从接入节点谈 和DDOS攻击防御（通用6篇）
篇1：从接入节点谈 和DDOS攻击防御
近一段时期以来，“ ”已经成为网络上最热门的一个词语，“熊猫”刚走，“灰鸽子”又来。我们看到，随着网络的普及和带宽资费的松动，国内的“ ”部落，已经从最初的炫耀技术，慢慢向“职业化”发展。
早期的“ ”，主要利用操作系统或者软件的漏洞，入侵一些 WEB 服务等，窜改页面的内容，比如在主页写上“您的主页被 XXX 攻克” 的字样，以炫耀自己的技术。他们追求的只是“肉鸡”的占领，而尽量不破坏影响用户的正常服务，更不会以此来要挟获取利益。
而现在， 们已经不满足于炫耀，而是更加的务实。他们现在开始利用网络来窃取银行秘码，股票交易秘码，和一些游戏的帐户，其最终目的已经不是炫耀，而是直接利用网络来赚钱，来换取现金。一些更高级的 们，会利用已经占领的大量“肉机”，在一些人的利益的诱惑下，向一些网站， ISP 游戏提供商或者网吧运营商发动 DDOS 拒绝服务攻击，造成网络拥挤，正常的经营被迫关闭，这些 也因此会可以获得高额报酬。由于这类活动已经超越的法律的界限，因此一些人才提出“做 要低调”，以逃避公安的追查。在网络经历的几年的低谷期后，逐渐开始欣欣向荣的今天，这些“ ”也要趁着这股东风，在网上兴风作浪，赚取不义之财。
对比以前，目前 进行的活动更加具有破坏力，已经严重影响了人们的正常的经济活动秩序。如果不尽早对利用网络犯罪这个毒瘤加以重视，研究并采取必要的措施，将严重阻碍国内信息化网络的建设，甚至破坏国内的经济发展和社会的和谐。
一些公安机关，运营商和网络安全厂商已经意识到网络攻击问题的严重性，今年 1 月由三方参加的在北京举办的防护网络 DDOS 的高层研讨会上，就提出许多有建设性的意见。
目前， 进行网络破坏活动主要是两类途径：
一：利用邮件，网络下载，聊天等工具分发和传播后门程序。
用户从不名网站的链接下载一些程序中，有时就会有 设计的陷阱，用户运行这些程序后，后门程序也一同种植在机器中，这些木马程序会获取用户的超级管理员权限，监视和记录用户的所有操作动作，包括通过键盘敲入的任何指令，盗用用户的一些特殊帐户，密码，然后自动发给 。另外， 还会通过木马程序开放某些特殊端口，供 控制主机和继续进一步入侵时使用，此时，这台主机就成为 的“肉鸡”。同时，利用一些操作系统的漏洞，一些高级的木马程序有时还会像病毒一样试图连接局域网内的其他程序，进行复制和传播，入侵内网的其他主机。
二： 利用占领的“肉机”，向一些网站，交易平台，游戏，网吧等一些经营性服务器发起 DDOS 拒绝服务攻击，利用同一时间的海量数据阻塞网络链路，使正常服务无法连接和访问。这种类型的攻击，以不仅仅是炫耀技术，而更多是有很多直接获利的目的，他们或者是恶意商业竞争的对手花钱雇佣的(据报道，现在 市场的价格是租用每个“肉鸡”的价格，仅需要几角钱 / 每星期)，或者因此达到敲诈或者报复的目的.
DoS 攻击
通常而言， DoS 的网络数据包同样是利用 TCP/IP 协议在 Internet 传输。这些数据包本身一般是无害的，但是如果数据包异常过多，就会造成网络设备或者服务器过载，迅速消耗了系统资源，造成服务拒绝，这就是 DoS 攻击的基本工作原理。
DoS 攻击之所以难于防护，其关键之处就在于非法流量和合法流量相互混杂，防护过程中无法有效的检测到 DoS 攻击。加之许多 DoS 攻击都采用了伪造源地址 IP 的技术，从而成功的躲避了基于统计模式工具的识别。
具体 DOS 攻击实现有如下几种方法：
1 、SYN FLOOD
利用服务器的连接缓冲区，设置特殊的 TCP 包头，向服务器端不断地发送大量只有 SYN 标志的 TCP 连接请求。当服务器接收的时候，认为是没有建立起来的连接请求，于是这些请求建立会话，排到缓冲区队列中。如果发送的 SYN 请求超过了服务器能容纳的限度，缓冲区队列占满，那么服务器就不再接收新的请求了，因此其他合法用户的连接都会被拒绝掉。
2 、IP 欺骗 DOS 攻击
这种攻击利用 RST 位来实现。假设现在有一个合法用户 (1.1.1.1) 已经同服务器建立了正常的连接，攻击者构造攻击的 TCP 数据，伪装自己的 IP 为 1.1.1.1 ，并向服务器发送一个带有 RST 位的 TCP 数据段。服务器接收到这样的数据后，会认为从 1.1.1.1 发送的连接有错误，从而清空缓冲区中建立好的连接。这时，如果合法用户 1.1.1.1 再发送合法数据，服务器就已经没有这样的连接了，该用户就必须从新开始建立连接。攻击者伪造大量的 IP 地址，向目标主机发送 RST 数据，从而使服务器不对合法用户服务，
K3 、带宽 DOS 攻击( UDP Flood ， ICMP Flood )
这类攻击完全利用连接带宽足够大，持续向目标服务器发送大量请求，如 UDP 的包， ICMP 的 ping 包，来消耗服务器的缓冲区，或者仅消耗服务器的连接带宽，从而达到网络拥塞，使服务器不能正常提供服务。
DDOS 攻击
