拒绝服务***

拒绝服务***即***者想办法让目标机器停止提供服务或资源访问，是***常用的***手段之一。这些资源包括磁盘空间、内存、进程甚至网络带宽，从而阻止正常用户的访问。其实对网络带宽进行的消耗性***只是拒绝服务***的一小部分，只要能够对目标造成麻烦，使某些服务被暂停甚至主机死机，都属于拒绝服务***。拒绝服务***问题也一直得不到合理的解决，究其原因是因为这是由于网络协议本身的安全缺陷造成的，从而拒绝服务***也成为了***者的终极手法。***者进行拒绝服务***，实际上让服务器实现两种效果：一是迫使服务器的缓冲区满，不接收新的请求；二是使用IP欺骗，迫使服务器把合法用户的连接复位，影响合法用户的连接。

拒绝服务***的原理

1．SYN Flood

SYN Flood是当前最流行的DoS(拒绝服务***)与DDoS(Distributed Denial Of Service分布式拒绝服务***)的方式之一，这是一种利用TCP协议缺陷，发送大量伪造的TCP连接请求，使被***方资源耗尽(CPU满负荷或内存不足)的***方式。

SYN Flood***的过程在TCP协议中被称为三次握手(Three-way Handshake)，而SYN Flood拒绝服务***就是通过三次握手而实现的。

(1) ***者向被***服务器发送一个包含SYN标志的TCP报文，SYN(Synchronize)即同步报文。同步报文会指明客户端使用的端口以及TCP连接的初始序号。这时同被***服务器建立了第一次握手。

(2) 受害服务器在收到***者的SYN报文后，将返回一个SYN+ACK的报文，表示***者的请求被接受，同时TCP序号被加一，ACK(Acknowledgment)即确认，这样就同被***服务器建立了第二次握手。

(3) ***者也返回一个确认报文ACK给受害服务器，同样TCP序列号被加一，到此一个TCP连接完成，三次握手完成。

具体原理是：TCP连接的三次握手中，假设一个用户向服务器发送了SYN报文后突然死机或掉线，那么服务器在发出SYN+ACK应答报文后是无法收到客户端的ACK报文的(第三次握手无法完成)，这种情况下服务器端一般会重试(再次发送SYN+ACK给客户端)并等待一段时间后丢弃这个未完成的连接。这段时间的长度我们称为SYN Timeout，一般来说这个时间是分钟的数量级(大约为30秒~2分钟)；一个用户出现异常导致服务器的一个线程等待1分钟并不是什么很大的问题，但如果有一个恶意的***者大量模拟这种情况(伪造IP地址)，服务器端将为了维护一个非常大的半连接列表而消耗非常多的资源。即使是简单的保存并遍历也会消耗非常多的CPU时间和内存，何况还要不断对这个列表中的IP进行SYN+ACK的重试。实际上如果服务器的TCP/IP栈不够强大，最后的结果往往是堆栈溢出崩溃—— 即使服务器端的系统足够强大，服务器端也将忙于处理***者伪造的TCP连接请求而无暇理睬客户的正常请求(毕竟客户端的正常请求比率非常之小)，此时从正常客户的角度看来，服务器失去响应，这种情况就称作：服务器端受到了SYN Flood***(SYN洪水***)。

SYN COOKIE 防火墙是SYN cookie的一个扩展，SYN cookie是建立在TCP堆栈上的，他为linux操作系统提供保护。SYN cookie防火墙是linux的 一大特色，你可以使用一个防火墙来保护你的网络以避免遭受SYN洪水***。

下面是SYN cookie防火墙的原理

client firewall server

------ ---------- ------

1. SYN----------- - - - - - - - - - ->

2. <------------SYN-ACK(cookie)

3. ACK----------- - - - - - - - - - ->

4. - - - - - - -SYN---------------&gt;

5. <- - - - - - - - - ------------SYN-ACK

6. - - - - - - -ACK--------------->

7. -----------&gt; relay the -------&gt;

