secure Shell), 23 (Telnet) и 80 (HTTP/web). Кроме того, многие router'ы подтвердят TCP-соединение по 179 порту. Имея большой список «SYN-отражателей», каждый злоумышленник может распределить поддельные SYN-пакеты равномерно через весь набор роутеров/серверов в списке. Компьютер, который получает SYN-запрос, ожидает SYN/ACK-ответ, а при его отсутствии посылает еще несколько SYN/ACK-пакетов. Поэтому «отражатели» отправят в три или четыре раза больше SYN/ACK-пакетов по сравнению с числом полученных. Это также означает, что SYN/ACK-пакеты продолжат атаковать целевой сервер в течение некоторого времени, даже после того, как злоумышленник прекратил нападение.