单一的 DoS 攻击一般是采用一对一方式的，“分布式拒绝服务攻击”( Distributed Denial of Service ，简称 DDoS )是建立在传统的 DoS 攻击基础之上一类攻击方式。当计算机与网络的处理能力加大了，用一台攻击机来攻击不再能起作用的话，攻击者就使用 10 台甚至 100 台攻击机同时攻击。这就是 DDos 。 DDoS 就是利用更多的傀儡机“肉鸡”来同时发起进攻，更大规模的来进攻受害者，破坏力更强。
现在，高速广泛连接的网络给大家带来了方便，但同时也为 DDoS 攻击创造了极为有利的条件。在低速网络时代时， 占领攻击用的傀儡机时，总是会优先考虑离目标网络距离近的机器，因为经过路由器的跳数少，效果好。而现在电信骨干节点之间的连接都是以 G 为级别的，大城市之间更可以达到 2.5G 的连接，这使得攻击可以从更远的地方或者其他城市发起，攻击者的傀儡机位置可以在分布在更大的范围，选择起来更灵活了，攻击也更加隐蔽。 当主机服务器被 DDoS 攻击时，通常会有如下现象 ：
? 被攻击主机上有大量等待的 TCP 连接
? 网络中充斥着大量的无用的数据包，源地址一般为伪造的
? 高流量无用数据造成网络拥塞，使受害主机无法正常和外界通讯
? 反复高速的发出特定的服务请求，使受害主机无法及时处理所有正常请求
? 系统服务器 CPU 利用率极高，处理速度缓慢，甚至宕机
如何应对 DDOS 攻击
从以上的分析可以看出， 的攻击方式已经越来越简单，门槛越来越低，因此，这次攻击事件越来越频繁，造成的破坏力也越来越严重。
首先，要加强每个网络用户的安全意识，安装杀毒软件，安装软件或者硬件防火墙，不从不名网站下载软件，不访问一些不名网站，不打开不名邮件，尽量避免木马的种植。
其次，要求国家立法单位，对网络犯罪进行立法，对传播病毒，木马，和进行 攻击的行为进行定性，并有法可依，保障国家信息高速网络平台的安全，为国内信息化建设保驾护航。
再次，我们的运营商有义务在网络平台升级和建设的过程中，有效在各个节点抵御 恶意攻击的行为，以净化我们的网络。不光仅仅是只加强可以看到效益的终端平台，如 IDC 机房的抗 DDOS 防护，而是应该在网络的各个节点都加强防护，特别是在接入端进行 DDOS 防护和源地址检测，使得 的主机或者占领的“肉鸡”，无法拉起大量带宽，有效记录各种用户(特别是网吧用户)的网络行为，建立电子档案，以协助公安部门对网络犯罪进行调查，为指证犯罪提供证据。
对我们的一些网络运营平台用户，如经营性网站，门户网站，网上交易平台，网络游戏提供商，网吧， VOIP 提供商等，也要加强网络出口的防护，发现和举证攻击行为，做好日志记录，并利用硬件防护设备，最大程度的减少 攻击的危害，保障经营性平台的正常运行。
对我们企事业单位的网络，虽不象经营性的网络，成为 攻击的重点目标，但也可能存在“误伤”的现象，如与某个网吧共在一个运营商的路由器下，或者 得到的 IP 地址不准确，目前这类网络事件也不少。因此，在新的网络的设计中，防护 DDOS ，也应该成为企业网络安全防护的重点，同时，在企业网络的规划中，如何防止自己内部的主机和服务器避免成为 的“肉鸡”，也是企业在新形势下防护的一个重点课题，要求我们的企业网络要真正做到 1 )对内部主机的有效防护，避免成为 的“肉鸡” 2 )当内部主机成为“肉鸡”后能很快发现，并在很快的时间内杀掉控制程序 3 )“肉鸡”攻击和传播时迅速报警，切断其攻击和传播途径，同时，不影响出口带宽和内部其他主机网络的正常使用。
因此，在防护 DDOS 和 攻击的问题上，要求我们的公安机关，运营商和网络安全厂商，和网络的用户，在意识到网络攻击问题的严重性前提下，多方配合，共同加强我们的网络平台安全性的建设性，净化我们的网络，不给 以生存的攻击，保障我们十几年来信息网络平台建设的成果，为我国的经济建设提供坚固安全的网络信息化平台。
在网络安全厂商方面，对于专用的抗 DDOS 设备，许多厂商也参与进来，研制了许多新型设备，目前大多数还是集中在解决IDC机房的主机防护上。
其实，通过上述的研究，我们知道，要彻底根除 DDOS 和 攻击，攻击源头，接入节点和一些骨干节点才是防护的重点，在这个层次上做的比较好的厂商不是很多，举个例子，大唐龙创公司，大唐龙创公司在接入节点DDOS 防护上有很好的解决方案。扩充了其 DDOS 防护的产品线，为运营商提供“接入节点”的 攻击防护，在防护接入带宽的同时，使得 和 的占领的“肉鸡”无法施展效力，无处藏身，从源头上解决目前 DDOS 攻击猖獗的问题。
篇2：从接入节点谈 和DDOS攻击防御
发布日期：2004年12月18日
发布网站：www.hackbase.com
简述：由于近期DDOS攻击越来越广泛，本站特邀请我们的名誉技术顾问、网络安全专家孤独剑客先生结合多年抵御DDOS攻击的经验独家撰写此文，文中不仅深入浅出地阐述了分布式拒绝服务攻击DDOS的概念、流行的DDOS攻击手段及判断是否被DDOS攻击的方法，而且还结合实际给出了全面的DDOS实战防御建议，希望此文能帮助网站站长们早日摆脱DDOS攻击的困扰，我们热诚欢迎共同探讨DDOS相关话题， 基地www.hackbase.com
关键词：DDOSSYNFLOOD防火墙
一、为何要DDOS?