&lt;----------- connection &lt;-------

1:一个SYN包从C发送到S

2：防火墙在这里扮演了S的角色来回应一个带SYN cookie的SYN-ACK包给C

3：C发送ACK包，接着防火墙和C的连接就建立了。

4：防火墙这个时候扮演C的角色发送一个SYN给S

5：S返回一个SYN给C

6：防火墙扮演C发送一个ACK确认包给S，这个时候防火墙和S的连接也就建立了

7：防火墙转发C和S间的数据

如果系统遭受SYN Flood，那么第三步就不会有，而且无论在防火墙还是S都不会收到相应在第一步的SYN包，所以我们就击退了这次SYN洪水攻 击。

2．IP欺骗DOS***

这种***利用RST位来实现。假设现在有一个合法用户(61.61.61.61)已经同服务器建立了正常的连接，***者构造***的TCP数据，伪装自己的IP为61.61.61.61，并向服务器发送一个带有RST位的TCP数据段。服务器接收到这样的数据后，认为从61.61.61.61发送的连接有错误，就会清空缓冲区中建立好的连接。这时，如果合法用户61.61.61.61再发送合法数据，服务器就已经没有这样的连接了，该用户就必须从新开始建立连接。***时，***者会伪造大量的IP地址，向目标发送RST数据，使服务器不对合法用户服务，从而实现了对受害服务器的拒绝服务***。

3. UDP洪水***

***者利用简单的TCP/IP服务，如Chargen和Echo来传送毫无用处的占满带宽的数据。通过伪造与某一主机的Chargen服务之间的一次的UDP连接，回复地址指向开着Echo服务的一台主机，这样就生成在两台主机之间存在很多的无用数据流，这些无用数据流就会导致带宽的服务***。

4. Ping洪流***

由于在早期的阶段，路由器对包的最大尺寸都有限制。许多操作系统对TCP/IP栈的实现在ICMP包上都是规定64KB，并且在对包的标题头进行读取之后，要根据该标题头里包含的信息来为有效载荷生成缓冲区。当产生畸形的，声称自己的尺寸超过ICMP上限的包也就是加载的尺寸超过64K上限时，就会出现内存分配错误，导致TCP/IP堆栈崩溃，致使接受方死机。

5. 泪滴(teardrop)***

泪滴***是利用在TCP/IP堆栈中实现信任IP碎片中的包的标题头所包含的信息来实现自己的***。IP分段含有指明该分段所包含的是原包的哪一段的信息，某些TCP/IP(包括service pack 4以前的NT)在收到含有重叠偏移的伪造分段时将崩溃。

6. Land***

Land***原理是：用一个特别打造的SYN包，它的原地址和目标地址都被设置成某一个服务器地址。此举将导致接受服务器向它自己的地址发送SYN-ACK消息，结果这个地址又发回ACK消息并创建一个空连接。被***的服务器每接收一个这样的连接都将保留，直到超时，对Land***反应不同，许多UNIX实现将崩溃，NT变的极其缓慢(大约持续5分钟)。

7. Smurf***

一个简单的Smurf***原理就是：通过使用将回复地址设置成受害网络的广播地址的ICMP应答请求(ping)数据包来淹没受害主机的方式进行。最终导致该网络的所有主机都对此ICMP应答请求作出答复，导致网络阻塞。它比ping of death洪水的流量高出1或2个数量级。更加复杂的Smurf将源地址改为第三方的受害者，最终导致第三方崩溃。

8.Fraggle***

原理：Fraggle***实际上就是对Smurf***作了简单的修改，使用的是UDP应答消息而非ICMP。

拒绝服务***的属性分类法

J.Mirkovic和P. Reiher [Mirkovic04]提出了拒绝服务***的属性分类法，即将***属性分为***静态属性、***动态属性和***交互属性三类，根据DoS***的这些属性的不同，就可以对***进行详细的分类。凡是在***开始前就已经确定，在一次连续的***中通常不会再发生改变的属性，称为***静态属性。***静态属性是由***者和***本身所确定的，是***基本的属性。那些在***过程中可以进行动态改变的属性，如***的目标选取、时间选择、使用源地址的方式，称为***动态属性。而那些不仅与***者相关而且与具体受害者的配置、检测与服务能力也有关系的属性，称为***交互属性。

