蓝盟-系统集成-蓝盟官网

蓝盟弱电工程，新攻击技术DDoS攻击：分析TCP反射攻击技术

发布者：上海IT外包来源：www.linemore.com

我们熟悉三向TCP链路协议，但您确定服务器在收到SYN数据包后会返回SYN/ACK吗？
　　当前网络中的DDoS对抗，基于TCP协议的攻击反射法悄然崛起，并先后有法，因为这对DDoS防护的一部分的严重挑战的许多变化。新场景下的技术对抗尽可能接近。
　　如今，换来的是一种新型的反射攻击的攻击—— TCP的：黑客伪造目标服务器连接到网络服务器的TCP公网IP发送连接请求（SYN），使被攻击的服务器收到大量SYN/ACK包号，最终导致拒绝服务路径。由于在这种类型的反射攻击中存在协议栈行为，传统的TCP保护算法难以使用，这使得这种攻击方法越来越强大。
　　新攻击技术DDoS攻击：分析TCP反射攻击技术
　　在我们的研究团队进行长期跟踪分析后，我们发现了这种攻击方法的两个新特征：
　　黑客倾向于逐渐使用来自CDN提供商的服务器资源来发起TCP发起攻击，因为通过扫描CDN提供商的网段，可以快速有效地获得丰富的TCP服务器资源。；
　　TCP反射攻击流量从SYN/ACK变为ACK，保护难度进一步增加。
　　TCP反射0×01的新特性研究
　　特征1：黑客逐渐倾向于使用来自CDN提供商的服务器资源来发起TCP发起攻击。
　　当我们分析和分析实时网络上的TCP反射攻击时，我们发现通常情况下攻击的来源几乎完全是国外的CDN提供商。如图2和图3所示，99.88％的IP攻击来自美国，88.39％属于已知的CDN提供商。
　　新攻击技术DDoS攻击：分析TCP反射攻击技术
　　新攻击技术DDoS攻击：分析TCP反射攻击技术
　　显然，这是黑客开始扫描CDN提供商的IP网段以获得大量反思的想法。由于CDN提供商的IP资源主要用于为用户提供加速服务，TCP端口将不可避免地开放，黑客可以通过这种方式快速获得有效的TCP反射源。例如，作者随机检测CDN提供商的C段的IP，结果是整个C段中的所有IP都具有开放的TCP端口。
　　新攻击技术DDoS攻击：分析TCP反射攻击技术
　　该方法为黑客提供了大量的TCP反射源，可以最大限度地利用攻击者的资源。此外，TCP反射攻击具有协议栈的行为，传统策略难以保护。因此，不难推测这些最后的攻击方法将会到来。最受欢迎的DDoS保护方面并不存在小问题。特征2：镜像流量从SYN/ACK数据包变为ACK数据包，保护难度进一步增加。
　　这里的第一反应可能是颠覆我们的三向TCP链接协议的打印。服务器（反射源）接收SYN请求，它不应该返回SYN/ACK吗？你如何返回一个ACK包？为了回答这个问题，作者从假的SYN请求的黑客程序开始......
　　首先，如上文对反射原理TCP描述，黑客将控制肉鸡进行攻击的服务器的IP地址发起SYN请求到公共网络上的TCP服务器，端口TCP公共网络是固定，因此要实现反射，SYN请求正在进行中。目标端口也是固定的。与此同时，以达到攻击的效果更佳，黑客必须使目标端口反映包是攻击的服务器（绕过安全装置拦截指挥交通港口战略的服务端口它不是服务），即SYN请求包中的源端口也是固定的。正是由于这些原因，五倍攻击者伪造SYN请求消息通常具有附聚。这个结论非常重要，因为它是服务器反弹ACK的先决条件。
　　例如，如图5所示，黑客需要攻击的服务器的IP地址是183. *。 *。 45，服务端口为80，黑客主机为104的TCP反射服务器的IP。*。 *。 35，以及打开的端口是8080，那么该五元组建立在攻击期间SYN数据包将被添加到所述协议TCP:，: DST_IP 104 *。 *。 35，SRC_IP: 183. *。 *。 45，DST_PORT: 8080，SRC_PORT: 80。