随着Internet互联网络带宽的增加和多种DDOS 工具的不断发布，DDOS拒绝服务攻击的实施越来越容易，DDOS攻击事件正在成上升趋势。出于商业竞争、打击报复和网络敲诈等多种因素，导致很多IDC托管机房、商业站点、游戏服务器、聊天网络等网络服务商长期以来一直被DDOS攻击所困扰，随之而来的是客户投诉、同虚拟主机用户受牵连、法律纠纷、商业损失等一系列问题，因此，解决DDOS攻击问题成为网络服务商必须考虑的头等大事。
二、什么是DDOS?
DDOS是英文DistributedDenialofService的缩写，意即“分布式拒绝服务”，那么什么又是拒绝服务(DenialofService)呢?可以这么理解，凡是能导致合法用户不能够访问正常网络服务的行为都算是拒绝服务攻击。也就是说拒绝服务攻击的目的非常明确，就是要阻止合法用户对正常网络资源的访问，从而达成攻击者不可告人的目的。虽然同样是拒绝服务攻击，但是DDOS和DOS还是有所不同，DDOS的攻击策略侧重于通过很多“僵尸主机”(被攻击者入侵过或可间接利用的主机)向受害主机发送大量看似合法的网络包，从而造成网络阻塞或服务器资源耗尽而导致拒绝服务，分布式拒绝服务攻击一旦被实施，攻击网络包就会犹如洪水般涌向受害主机，从而把合法用户的网络包淹没，导致合法用户无法正常访问服务器的网络资源，因此，拒绝服务攻击又被称之为“洪水式攻击”，常见的DDOS攻击手段有SYNFlood、ACKFlood、UDPFlood、ICMPFlood、TCPFlood、ConnectionsFlood、ScriptFlood、ProxyFlood等;而DOS则侧重于通过对主机特定漏洞的利用攻击导致网络栈失效、系统崩溃、主机死机而无法提供正常的网络服务功能，从而造成拒绝服务，常见的DOS攻击手段有TearDrop、Land、Jolt、IGMPNuker、Boink、Smurf、Bonk、OOB等。就这两种拒绝服务攻击而言，危害较大的主要是DDOS攻击，原因是很难防范，至于DOS攻击，通过给主机服务器打补丁或安装防火墙软件就可以很好地防范，后文会详细介绍怎么对付DDOS攻击。
三、被DDOS了吗?
DDOS的表现形式主要有两种，一种为流量攻击，主要是针对网络带宽的攻击，即大量攻击包导致网络带宽被阻塞，合法网络包被虚假的攻击包淹没而无法到达主机;另一种为资源耗尽攻击，主要是针对服务器主机的攻击，即通过大量攻击包导致主机的内存被耗尽或CPU被内核及应用程序占完而造成无法提供网络服务。
如何判断网站是否遭受了流量攻击呢?可通过Ping命令来测试，若发现Ping超时或丢包严重(假定平时是正常的)，则可能遭受了流量攻击，此时若发现和你的主机接在同一交换机上的服务器也访问不了了，基本可以确定是遭受了流量攻击。当然，这样测试的前提是你到服务器主机之间的ICMP协议没有被路由器和防火墙等设备屏蔽，否则可采取Telnet主机服务器的网络服务端口来测试，效果是一样的。不过有一点可以肯定，假如平时Ping你的主机服务器和接在同一交换机上的主机服务器都是正常的，突然都Ping不通了或者是严重丢包，那么假如可以排除网络故障因素的话则肯定是遭受了流量攻击，再一个流量攻击的典型现象是，一旦遭受流量攻击，会发现用远程终端连接网站服务器会失败。
相对于流量攻击而言，资源耗尽攻击要容易判断一些，假如平时Ping网站主机和访问网站都是正常的，发现突然网站访问非常缓慢或无法访问了，而Ping还可以Ping通，则很可能遭受了资源耗尽攻击，此时若在服务器上用Netstat-na命令观察到有大量的SYN_RECEIVED、TIME_WAIT、FIN_WAIT_1等状态存在，而ESTABLISHED很少，则可判定肯定是遭受了资源耗尽攻击。还有一种属于资源耗尽攻击的现象是，Ping自己的网站主机Ping不通或者是丢包严重，而Ping与自己的主机在同一交换机上的服务器则正常，造成这种原因是网站主机遭受攻击后导致系统内核或某些应用程序CPU利用率达到100%无法回应Ping命令，其实带宽还是有的，否则就Ping不通接在同一交换机上的主机了。
当前主要有三种流行的DDOS攻击：
1、SYN/ACKFlood攻击：这种攻击方法是经典最有效的DDOS方法，可通杀各种系统的网络服务，主要是通过向受害主机发送大量伪造源IP和源端口的SYN或ACK包，导致主机的缓存资源被耗尽或忙于发送回应包而造成拒绝服务，由于源都是伪造的故追踪起来比较困难，缺点是实施起来有一定难度，需要高带宽的僵尸主机支持。少量的这种攻击会导致主机服务器无法访问，但却可以Ping的通，在服务器上用Netstat-na命令会观察到存在大量的SYN_RECEIVED状态，大量的这种攻击会导致Ping失败、TCP/IP栈失效，并会出现系统凝固现象，即不响应键盘和鼠标，
普通防火墙大多无法抵御此种攻击。
