基于应用层的新的ddos攻击方法

基于应用层的新的ddos攻击方法

一、概述

Ddos攻击一直以来是网络安全的重要威胁者,针对这一攻击方法,安全技术人员提出了众多的网络安全防具技术,在ddos攻击的防御实践中起到了一定的效果.

对传统的基于网络层和传输层的ddos攻击,现在有很多的安全产品防御这些攻击。如IDS、IPS、防火墙都有相关服务功能。

本文提出的一种全新的在应用层上发起的分布式拒绝服务攻击。与传统的ddos攻击的区别在于构造的攻击数据包不单单是arp或tcp数据包，而是在此底层协议的基础上构造完整的应用层协议数据包，并且数据包的各层都符合相应层的网络协议标准的要求。

二、具体实现

以针对某即时通讯工具的服务器为例。

1. 对其应用层的数据协议进行研究

很可能该应用层协议是私有协议，比如本例中的协议。

这里需要对应用层的协议做详细的研究，弄清每一个字段表示的含义

1.1该软件的客户端登录时向服务器发出的第一个数据包

其中00 1d 0f   黄色部分为网络层、传输层等底层协议数据

其余部分部分为该软件私有的应用层协议

0000   00 1d 0f 21 c2 49 00 1d 7d bc 35 92 08 00 45 00  ...!.I..}.5...E.

0010   00 73 e0 34 00 00 80 11 38 36 0a 00 00 75 db 85  .s.4....86...u..

0020   3c 15 0f a0 1f 40 00 5f e0 b8 02 19 57 00 91 34  <....@._....W..4

0030   c0 06 23 78 24 02 00 00 00 01 01 01 00 00 64 00  ..............d.

0040   e8 31 87 e2 ea f9 0c 02 be 22 e1 d5 97 e5 ed f1  .1......."......

0050   20 d1 03 59 11 30 d8 ea 04 a7 81 8c cb 6d 36 ea   ..Y.0.......m6.

0060   39 1b ef 2a de f1 d1 4a 39 89 60 04 b9 84 4d cd  9..*...J9.`...M.

0070   04 73 b8 b5 6a 77 f3 2e f6 bf 9b 01 8c a6 fd 9b  .s..jw..........

0080   03                                               .

1.2 服务器返回的数据包

0000   00 1d 7d bc 35 92 00 1d 0f 21 c2 49 08 00 45 00  ..}.5....!.I..E.

0010   00 83 00 00 40 00 32 11 26 5b db 85 3c 15 0a 00  ....@.2.&[..<...

0020   00 75 1f 40 0f a0 00 6f 72 c9 02 19 57 00 91 34  .u.@...or...W..4

0030   c0 06 23 78 24 00 00 00 63 b8 88 ed c8 45 40 19  ........c....E@.

0040   6b 03 ac 7d a6 dc 7a 4f 6a 72 c7 bd 8a 98 98 e0  k..}..zOjr......

0050   a2 2e 15 ea ab 4e e3 e1 97 49 41 45 70 76 ef 29  .....N...IAEpv.)

0060   33 55 84 59 f5 7b 86 36 24 9b 52 2f ba 96 30 c6  3U.Y.{.6$.R/..0.

0070   3c 98 70 7f e9 f1 22 d6 e7 bb 48 6b 9b ce 0d e4  <.p..."...Hk....

0080   31 0e 17 eb 19 98 e7 0d 9c cf 8e e3 8a 11 7b 40  1.............{@

0090   03                                               .

1.3 客户端向服务器发出的第二个数据包

0000   00 1d 0f 21 c2 49 00 1d 7d bc 35 92 08 00 45 00  ...!.I..}.5...E.

0010   00 ab e0 35 00 00 80 11 37 fd 0a 00 00 75 db 85  ...5....7....u..

0020   3c 15 0f a0 1f 40 00 97 68 2e 02 19 57 00 ba 32  <....@..h.......

0030   44 06 23 78 24 02 00 00 00 01 01 01 00 00 64 00  ..............d.

0040   30 f3 5f 31 f0 c5 fc 60 8c b5 20 59 b1 4d 7e 11  0._1...`.. Y.M~.

0050   ee 69 12 56 a9 3d 12 d0 32 f1 31 82 e4 ce 6f 74  .i.V.=..2.1...ot

0060   13 a9 f7 92 fe f7 20 e5 5a b9 88 0c 67 4e 96 04  ...... .Z...gN..