1．***静态属性（Static）

***静态属性主要包括***控制模式、***通信模式、***技术原理、***协议和***协议层等。

（1）***控制方式（ControlMode）

***控制方式直接关系到***源的隐蔽程度。根据***者控制***机的方式可以分为以下三个等级：直接控制方式（Direct）、间接控制方式（Indirect）和自动控制方式（Auto）。

最早的拒绝服务***通常是手工直接进行的，即对目标的确定、***的发起和中止都是由用户直接在***主机上进行手工操作的。这种***追踪起来相对容易，如果能对***包进行准确的追踪，通常就能找到***者所在的位置。由于直接控制方式存在的缺点和***者想要控制大量***机发起更大规模***的需求，***者开始构建多层结构的***网络。多层结构的***网络给针对这种***的追踪带来很大困难，受害者在追踪到***机之后，还需要从***机出发继续追踪控制器，如果***者到最后一层控制器之间存在多重跳板时，还需要进行多次追踪才能最终找到***者，这种追踪不仅需要人工进行操作，耗费时间长，而且对技术也有很高的要求。这种***模式，是目前最常用的一种***模式。自动***方式，是在释放的蠕虫或***程序中预先设定了***模式，使其在特定时刻对指定目标发起***。这种方式的***，从***机往往难以对***者进行追踪，但是这种控制方式的***对技术要求也很高。Mydoom蠕虫对SCO网站和Microsoft网站的***就属于第三种类型[TA04-028A]。

（2）***通信方式（CommMode）

在间接控制的***中，控制者和***机之间可以使用多种通信方式，它们之间使用的通信方式也是影响追踪难度的重要因素之一。***通信方式可以分为三种方式，分别是：双向通信方式（bi）、单向通信方式（mono）和间接通信方式（indirection）。

双向通信方式是指根据***端接收到的控制数据包中包含了控制者的真实IP地址，例如当控制器使用TCP与***机连接时，该通信方式就是双向通信。这种通信方式，可以很容易地从***机查找到其上一级的控制器。

单向通信方式指的是***者向***机发送指令时的数据包并不包含发送者的真实地址信息，例如用伪造IP地址的UDP包向***机发送指令。这一类的***很难从***机查找到控制器，只有通过包标记等IP追踪手段，才有可能查找到给***机发送指令的机器的真实地址。但是，这种通信方式在控制上存在若干局限性，例如控制者难以得到***机的信息反馈和状态。

间接通信方式是一种通过第三者进行交换的双向通信方式，这种通信方式具有隐蔽性强、难以追踪、难以监控和过滤等特点，对***机的审计和追踪往往只能追溯到某个被用于通信中介的公用服务器上就再难以继续进行。这种通信方式目前已发现的主要是通过IRC（Internet Relay Chat）进行通信[Jose Nazario]，从2000年8月出现的名为Trinity的DDoS***工具开始，已经有多种DDoS***工具及蠕虫采纳了这种通信方式。在基于IRC的傀儡网络中，若干***者连接到Internet上的某个IRC服务器上，并通过服务器的聊天程序向傀儡主机发送指令。

（3）***原理（Principle）

DoS***原理主要分为两种，分别是：语义***（Semantic）和暴力***（Brute）。

语义***指的是利用目标系统实现时的缺陷和漏洞，对目标主机进行的拒绝服务***，这种***往往不需要***者具有很高的***带宽，有时只需要发送1个数据包就可以达到***目的，对这种***的防范只需要修补系统中存在的缺陷即可。暴力***指的是不需要目标系统存在漏洞或缺陷，而是仅仅靠发送超过目标系统服务能力的服务请求数量来达到***的目的，也就是通常所说的风暴***。所以防御这类***必须借助于受害者上游路由器等的帮助，对***数据进行过滤或分流。某些***方式，兼具语义和暴力两种***的特征，比如SYN风暴***，虽然利用了TCP协议本身的缺陷，但仍然需要***者发送大量的***请求，用户要防御这种***，不仅需要对系统本身进行增强，而且也需要增大资源的服务能力。还有一些***方式，是利用系统设计缺陷，产生比***者带宽更高的通信数据来进行暴力***的，如DNS请求***和Smurf***，参见4.2.3节以及文献[IN-2000-04]和[CA-1998-01]。这些***方式在对协议和系统进行改进后可以消除或减轻危害，所以可把它们归于语义***的范畴。

