剖析DDOS攻擊的原理 提供解決方法(圖文)
您當(dāng)前位置：首頁 > 紅訊頻道 > 網(wǎng)絡(luò)技術(shù)
紅軟基地 推薦
2012-01-23
3.5 Connection Flood攻擊
3.5.1 原理
Connection Flood是典型的并且非常的有效的利用小流量沖擊大帶寬網(wǎng)絡(luò)服務(wù)的攻擊方式，這種攻擊方式目前已經(jīng)越來越猖獗。這種攻擊的原理是利用真實(shí)的IP地址向服務(wù)器發(fā)起大量的連接，并且建立連接之后很長時(shí)間不釋放，占用服務(wù)器的資源，造成服務(wù)器服務(wù)器上殘余連接(WAIT狀態(tài))過多，效率降低，甚至資源耗盡，無法響應(yīng)其他客戶所發(fā)起的連接。
其中一種攻擊方法是每秒鐘向服務(wù)器發(fā)起大量的連接請求，這類似于固定源IP的SYN Flood攻擊，不同的是采用了真實(shí)的源IP地址。通常這可以在防火墻上限制每個(gè)源IP地址每秒鐘的連接數(shù)來達(dá)到防護(hù)目的。但現(xiàn)在已有工具采用慢速連接的方式，也即幾秒鐘才和服務(wù)器建立一個(gè)連接，連接建立成功之后并不釋放并定時(shí)發(fā)送垃圾數(shù)據(jù)包給服務(wù)器使連接得以長時(shí)間保持。這樣一個(gè)IP地址就可以和服務(wù)器建立成百上千的連接，而服務(wù)器可以承受的連接數(shù)是有限的，這就達(dá)到了拒絕服務(wù)的效果。
另外，蠕蟲大規(guī)模爆發(fā)的時(shí)候，由于蠕蟲代碼則比較簡單，傳播過程中會出現(xiàn)大量源IP地址相同的包，對于 TCP 蠕蟲則表現(xiàn)為大范圍掃描行為。這是在判斷Connection Flood時(shí)需要注意的。
在受攻擊的服務(wù)器上使用netstat –an來看：
圖
存在大量連接狀態(tài)，來自少數(shù)的幾個(gè)源。如果統(tǒng)計(jì)的話，可以看到連接數(shù)對比平時(shí)出現(xiàn)異常。并且增長到某一值之后開始波動，說明此時(shí)可能已經(jīng)接近性能極限。因此，對這種攻擊的判斷：在流量上體現(xiàn)并不大，甚至可能會很�。淮罅康腅STABLISH狀態(tài)；新建的ESTABLISH狀態(tài)總數(shù)有波動。
3.5.2 Connection Flood防護(hù)
主動清除殘余連接。
對惡意連接的IP進(jìn)行封禁。
限制每個(gè)源IP的連接數(shù)。
可以對特定的URL進(jìn)行防護(hù)。
反查Proxy后面發(fā)起HTTP Get Flood的源。
來源：紅訊頻道