2、TCP全连接攻击：这种攻击是为了绕过常规防火墙的检查而设计的，一般情况下，常规防火墙大多具备过滤TearDrop、Land等DOS攻击的能力，但对于正常的TCP连接是放过的，殊不知很多网络服务程序(如：IIS、Apache等Web服务器)能接受的TCP连接数是有限的，一旦有大量的TCP连接，即便是正常的，也会导致网站访问非常缓慢甚至无法访问，TCP全连接攻击就是通过许多僵尸主机不断地与受害服务器建立大量的TCP连接，直到服务器的内存等资源被耗尽而被拖跨，从而造成拒绝服务，这种攻击的特点是可绕过一般防火墙的防护而达到攻击目的，缺点是需要找很多僵尸主机，并且由于僵尸主机的IP是暴露的，因此容易被追踪。
3、刷Script脚本攻击：这种攻击主要是针对存在ASP、JSP、PHP、CGI等脚本程序，并调用MSSQLServer、MySQLServer、Oracle等数据库的网站系统而设计的，特征是和服务器建立正常的TCP连接，并不断的向脚本程序提交查询、列表等大量耗费数据库资源的调用，典型的以小博大的攻击方法。一般来说，提交一个GET或POST指令对客户端的耗费和带宽的占用是几乎可以忽略的，而服务器为处理此请求却可能要从上万条记录中去查出某个记录，这种处理过程对资源的耗费是很大的，常见的数据库服务器很少能支持数百个查询指令同时执行，而这对于客户端来说却是轻而易举的，因此攻击者只需通过Proxy代理向主机服务器大量递交查询指令，只需数分钟就会把服务器资源消耗掉而导致拒绝服务，常见的现象就是网站慢如蜗牛、ASP程序失效、PHP连接数据库失败、数据库主程序占用CPU偏高。这种攻击的特点是可以完全绕过普通的防火墙防护，轻松找一些Proxy代理就可实施攻击，缺点是对付只有静态页面的网站效果会大打折扣，并且有些Proxy会暴露攻击者的IP地址。
四、怎么抵御DDOS?
对付DDOS是一个系统工程，想仅仅依靠某种系统或产品防住DDOS是不现实的，可以肯定的是，完全杜绝DDOS目前是不可能的，但通过适当的措施抵御90%的DDOS攻击是可以做到的，基于攻击和防御都有成本开销的缘故，若通过适当的办法增强了抵御DDOS的能力，也就意味着加大了攻击者的攻击成本，那么绝大多数攻击者将无法继续下去而放弃，也就相当于成功的抵御了DDOS攻击。以下为笔者多年以来抵御DDOS的经验和建议，和大家分享!
1、采用高性能的网络设备
首先要保证网络设备不能成为瓶颈，因此选择路由器、交换机、硬件防火墙等设备的时候要尽量选用知名度高、口碑好的产品。再就是假如和网络提供商有特殊关系或协议的话就更好了，当大量攻击发生的时候请他们在网络接点处做一下流量限制来对抗某些种类的DDOS攻击是非常有效的。
2、尽量避免NAT的使用
无论是路由器还是硬件防护墙设备要尽量避免采用网络地址转换NAT的使用，因为采用此技术会较大降低网络通信能力，其实原因很简单，因为NAT需要对地址来回转换，转换过程中需要对网络包的校验和进行计算，因此浪费了很多CPU的时间，但有些时候必须使用NAT，那就没有好办法了。
3、充足的网络带宽保证
网络带宽直接决定了能抗受攻击的能力，假若仅仅有10M带宽的话，无论采取什么措施都很难对抗现在的SYNFlood攻击，当前至少要选择100M的共享带宽，最好的当然是挂在1000M的主干上了。但需要注意的是，主机上的网卡是1000M的并不意味着它的网络带宽就是千兆的，若把它接在100M的交换机上，它的实际带宽不会超过100M，再就是接在100M的带宽上也不等于就有了百兆的带宽，因为网络服务商很可能会在交换机上限制实际带宽为10M，这点一定要搞清楚。
4、升级主机服务器硬件
在有网络带宽保证的前提下，请尽量提升硬件配置，要有效对抗每秒10万个SYN攻击包，服务器的配置至少应该为：P42.4G/DDR512M/SCSI-HD，起关键作用的主要是CPU和内存，若有志强双CPU的话就用它吧，内存一定要选择DDR的高速内存，硬盘要尽量选择SCSI的，别只贪IDE价格不贵量还足的便宜，否则会付出高昂的性能代价，再就是网卡一定要选用3COM或Intel等名牌的，若是Realtek的还是用在自己的PC上吧。
5、把网站做成静态页面
大量事实证明，把网站尽可能做成静态页面，不仅能大大提高抗攻击能力，而且还给 入侵带来不少麻烦，至少到现在为止关于HTML的溢出还每出现，看看吧!新浪、搜狐、网易等门户网站主要都是静态页面，若你非需要动态脚本调用，那就把它弄到另外一台单独主机去，免的遭受攻击时连累主服务器，当然，适当放一些不做数据库调用脚本还是可以的，此外，最好在需要调用数据库的脚本中拒绝使用代理的访问，因为经验表明使用代理访问你网站的80%属于恶意行为。
6、增强操作系统的TCP/IP栈
Win2000和Win2003作为服务器操作系统，本身就具备一定的抵抗DDOS攻击的能力，只是默认状态下没有开启而已，若开启的话可抵挡约10000个SYN攻击包，若没有开启则仅能抵御数百个，具体怎么开启，自己去看微软的文章吧!《强化TCP/IP堆栈安全》-www.microsoft.com/china/technet/security/guidance/secmod109.mspx