（4）***协议层（ProLayer）

***所在的TCP/IP协议层可以分为以下四类：数据链路层、网络层、传输层和应用层。

数据链路层的拒绝服务***[Convery] [Fischbach01][Fischbach02]受协议本身限制，只能发生在局域网内部，这种类型的***比较少见。针对IP层的***主要是针对目标系统处理IP包时所出现的漏洞进行的，如IP碎片***[Anderson01]，针对传输层的***在实际中出现较多，SYN风暴、ACK风暴等都是这类***，面向应用层的***也较多，剧毒包***中很多利用应用程序漏洞的（例如缓冲区溢出的***）都属于此类型。

（5）***协议（ProName）

***所涉及的最高层的具体协议，如SMTP、ICMP、UDP、HTTP等。***所涉及的协议层越高，则受害者对***包进行分析所需消耗的计算资源就越大。

2．***动态属性（Dynamic）

***动态属性主要包括***源地址类型、***包数据生成模式和***目标类型。

（1）***源地址类型（SourceIP）

***者在***包中使用的源地址类型可以分为三种：真实地址（True）、伪造合法地址（Forge Legal）和伪造非法地址（Forge Illegal）。

***时***者可以使用合法的IP地址，也可以使用伪造的IP地址。伪造的IP地址可以使***者更容易逃避追踪，同时增大受害者对***包进行鉴别、过滤的难度，但某些类型的***必须使用真实的IP地址，例如连接耗尽***。使用真实IP地址的***方式由于易被追踪和防御等原因，近些年来使用比例逐渐下降。使用伪造IP地址的***又分为两种情况：一种是使用网络中已存在的IP地址，这种伪造方式也是反射***所必需的源地址类型；另外一种是使用网络中尚未分配或者是保留的IP地址（例如192.168.0.0/16、172.16.0.0/12等内部网络保留地址[RFC1918]）。

（2）***包数据生成模式（DataMode）

***包中包含的数据信息模式主要有5种：不需要生成数据（None）、统一生成模式（Unique）、随机生成模式（Random）、字典模式（Dictionary）和生成函数模式（Function）。

在***者实施风暴式拒绝服务***时，***者需要发送大量的数据包到目标主机，这些数据包所包含的数据信息载荷可以有多种生成模式，不同的生成模式对受害者在***包的检测和过滤能力方面有很大的影响。某些***包不需要包含载荷或者只需包含适当的固定的载荷，例如SYN风暴***和ACK风暴***，这两种***发送的数据包中的载荷都是空的，所以这种***是无法通过载荷进行分析的。但是对于另外一些类型的***包，就需要携带相应的载荷。

***包载荷的生成方式可以分为4种：第一种是发送带有相同载荷的包，这样的包由于带有明显的特征，很容易被检测出来。第二种是发送带有随机生成的载荷的包，这种随机生成的载荷虽然难以用模式识别的方式来检测，然而随机生成的载荷在某些应用中可能生成大量没有实际意义的包，这些没有意义的包也很容易被过滤掉，但是***者仍然可以精心设计载荷的随机生成方式，使得受害者只有解析到应用层协议才能识别出***数据包，从而增加了过滤的困难性。第三种方式是***者从若干有意义载荷的集合中按照某种规则每次取出一个填充到***包中，这种方式当集合的规模较小时，也比较容易被检测出来。最后一种方式是按照某种规则每次生成不同的载荷，这种方式依生成函数的不同，其检测的难度也是不同的。

