拒绝服务攻击 - 蚂蚁网-多维人生，三实而立！

欢迎关注:1，欢迎关注本博客，你可点击右手边的【QQ邮件订阅】订阅本博客！2，本博客推出江湖救急计划，主要为工作中遇到疑难杂症的兄弟提供远程技术支持和分析，如有需要，请在江湖救急计划页面给我留言！

基于UDP 7000端口的DOS攻击案例

作者：易隐者发布于：2012-9-24 11:12 Monday 分类：网络安全

在某某用户现场捕获到基于UDP 7000端口实施DOS攻击的报文。

我们简单的看一下大致的分析过程：

1，通过对报文的统计，我们可以看出流量较大，平均包长1266.6字节，大包居多：

2，我们查看数据包交互情况，发现基本上都是192.168.218.112的5444端口发往121.10.173.106的UDP 7000端口的报文，这些报文大小都是1070字节，IP标识逐步递增，在15秒的时间内发送了12192个UDP报文：

3，我们查看其UDP封装的应用字段，发现全部为“AAAAAAAAAAA”的无意义填充数据：

小结：
无论是基于什么端口的，大部分的基于UDP的攻击都是利用UDP无连接的特性，向被攻击者发送大流量的垃圾报文，导致被攻击者的网络带宽资源被占用，造成拒绝服务的攻击效果，这个案例当然也不例外。

阅读全文>>

标签: UDP 拒绝服务攻击 DOS DOS攻击 UDP 7000端口

评论(0) 引用(0) 浏览(62105)

基于UDP组播实施分片攻击的可能性

作者：易隐者发布于：2012-8-27 18:36 Monday 分类：网络安全

UDP是无连接的，这种特性决定了其可以通过组播或广播来进行业务数据的交付，同时我们也知道UDP不会像TCP那样将应用程序交付的大应用字段划分为适合网络传输的数据段（segment），UDP会将大应用字段直接交付于网络层处理，那么在网络层必然会面对分片的问题。

关于应用程序、UDP、IP之间交互的过程，我做了一个图示：

应用层、UDP以及IP间的交互情况图示

大的应用字段会被网络层分片后，在网络中传输，这些分片报文会在接收端的网络层重组后，提交给UDP和应用程序。

我们接下来再来看一下协议栈在各层对数据帧/数据报的过滤过程：

协议栈在各层对数据帧/数据报的过滤过程图示

这个是根据《TCP/IP详解卷一》中的第十二章《广播和多播》总结出来的，在此不针对此图做详细描述，有兴趣的兄弟姐妹可以自行参考详解卷一第十二章相关的内容。

我们接着来看一个实际用户工作环境下抓取的UDP 组播分片报文：

用户实际环境中的UDP多播分片报文

因此，基于UDP组播实施分片攻击的可能性是存在的。

遭受这种攻击的假设场景：

用户的某个业务（视频会议、语音、IPTV等）使用组播传输数据报文，黑客只需要构造一些永远无法重组的IP分片报文，以该业务用到的组播地址发送出去，那么所有属于这个多播组的业务主机都将会接收到这些精心构造的攻击报文，那么，可想而知这些多播组内的业务主机在处理的时候，将会出现资源耗尽以至于死机的情况，黑客从而达到拒绝服务的攻击效果。

阅读全文>>

标签: UDP 组播分片攻击多播协议栈拒绝服务攻击

评论(0) 引用(0) 浏览(18375)