篇3：DDOS及防御DDOS攻击
DDOS是英文Distributed Denial of Service的缩写,意即“分布式拒绝服务”,凡是能导致合法用户不能够正常访问网络服务的行为都可以被理解为拒绝服务攻击。也就是说拒绝服务攻击的目的非常明确,就是要阻止合法用户对正常网络资源的访问。虽然同样是拒绝服务攻击,但是DDOS和DOS还是有所不同,DDOS的攻击策略侧重于通过很多“僵尸主机”(被攻击者入侵过或可间接利用的主机)向受害主机发送大量看似合法的网络包,从而造成网络阻塞或服务器资源耗尽而导致拒绝服务,分布式拒绝服务攻击一旦被实施,攻击网络包就会犹如洪水般涌向受害主机,从而把合法用户的网络包淹没,导致合法用户无法正常访问服务器的网络资源,因此,拒绝服务攻击又被称之为“洪水式攻击”,常见的DDOS攻击手段有SYN Flood、ACK Flood、UDP Flood、ICMP Flood、TCP Flood、Connections Flood、Script Flood、Proxy Flood等;而DOS则侧重于通过对主机特定漏洞的利用攻击导致网络栈失效、系统崩溃、主机死机而无法提供正常的网络服务功能,从而造成拒绝服务,常见的DOS攻击手段有Tear Drop、Land、Jolt、IGMP Nuker、Boink、Smurf、Bonk、OOB等。就这两种拒绝服务攻击而言,危害较大的主要是DDOS攻击,原因是很难防范,至于DOS攻击,通过给主机服务器打补丁或安装防火墙软件就可以很好地防范,后文会详细介绍怎么对付DDOS攻击。
二、对DDOS攻击的检测
DDOS的表现形式主要有两种,一种为流量攻击,主要是针对网络带宽的攻击,即大量攻击包导致网络带宽被阻塞,合法网络包被虚假的攻击包淹没而无法到达主机;另一种为资源耗尽攻击,主要是针对服务器主机的攻击,即通过大量攻击包导致主机的内存被耗尽或CPU被内核及应用程序占完而造成无法提供网络服务。
如何判断网站是否遭受了流量攻击呢?可通过Ping命令来测试,若发现Ping超时或丢包严重(假定平时是正常的),则可能遭受了流量攻击,此时若发现和你的主机接在同一交换机上的服务器也访问不了了,基本可以确定是遭受了流量攻击。当然,这样测试的前提是你到服务器主机之间的ICMP协议没有被路由器和防火墙等设备屏蔽,否则可采取Telnet主机服务器的网络服务端口来测试,效果是一样的。不过有一点可以肯定,假如平时Ping你的主机服务器和接在同一交换机上的主机服务器都是正常的,突然都Ping不通了或者是严重丢包,那么在排除网络故障因素的情况下则肯定是遭受了流量攻击。再一个流量攻击的典型现象是,一旦遭受流量攻击,会发现用远程终端连接网站服务器会失败。
相对于流量攻击而言,资源耗尽攻击要容易判断一些,假如平时Ping网站主机和访问网站都是正常的,发现突然网站访问非常缓慢或无法访问了,而Ping还可以Ping通,则很可能遭受了资源耗尽攻击,此时若在服务器上用Netstat-na命令观察到有大量的SYN_RECEIVED、TIME_WAIT、FIN_WAIT_1等状态存在,而ES-TABLISHED很少,则可判定肯定是遭受了资源耗尽攻击。还有一种属于资源耗尽攻击的现象是,Ping自己的网站主机Ping不通或者是丢包严重,而Ping与自己的主机在同一交换机上的服务器则正常,造成这种原因是网站主机遭受攻击后导致系统内核或某些应用程序CPU利用率达到100%无法回应Ping命令,其实带宽还是有的,否则就Ping不通接在同一交换机上的主机了。
三、流行的DDOS攻击方式
1. SYN/ACK Flood攻击
这种攻击方法是经典最有效的DDOS方法,可通杀各种系统的网络服务,主要是通过向受害主机发送大量伪造源IP和源端口的SYN或ACK包,导致主机的缓存资源被耗尽或忙于发送回应包而造成拒绝服务,由于源都是伪造的故追踪起来比较困难,缺点是实施起来有一定难度,需要高带宽的僵尸主机支持。少量的这种攻击会导致主机服务器无法访问,但却可以Ping的通,在服务器上用Netstat-na命令会观察到存在大量的SYN_RECEIVED状态,大量的这种攻击会导致Ping失败、TCP/IP栈失效,并会出现系统凝固现象,即不响应键盘和鼠标。普通防火墙大多无法抵御此种攻击。
2. TCP全连接攻击
这种攻击是为了绕过常规防火墙的检查而设计的,一般情况下,常规防火墙大多具备过滤Tear Drop、Land等DOS攻击的能力,但对于正常的TCP连接是放过的,殊不知很多网络服务程序(如:IIS、Apache等Web服务器)能接受的TCP连接数是有限的,一旦有大量的TCP连接,即便是正常的,也会导致网站访问非常缓慢甚至无法访问,TCP全连接攻击就是通过许多僵尸主机不断地与受害服务器建立大量的TCP连接,直到服务器的内存等资源被耗尽而被拖跨,从而造成拒绝服务,这种攻击的特点是可绕过一般防火墙的防护而达到攻击目的,缺点是需要找很多僵尸主机,并且由于僵尸主机的IP是暴露的,因此容易被追踪。