（3）***目标类型（Target）

***目标类型可以分为以下6类：应用程序（Application）、系统（System）、网络关键资源（Critical）、网络（Network）、网络基础设施（Infrastructure）和因特网（Internet）。

针对特定应用程序的***是较为常见的***方式，其中以剧毒包***较多，它包括针对特定程序的，利用应用程序漏洞进行的拒绝服务***，以及针对一类应用的，使用连接耗尽方式进行的拒绝服务***。针对系统的***也很常见，像SYN风暴、UDP风暴[CA-1996-01]以及可以导致系统崩溃、重启的剧毒包***都可以导致整个系统难以提供服务。针对网络关键资源的***包括对特定DNS、路由器的***。而面向网络的***指的是将整个局域网的所有主机作为目标进行的***。针对网络基础设施的***需要***者拥有相当的资源和技术，***目标是根域名服务器、主干网核心路由器、大型证书服务器等网络基础设施，这种***发生次数虽然不多，但一旦***成功，造成的损失是难以估量的[Naraine02]。针对Internet的***是指通过蠕虫、病毒发起的，在整个Internet上蔓延并导致大量主机、网络拒绝服务的***，这种***的损失尤为严重。

3．交互属性（Mutual）

***的动态属性不仅与***者的***方式、能力有关，也与受害者的能力有关。主要包括***的可检测程度和***影响。

（1）可检测程度（Detective）

根据能否对***数据包进行检测和过滤，受害者对***数据的检测能力从低到高分为以下三个等级：可过滤（Filterable）、有特征但无法过滤（Unfilterable）和无法识别（Noncharacterizable）。

第一种情况是，对于受害者来说，***包具有较为明显的可识别特征，而且通过过滤具有这些特征的数据包，可以有效地防御***，保证服务的持续进行。第二种情况是，对于受害者来说，***包虽然具有较为明显的可识别特征，但是如果过滤具有这些特征的数据包，虽然可以阻断***包，但同时也会影响到服务的持续进行，从而无法从根本上防止拒绝服务。第三种情况是，对于受害者来说，***包与其他正常的数据包之间，没有明显的特征可以区分，也就是说，所有的包，在受害者看来，都是正常的。

（2）***影响（Impact）

根据***对目标造成的破坏程度，***影响自低向高可以分为：无效（None）、服务降低（Degrade）、可自恢复的服务破坏（Self-recoverable）、可人工恢复的服务破坏（Manu-recoverable）以及不可恢复的服务破坏（Non-recoverable）。

如果目标系统在拒绝服务***发生时，仍然可以提供正常服务，则该***是无效的***。如果***能力不足以导致目标完全拒绝服务，但造成了目标的服务能力降低，这种效果称之为服务降低。而当***能力达到一定程度时，***就可以使目标完全丧失服务能力，称之为服务破坏。服务破坏又可以分为可恢复的服务破坏和不可恢复的服务破坏，目前网络拒绝服务***所造成的服务破坏通常都是可恢复的。一般来说，风暴型的DDoS***所导致的服务破坏都是可以自恢复的，当***数据流消失时，目标就可以恢复正常工作状态。而某些利用系统漏洞的***可以导致目标主机崩溃、重启，这时就需要对系统进行人工恢复；还有一些***利用目标系统的漏洞对目标的文件系统进行破坏，导致系统的关键数据丢失，往往会导致不可恢复的服务破坏，即使系统重新提供服务，仍然无法恢复到破坏之前的服务状态。

拒绝服务***的动机

与其他类型的***一样，***者发起拒绝服务***的动机也是多种多样的，不同的时间和场合发生的、由不同的***者发起的、针对不同的受害者的***可能有着不同的目的。这里，把拒绝服务***的一些主要目的进行归纳。需要说明的是，这里列出的没有也不可能包含所有的***目的；同时，这些目的也不是排他性的，一次***事件可能会有着多重的目的。

1．作为练习***的手段

由于DoS***非常简单，还可以从网上直接下载工具进行自动***。因此，这种***可以被一些自认为是或者想要成为***而实际上是脚本小子（Script Kiddies）的人用做练习***技术的手段。而其他的一些特权提升***（除通过蠕虫等进行自动***外），通常都会或多或少地牵涉到一些技术性的东西，从而掌握起来会有一定的难度。