0070   0e 89 23 92 35 5b 48 0b c8 4b 2c 1b 90 85 e1 d8  ..#.5[H..K,.....

0080   24 4f d4 a2 3b 87 5a 63 a6 e5 13 ba c9 bc c1 d5  $O..;.Zc........

0090   d2 99 f9 2c 8f 82 6f 99 42 6d 89 bf a8 0f 55 25  ...,..o.Bm....U%

00a0   31 df 39 f9 35 b7 fa 95 4a 68 a6 4c da a2 ed f2  1.9.5...Jh.L....

00b0   c6 6a f5 c2 d6 86 4b b2 03                       .j....K..

1.4 服务器返回的第二个数据包

0000   00 1d 7d bc 35 92 00 1d 0f 21 c2 49 08 00 45 00  ..}.5....!.I..E.

0010   00 7b 00 00 40 00 32 11 26 63 db 85 3c 15 0a 00  .{..@.2.&c..<...

0020   00 75 1f 40 0f a0 00 67 cd cd 02 19 57 00 ba 32  .u.@...g........

0030   44 06 23 78 24 00 00 00 cf d9 5c e7 35 20 ba 14  ........../.5 ..

0040   de ed aa 96 52 39 32 e2 a6 73 d4 ff c7 5e d8 88  ....R92..s...^..

0050   92 d2 38 d6 0f 18 08 6e ee 62 ba 69 09 79 39 bf  ..8....n.b.i.y9.

0060   25 c4 a7 52 e0 7d 05 0e bf d6 b8 79 66 5e a3 84  %..R.}.....yf^..

0070   f3 5b 97 f2 30 8f 2b cc f3 92 96 3b 88 4c 4c 5b  .[..0.+....;.LL[

0080   51 aa b0 4e 83 15 78 7c 03                       Q..N..x|.

这里特别要对应用层的协议做详细的研究，弄清每一个字段表示的含义,特别是客户端向服务器发送的数据包.

比如:

02 19 57 这个字段是什么含义

00 ba  有事什么含义

2.构造发往服务器的数据包

根据1中研究的结构,构造向服务器发送的数据包,这一需要强调的是构造的数据包必须是符合应用层协议标准的有意义的数据包.根据攻击机复杂程度的需求和其他因素,可以选择只构造一个发送数据包,也可以按照应用层协议构造多个数据包,如上例我们可以只构造1.1数据包,也可以构造1.1 和1.3 甚至后面更多是数据包.

3.发送构造好的数据包

将构造好的数据包传入发送引擎,发往被攻击服务器.

如果要实现较好的攻击效果可以大量构造发送这些数据包.

三、与传统攻击方法相比较的优势

1、隐蔽性更好

从单个数据本身还看，是完全合法的应用层数据包，传统的只在底层进行ddos攻击检测的设备无法对该数据进行有效检测。

即使对有应用层数据进行检测的设备，要对众多的应用层协议都进行检测也是比较困难的，而攻击者只需根据攻击目标的需要，从众多应用层协议中选择有种发起攻击就可以了。攻击和防御的成本非常不对称。因为攻击数据包用单个数据包角度是完全合法的数据包，要想检测出攻击必须通过分析数据包与数据包之间的关系来完成，这就对应用层协议解析深度的要求非常高，针对单个数据包的简单检测无法检测出该种攻击。

2、攻击效果好

由于数据包的底层数据内容与正常数据一样，前段防火墙等设备无法拦截该数据包，都会直接被服务器程序收到，没收到一个数据包，服务器程序（如https服务器）都会认为是一次正常的链接，所以会为该链接申请必要的资源，由于这是应用层的链接（比如一次即时通讯工具的登录）所耗费的资源要比简单的tcp_syn攻击耗费的资源大的多.因此在相同规模的攻击情况下,这种新型的攻击方式的效果要比原来传统的统计方式好的多.

3、技术门槛低

由于攻击过程中,是模拟原应用程序发送应用层数据包,不像发起syn等类型ddos攻击需要了解底层协议的细节,我们知道在windows平台发送底层数据包的是需要通过驱动发送的,技术难度相对较高。所以本类型的新型攻击在构造攻击包的工作方面技术门槛非常低。

4、技术难点

虽然上文提到本攻击方式的技术门槛较低，但并不是说没有技术难度，该技术的技术难度主要在于应用层协议的分析，特别是某种有针对性的私有应用协议的分析。