　　新攻击技术DDoS攻击：分析TCP反射攻击技术
　　我们都知道，五元组中，判断会话，因此当短线黑客建立了大量的SYN数据包具有相同的五元组发送相同的TCP服务器，这会导致很多“冲突会议”。也就是说，从TCP服务器的角度来看，在接收到第一SYN分组之后，服务器返回一个SYN/ACK等待ACK建立TCP连接，并且目前接收SYN相同的会话。 TCP服务器会发生什么？返回SYN/ACK？ RST又来了吗？还是别的什么？
　　实际上，在这种情况下，TCP服务器的具体决定因素是SYN包的序列号和服务器窗口的大小。假设第一个SYN数据包的序列号是SEQ1，TCP服务器窗口的大小是WND，第二个SYN的序列号是SEQ2，那么：
　　1.如果SEQ2==SEQ1，TCP服务器被视为重传SYN，然后再次返回SYN/ACK（事实上，重传SYN/ACK），如图6从透视对于受攻击的服务器，此攻击方案在短时间内收到大量SYN/ACK数据包，导致拒绝服务。这是实时网络上最常见的场景之一。新攻击技术DDoS攻击：分析TCP反射攻击技术
　　第二，如果是SEQ2>
　　SEQ1 + WND或SEQ2
　　新攻击技术DDoS攻击：分析TCP反射攻击技术
　　图7 RFC: 793 page69
　　因此，当黑客伪造SEQ SYN消息的随机变化，很容易达到上述情况，和TCP服务器返回一个ACK消息，作为示于图参照图8和图8。
　　新攻击技术DDoS攻击：分析TCP反射攻击技术
　　图8反射TCP，反弹场景ACK（SEQ2>
　　SEQ1 + WND）
　　新攻击技术DDoS攻击：分析TCP反射攻击技术
　　图9 TCP反射，反弹场景ACK（SEQ2
　　在这种情况下，受攻击的服务器会收到少量的SYN/ACK和大量的ACK数据包，这是实时网络上最常见的情况。如图10所示，实时网络上真实TCP反射攻击的数据包捕获采样与正常的ACKFLOOD攻击没有太大区别。实际上，这种流量具有协议栈行为，因此传统策略难以有效保护。
　　新攻击技术DDoS攻击：分析TCP反射攻击技术
　　图10当前网络TCP的反射攻击样本
　　第三，如果是SEQ1
　　新攻击技术DDoS攻击：分析TCP反射攻击技术
　　图11 TCP反射，反弹场景RST
　　总之，要实现TCP反射攻击和旁路保护政策尽可能，黑客伪造的SYN包结块，造成严重会话的冲突。不同的SEQ号将触发不同的TCP服务器响应方案（有关情况的摘要，请参见图12）。因此，除了大量的流量SYN/ACK的，有可能是在反映当前网络TCP的大ACK SYN/ACK +少量。后者的混合交通和交通组成部分更复杂，更难以保护。
　　新攻击技术DDoS攻击：分析TCP反射攻击技术
　　0×02新的TCP反射保护算法
　　作者总结了TCP反射保护的主要困难：
　　1. TCP反射流量具有协议栈行为，传统保护算法难以识别和保护；
　　2，专业的反D团队通常被省略，因此无法获得服务器的输出流量，这意味着它不能通过双向会话验证来保护；
　　3. TCP的反映通常是SYN/ACK和ACK的混合流量，并且相对于正常流量的组成关系和行为几乎没有差异。因此，传统的组件分析和速度限制方法难以使用。

微软云

IT采购

弱电工程

系统集成

客户故事

蓝盟弱电工程，新攻击技术DDoS攻击：分析TCP反射攻击技术

400-635-8089