2．炫耀

***们常常以能攻破某系统作为向同伴炫耀，提高在***社会中的可信度及知名度的资本，拒绝服务***虽然技术要求不是很高，有时也被一些人特别是一些“所谓的”***①用来炫耀。

3．仇恨或报复

仇恨或报复也常常是***的动机。寻求报复通常都基于强烈的感情，***者可能竭尽所能地发起***，因而一般具有较大的破坏性。同时，拒绝服务***当是报复者的首选***方式，因为他们的目的主要是破坏而非对系统的控制或窃取信息。因仇恨而发起***的人员有：

&Oslash; 前雇员，由于被解雇、下岗或者因为其他不愉快的原因辞职而感到不满的。

&Oslash; 现雇员，感到其雇主应该提升自己、增加薪水或以其他方式承认其工作，而愿望没有得到满足的，尤其是哪些因为类似原因，打算辞职的。

&Oslash; 现雇员，因为政治斗争、升职竞争等原因而恶意破坏他人工作成绩的。

&Oslash; 外部人员，由于对公司充满仇恨，例如不满的客户或者竞争对手的雇员，他们可能希望损害公司的利益或者使其陷入困境。

&Oslash; 外部人员，他们可能仇恨公司所雇用的某个人，这个人也许是前男/女朋友，前配偶等。

4．恶作剧或单纯为了破坏

有些系统的使用需要账户（用户名）和口令进行身份认证，而当以某个用户名登录时，如果口令连续错误的次数超过一定值，系统会锁定该账户，***者可以采用此方法实施对账户的拒绝服务***。此外，我们在现实生活中常常见到一些公共设施如通信电缆被恶意毁坏；在网络社会中，类似的情况也时有发生，这些***常常是为了恶作剧。

5．经济原因

有的***者***系统是为了某种经济利益，无论是直接的还是间接的。比如A、B是两家相互竞争的依赖Internet做生意的公司，如果其中一个公司的服务质量降低或者顾客不能访问该公司的网络，顾客可能会转向另一家公司，则A就可能对B公司提供的网上服务实施拒绝服务***，在这里，***者A可以通过对B的***而获取经济利益。***者也可以受雇而发起***，例如在上例中，一些***可能受A的雇佣而***B的网络，类似的实际案例早有报道[Cyberslam04]。

敲诈、勒索也逐渐成为了一些***者进行拒绝服务***的目的。由于拒绝服务***会导致较大的损失，一些***者以此作为敲诈勒索的手段。例如，2004年欧洲杯足球赛期间发生的一起针对一个×××公司的敲诈案[BBC04]，***者威胁说如果该公司不付钱就会***其网站，使之下线。在其他的重要体育赛事期间，也发生过多起类似的犯罪行为。

又如，Renaud Bidou在Black Hat USA 2005会议中介绍了一个以拒绝服务***进行敲诈勒索的例子[Bidou05]。受害者是位于莫斯科的一个从事货币兑换的俄罗斯金融公司，受害者的业务都是从网上在线处理的。***者先用大约每秒150 000个数据包的SYN风暴***受害者的服务器（所有数据包指向同一个IP的同一个端口，即受害者关键业务所用的端口），***30分钟后，***者通过ICQ联系，要求受害者在36小时内支付指定数量的赎金，整个第一波***持续60分钟后停止。从第一波***开始起36小时后，由于没有收到赎金，***者发起了第二波***，在此次***中，***者从每秒50 000个数据包开始，按每5分钟以每秒50 000个数据包的力度递增，到20分钟时达到***的极限——每秒200 000个数据包，所有这些数据包都被受害者的SYNCookies措施（见7.1.1节）所阻塞。第二波***的持续时间不长，到35分钟以后，受害者的业务得以恢复。

随着越来越多的受害者选择向敲诈者妥协[Reuters04]，以拒绝服务***进行敲诈勒索的案例越来越多[computerworld05]。同时，由于拒绝服务***常常涉及超出国界的Internet连接，对拒绝服务***这种犯罪行为的起诉也比较困难，这进一步加剧了问题的严重性。