3. 刷Script脚本攻击
这种攻击主要是针对存在ASP、JSP、PHP、CGI等脚本程序,并调用MSSQLServer、My SQLServer、Oracle等数据库的网站系统而设计的,特征是和服务器建立正常的TCP连接,并不断的向脚本程序提交查询、列表等大量耗费数据库资源的调用,典型的以小博大的攻击方法。一般来说,提交一个GET或POST指令对客户端的耗费和带宽的占用是几乎可以忽略的,而服务器为处理此请求却可能要从上万条记录中去查出某个记录,这种处理过程对资源的耗费是很大的,常见的数据库服务器很少能支持数百个查询指令同时执行,而这对于客户端来说却是轻而易举的,因此攻击者只需通过Proxy代理向主机服务器大量递交查询指令,只需数分钟就会把服务器资源消耗掉而导致拒绝服务,常见的现象就是网站慢如蜗牛、ASP程序失效、PHP连接数据库失败、数据库主程序占用CPU偏高。这种攻击的特点是可以完全绕过普通的防火墙防护,轻松找一些Proxy代理就可实施攻击,缺点是对付只有静态页面的网站效果会大打折扣,并且有些Proxy会暴露攻击者的IP地址。
四、如何抵御DDOS
对付DDOS是一个系统工程,想仅仅依靠某种系统或产品防住DDOS是不现实的,可以肯定的是,完全杜绝DDOS目前是不可能的,但通过适当的措施抵御90%的DDOS攻击是可以做到的,基于攻击和防御都有成本开销的缘故,若通过适当的办法增强了抵御DDOS的能力,也就意味着加大了攻击者的攻击成本,那么绝大多数攻击者将无法继续下去而放弃,也就相当于成功的抵御了DDOS攻击。以下笔者提供几种较为有效的抵御DDOS的方法。
1. 采用高性能的网络设备
首先要保证网络设备不能成为瓶颈,因此选择路由器、交换机、硬件防火墙等设备的时候要尽量选用知名度高、口碑好的产品。再就是假如和网络提供商有特殊关系或协议的话就更好了,当大量攻击发生的时候请他们在网络接点处做一下流量限制来对抗某些种类的DDOS攻击是非常有效的。
2. 尽量避免NAT的使用
无论是路由器还是硬件防护墙设备要尽量避免采用网络地址转换NAT的使用,因为采用此技术会较大降低网络通信能力,其实原因很简单,因为NAT需要对地址来回转换,转换过程中需要对网络包的校验和进行计算,因此浪费了很多CPU的时间,但有些时候必须使用NAT,那就没有好办法了。
3. 充足的网络带宽保证
网络带宽直接决定了能抗受攻击的能力,假若仅仅有10M带宽的话,无论采取什么措施都很难对抗现在的SYNFlood攻击,当前至少要选择100M的共享带宽,最好的当然是挂在1000M的主干上了。但需要注意的是,主机上的网卡是1000M的并不意味着它的网络带宽就是千兆的,若把它接在100M的交换机上,它的实际带宽不会超过100M,再就是接在100M的带宽上也不等于就有了百兆的带宽,因为网络服务商很可能会在交换机上限制实际带宽为10M,这点一定要搞清楚。
4. 升级主机服务器硬件
在有网络带宽保证的前提下,请尽量提升硬件配置,要有效对抗每秒10万个SYN攻击包,服务器的配置至少应该为:P4 2.4G/DDR512M/SCSI-HD,起关键作用的主要是CPU和内存,若有志强双CPU的话就用它吧,内存一定要选择DDR的高速内存,硬盘要尽量选择SCSI的,别只贪IDE价格不贵量还足的便宜,否则会付出高昂的性能代价,再就是网卡一定要选用3COM或Intel等名牌的,若是Realtek的还是用在自己的PC上吧。
5. 增强操作系统的TCP/IP栈
Win2000和Win2003作为服务器操作系统,本身就具备一定的抵抗DDOS攻击的能力,只是默认状态下没有开启而已,若开启的话可抵挡约10000个SYN攻击包,若没有开启则仅能抵御数百个。
6. 安装专业抗DDOS防火墙
国内有一款口碑很好的“金盾防火墙”,金盾防火墙是专门针对DDOS攻击和黑客入侵而设计的专业级防火墙,该设备采用自主研发的新一代抗拒绝攻击算法,可达到10万-100万个并发攻击的防御能力,同时对正常用户的连接和使用没有影响。专用得体系结构可改变TCP/IP的内核,在系统核心实现防御拒绝攻击的算法,并创造性的将算法实现在网络驱动层,效率没有受到限制。同时可防御多种拒绝服务攻击及其变种,如:SYN Flood。TCP Flood、UDP Flood、ICMP Flood及其变种Land、Teardrop、Smurf、Ping of Death等等。