6．政治原因

这类***的目的是对某种政治思想的表达或者压制他人的表达。如2001年5月间，由美国间谍飞机撞毁我巡逻机引发的，中美***之间的一场网络大战①，以及2003年伊拉克战争期间美国与伊拉克***之间的发生的相互***对方国内网络的事件就属政治原因引起的（当然，拒绝服务***只是当时双方采取的***手段之一）。又比如，某银行贷款给一家公司用于在某处建一对环境污染严重的化工厂，环境保护主义者可能会***该银行，后果或者是导致该银行的损失，达到报复该银行的目的，或者是迫使该银行取消该项贷款，达到保护环境的目的。

7．信息战

在战争条件下，交战双方如果采取信息战的方式，则拒绝服务***就是最常用的战术手段之一。例如，1991年，在海湾战争开战前数周，美国特工买通了安曼国际机场的工作人员，用带有病毒的芯片替换了运往伊拉克的打印机芯片[Military] [RD13]。该病毒由美国国家安全局设计，目的就是为了破坏巴格达的防空系统，从而为美方的空中打击创造有利条件。据一本名为《不战而胜：波斯湾战争中未揭露的历史》（Triumph without Victory: The Unreported History of the Persian Gulf War）的图书称，该病毒可以逃避层层安全检测，当病毒存在于计算机上时，每次伊拉克的技术人员开一个窗口访问信息的时候，其计算机屏幕上的信息就会消失。有报道称该病毒最后确实起作用了[phrack37]。这里，美方通过激发病毒使得伊拉克防空系统使用的打印机不能正常工作，就是一种拒绝服务***。

8．作为特权提升***的辅助手段

前面讨论的目的都是由拒绝服务***直接达到的，事实上，拒绝服务***还可以作为特权提升***、获得非法访问的一种辅助手段。这时候，拒绝服务***服从于其他***的目的。通常，***者不能单纯通过拒绝服务***获得对某些系统、信息的非法访问，但其可作为间接手段。

SYN风暴***可以用于IP劫持、IP欺骗等。当***者想要向B冒充C时，其通常需要C不能响应B的消息，为此，***者可以先***C（如果它是在线的）使其无法对B的消息进行响应。然后***者就可以通过窃听发向C的数据包，或者通过猜测发向C的数据包中的序列号等，然后冒充C与第三方通信。

一些系统在启动时会有漏洞，可以通过拒绝服务***使之重启，然后在该系统重启时针对漏洞进行***。如RARP-boot，如果能令其重启，就可以将其攻破。只需知道RARP-boot在引导时监听的端口号（通常为69），通过向其发送伪造的数据包几乎可以完全控制其引导（Boot）过程。

有些网络配置成当防火墙关闭时所有数据包都能通过（特别是对于那些提供服务比安全更加重要的场合，如普通的ISP），则可通过对防火墙的拒绝服务***使其失去作用达到非法访问受防火墙保护的网络的目的。

对Windows系统的大多数配置变动在生效前都需要重新启动系统。这么一来，如果***者已经获得了对系统的管理性特权的变动之后，可能需要采取拒绝服务***的手段使系统重启或者迫使系统的真正管理员重启系统[Scambrary02]，以便其改动的配置生效。

对DNS的拒绝服务***可以达到地址冒充的目的。DNS服务器起到的是把域名解析为IP地址的作用。***者可以通过把DNS致瘫，然后冒充DNS的域名解析，把错误的域名-IP地址的对应关系提供给用户，以便把用户（受害者）的数据包指向错误的网站（如***者的网站），或者把受害者的邮件指向错误的（如***者的）邮件服务器，这样，***者就达到了冒充其他域名的目的。***者的最终目的大致有两种：一是窃取受害者的信息，但客观上导致用户不能应用相应的服务，也构成拒绝服务***；二是拒绝服务***，如蓄意使用户不能访问需要的网站，不能发送邮件到需要的服务器等。

 

防止拒绝服务的***

许多现代的UNIX允许管理员设置一些限制，如限制可以使用的最大内存、CPU时间以及可以生成的最大文件等。如果当前正在开发―个新的程序，而又不想偶然地使系统变得非常缓慢，或者使其它分享这台主机的用户无法使用，这些限制是很有用的。Korn Shell的ulimit命令和Shell的Iimit命令可以列出当前程的资源限制。

转载于:https://blog.51cto.com/llier/135217