摘要：随着Internet互联网络带宽的增加和多种DDOS黑客工具的不断发布,DDOS拒绝服务攻击的实施越来越容易,DDOS攻击事件正在呈上升趋势。出于商业竞争、打击报复和网络敲诈等多种因素,导致很多IDC托管机房、商业站点、游戏服务器、聊天网络等网络服务商长期以来一直被DDOS攻击所困扰,随之而来的是客户投诉、同虚拟主机用户受牵连、法律纠纷、商业损失等一系列问题,因此,解决DDOS攻击问题成为网络服务商必须要考虑的头等大事。
关键词：DDOS,拒绝服务,网络攻击
参考文献
[1]李军:DDoS攻击全面解析.网络安全技术与应用,2007.9
[2]张明猛赵天福:DDoS攻击检测技术研究.计算机与信息技术,2007.4
[3]陈明奇:分布式拒绝服务攻击处理实例分析.信息网络安全,2007.6
[4]赵恒王宁宁荣瑞峰:DDOS的攻击与防御.信息技术与信息化,2007.3
篇4：防御DDoS攻击的六大绝招
对于此类隐蔽性极好的DDoS攻击的防范，更重要的是用户要加强安全防范意识，提高网络系统的安全性。专家建议可以采取的安全防御措施有6种。
1）及早发现系统存在的攻击漏洞，及时安装系统补丁程序，对一些重要的信息（如系统配置信息）建立和完善备份机制，对一些特权账号（如管理员账号）的密码设置要谨慎。通过这样一系列的举措，可以把攻击者的可乘之机降低到最小。
2）在网络管理方面，要经常检查系统的物理环境，禁止不必要的网络服务。建立边界安全界限，确保输出的包受到正确限制。经常检测系统配置信息，并注意查看每天的安全日志。
3）利用网络安全设备（如防火墙）来加固网络的安全性，配置好这些设备的安全规则，过滤掉所有可能的伪造数据包。
4）与网络服务提供商协调工作，让网络服务提供商帮助实现路由的访问控制和对带宽总量的限制。
5）当用户发现自己正在遭受DDoS攻击时，应当启动自己的应付策略，尽可能快地追踪攻击包，并且及时联系ISP和有关应急组织，分析受影响的系统，确定涉及的其他节点，从而阻挡已知攻击节点的流量。
篇5：从接入节点谈 和DDOS攻击防御
DDOS是英文Distributed Denial of Service的缩写，意即“分布式拒绝服务”，那么什么又是拒绝服务(Denial of Service)呢?可以这么理解，凡是能导致合法用户不能够访问正常网络服务的行为都算是拒绝服务攻击，也就是说拒绝服务攻击的目的非常明确，就是要阻 止合法用户对正常网络资源的访问，从而达成攻击者不可告人的目的。虽然同样是拒绝服务攻击，但是DDOS和DOS还是有所不同，DDOS的攻击策略侧重于 通过很多“僵尸主机”(被攻击者入侵过或可间接利用的主机)向受害主机发送大量看似合法的网络包，从而造成网络阻塞或服务器资源耗尽而导致拒绝服务，分布 式拒绝服务攻击一旦被实施，攻击网络包就会犹如洪水般涌向受害主机，从而把合法用户的网络包淹没，导致合法用户无法正常访问服务器的网络资源，因此，拒绝 服务攻击又被称之为“洪水式攻击”，常见的DDOS攻击手段有SYN Flood、ACK Flood、UDP Flood、ICMP Flood、TCP Flood、Connections Flood、Script. Flood、Proxy Flood等;而DOS则侧重于通过对主机特定漏洞的利用攻击导致网络栈失效、系统崩溃、主机死机而无法提供正常的网络服务功能，从而造成拒绝服务，常见 的DOS攻击手段有TearDrop、Land、Jolt、IGMP Nuker、Boink、Smurf、Bonk、OOB等。就这两种拒绝服务攻击而言，危害较大的主要是DDOS攻击，原因是很难防范，至于DOS攻击， 通过给主机服务器打补丁或安装防火墙软件就可以很好地防范，后文会详细介绍怎么对付DDOS攻击。
当前主要有三种流行的DDOS攻击：
1、SYN/ACK Flood攻击：这种攻击方法是经典最有效的DDOS方法，可通杀各种系统的网络服务，主要是通过向受害主机发送大量伪造源IP和源端口的SYN或ACK 包，导致主机的缓存资源被耗尽或忙于发送回应包而造成拒绝服务，由于源都是伪造的故追踪起来比较困难，缺点是实施起来有一定难度，需要高带宽的僵尸主机支 持，
少量的这种攻击会导致主机服务器无法访问，但却可以Ping的通，在服务器上用Netstat -na命令会观察到存在大量的SYN_RECEIVED状态，大量的这种攻击会导致Ping失败、TCP/IP栈失效，并会出现系统凝固现象，即不响应键 盘和鼠标。普通防火墙大多无法抵御此种攻击。
2、TCP全连接攻击：这种攻击是为了绕过常规防火墙的检查而设计的，一般情况下，常规防火墙大多具备过滤TearDrop、Land等DOS攻击的能 力，但对于正常的TCP连接是放过的，殊不知很多网络服务程序(如：IIS、Apache等Web服务器)能接受的TCP连接数是有限的，一旦有大量的 TCP连接，即便是正常的，也会导致网站访问非常缓慢甚至无法访问，TCP全连接攻击就是通过许多僵尸主机不断地与受害服务器建立大量的TCP连接，直到 服务器的内存等资源被耗尽而被拖跨，从而造成拒绝服务，这种攻击的特点是可绕过一般防火墙的防护而达到攻击目的，缺点是需要找很多僵尸主机，并且由于僵尸 主机的IP是暴露的，因此容易被追踪。
篇6：从接入节点谈 和DDOS攻击防御
在探讨DDoS之前我们需要先对DoS有所了解，DoS泛指 试图妨碍正常使用者使用网络上的服务，例如剪断大楼的电话线路造成用户无法通话，而以网络来说，由于频宽、网络设备和服务器主机等处理的能力都有其限制，因此当 产生过量的网络封包使得设备处理不及，即可让正常的使用者无法正常使用该服务。例如 试图用大量封包攻击一般频宽相对小得多的拨接或ADSL使用者，则受害者就会发现他要连的网站连不上或是反应十分缓慢。
DoS攻击并非入侵主机也不能窃取机器上的资料，但是一样会造成攻击目标的伤害，如果攻击目标是个电子商务网站就会造成顾客无法到该网站购物。
二、分布式阻断服务(DistributedDenialofService)
DDoS则是DoS的特例， 利用多台机器同时攻击来达到妨碍正常使用者使用服务的目的。 预先入侵大量主机以后，在被害主机上安装DDoS攻击程控被害主机对攻击目标展开攻击;有些DDoS工具采用多层次的架构，甚至可以一次控制高达上千台电脑展开攻击，利用这样的方式可以有效产生极大的网络流量以瘫痪攻击目标。早在0就发生过针对Yahoo,eBay,Buy.com和C等知名网站的DDoS攻击，阻止了合法的网络流量长达数个小时。
DDoS攻击程序的分类，可以依照几种方式分类，以自动化程度可分为手动、半自动与自动攻击。早期的DDoS攻击程序多半属于手动攻击， 手动寻找可入侵的计算机入侵并植入攻击程序，再下指令攻击目标;半自动的攻击程序则多半具有handler控制攻击用的agent程序， 散布自动化的入侵工具植入agent程序，然后使用handler控制所有agents对目标发动DDoS攻击;自动攻击更进一步自动化整个攻击程序，将攻击的目标、时间和方式都事先写在攻击程序里， 散布攻击程序以后就会自动扫描可入侵的主机植入agent并在预定的时间对指定目标发起攻击，例如近期的W/Blaster网虫即属于此类。
若以攻击的弱点分类则可以分为协议攻击和暴力攻击两种。协议攻击是指 利用某个网络协议设计上的弱点或执行上的bug消耗大量资源，例如TCPSYN攻击、对认证伺服器的攻击等;暴力攻击则是 使用大量正常的联机消耗被害目标的资源，由于 会准备多台主机发起DDoS攻击目标，只要单位时间内攻击方发出的网络流量高于目标所能处理速度，即可消耗掉目标的处理能力而使得正常的使用者无法使用服务。
若以攻击频率区分则可分成持续攻击和变动频率攻击两种。持续攻击是当攻击指令下达以后，攻击主机就全力持续攻击，因此会瞬间产生大量流量阻断目标的服务，也因此很容易被侦测到;变动频率攻击则较为谨慎，攻击的频率可能从慢速渐渐增加或频率高低变化，利用这样的方式延缓攻击被侦测的时间，
三、从DDoS攻击下存活
那么当遭受DDoS攻击的时候要如何设法存活并继续提供正常服务呢?由先前的介绍可以知道，若 攻击规模远高于你的网络频宽、设备或主机所能处理的能力，其实是很难以抵抗攻击的，但仍然有一些方法可以减轻攻击所造成的影响。
首先是调查攻击来源，由于 经由入侵机器进行攻击，因此你可能无法查出 是由哪里发动攻击，我们必须一步一步从被攻击目标往回推，先调查攻击是由管辖网络的哪些边界路由器进来，上一步是外界哪台路由器，连络这些路由器的管理者(可能是某个I或电信公司)并寻求他们协助阻挡或查出攻击来源，而在他们处理之前可以进行哪些处理呢?
如果被攻击的目标只是单一ip，那么试图改个ip并更改其Dmaing或许可以避开攻击，这是最快速而有效的方式;但是攻击的目的就是要使正常使用者无法使用服务，更改ip的方式虽然避开攻击，以另一角度来看 也达到了他的目的。此外，如果攻击的手法较为单纯，可以由产生的流量找出其规则，那么利用路由器的ACLs(AcceControlLists)或防火墙规则也许可以阻挡，若可以发现流量都是来自同一来源或核心路由器，可以考虑暂时将那边的流量挡起来，当然这还是有可能将正常和异常的流量都一并挡掉，但至少其它来源可以得到正常的服务，这有时是不得已的牺牲。如果行有余力，则可以考虑增加机器或频宽作为被攻击的缓冲之用，但这只是治标不治本的做法。最重要的是必须立即着手调查并与相关单位协调解决。
四、预防DDoS攻击
DDoS必须透过网络上各个团体和使用者的共同合作，制定更严格的网络标准来解决。每台网络设备或主机都需要随时更新其系统漏洞、关闭不需要的服务、安装必要的防毒和防火墙软件、随时注意系统安全，避免被 和自动化的DDoS程序植入攻击程序，以免成为 攻击的帮凶。
有些DDoS会伪装攻击来源，假造封包的来源ip，使人难以追查，这个部份可以透过设定路由器的过滤功能来防止，只要网域内的封包来源是其网域以外的ip，就应该直接丢弃此封包而不应该再送出去，如果网管设备都支持这项功能，网管人员都能够正确设定过滤掉假造的封包，也可以大量减少调查和追踪的时间。