剖析DDOS攻擊的原理 提供解決方法(圖文)
您當(dāng)前位置：首頁(yè) > 紅訊頻道 > 網(wǎng)絡(luò)技術(shù)
紅軟基地 推薦
2012-01-23
從07年的愛沙尼亞DDOS信息戰(zhàn)，到今年廣西南寧30個(gè)網(wǎng)吧遭受到DDOS勒索，再到新浪網(wǎng)遭受DDOS攻擊無(wú)法提供對(duì)外服務(wù)500多分鐘。DDOS愈演愈烈，攻擊事件明顯增多，攻擊流量也明顯增大，形勢(shì)十分嚴(yán)峻，超過(guò)1G的攻擊流量頻頻出現(xiàn)，CNCERT/CC掌握的數(shù)據(jù)表明，最高時(shí)達(dá)到了12G，這樣流量，甚至連專業(yè)的機(jī)房都無(wú)法抵擋。更為嚴(yán)峻的是：利用DDOS攻擊手段敲詐勒索已經(jīng)形成了一條完整的產(chǎn)業(yè)鏈！并且，攻擊者實(shí)施成本極低，在網(wǎng)上可以隨便搜索到一大堆攻擊腳本、工具工具，對(duì)攻擊者的技術(shù)要求也越來(lái)越低。相反的是，專業(yè)抗DDOS設(shè)備的價(jià)格十分昂貴，而且對(duì)于攻擊源的追查難度極大，防護(hù)成本遠(yuǎn)遠(yuǎn)大于攻擊成本。
本文將對(duì)DDOS攻擊的原理做一個(gè)剖析，并提供一些解決方法。
一. DDOS攻擊
什么是DDOS？DDOS是英文Distributed Denial of Service的縮寫，意即"分布式拒絕服務(wù)"，DDOS的中文名叫分布式拒絕服務(wù)攻擊，俗稱洪水攻擊。首先，我們來(lái)了解一下相關(guān)定義。
服務(wù)：系統(tǒng)提供的，用戶在對(duì)其使用中會(huì)受益的功能
拒絕服務(wù)：任何對(duì)服務(wù)的干涉如果使其可用性降低或者失去可用性均稱為拒絕服務(wù)。
拒絕服務(wù)攻擊：是指攻擊者通過(guò)某種手段，有意地造成計(jì)算機(jī)或網(wǎng)絡(luò)不能正常運(yùn)轉(zhuǎn)從而不能向合法用戶提供所需要的服務(wù)或者使得服務(wù)質(zhì)量降低
分布式拒絕服務(wù)攻擊：處于不同位置的多個(gè)攻擊者同時(shí)向一個(gè)或者數(shù)個(gè)目標(biāo)發(fā)起攻擊，或者一個(gè)或多個(gè)攻擊者控制了位于不同位置的多臺(tái)機(jī)器并利用這些機(jī)器對(duì)受害者同時(shí)實(shí)施攻擊，由于攻擊的發(fā)出點(diǎn)是分布在不同地方的，這類攻擊稱為分布式拒絕服務(wù)攻擊。
圖
如圖所示，DDOS攻擊將造成網(wǎng)絡(luò)資源浪費(fèi)、鏈路帶寬堵塞、服務(wù)器資源耗盡而業(yè)務(wù)中斷。這種攻擊大多數(shù)是由黑客非法控制的電腦實(shí)施的。黑客非法控制一些電腦之后，把這些電腦轉(zhuǎn)變?yōu)橛傻叵戮W(wǎng)絡(luò)遠(yuǎn)程控制的“bots”，然后用這些電腦實(shí)施DDOS攻擊。黑客還以每臺(tái)為單位，低價(jià)出租這些用于攻擊的電腦，真正擁有這些電腦的主人并不知道自己的計(jì)算機(jī)已經(jīng)被用來(lái)攻擊別人。由于有數(shù)百萬(wàn)臺(tái)電腦現(xiàn)在已經(jīng)被黑客變成了“bots”，因此這種攻擊將非常猛烈。被DDoS攻擊時(shí)的現(xiàn)象：
網(wǎng)絡(luò)中充斥著大量的無(wú)用的數(shù)據(jù)包；
制造高流量無(wú)用數(shù)據(jù)，造成網(wǎng)絡(luò)擁塞，使受害主機(jī)無(wú)法正常和外界通訊；
利用受害主機(jī)提供的服務(wù)或傳輸協(xié)議上的缺陷，反復(fù)高速的發(fā)出特定的服務(wù)請(qǐng)求，使受害主機(jī)無(wú)法及時(shí)處理所有正常請(qǐng)求；
嚴(yán)重時(shí)會(huì)造成系統(tǒng)死機(jī)。
由于網(wǎng)絡(luò)層的拒絕服務(wù)攻擊有的利用了網(wǎng)絡(luò)協(xié)議的漏洞，有的則搶占網(wǎng)絡(luò)或者設(shè)備有限的處理能力，使得對(duì)拒絕服務(wù)攻擊的防治成為了一個(gè)令管理員非常頭痛的問(wèn)題。尤其是目前在大多數(shù)的網(wǎng)絡(luò)環(huán)境骨干線路上普遍使用的防火墻、負(fù)載均衡等設(shè)備，在發(fā)生DDoS攻擊的時(shí)候往往成為整個(gè)網(wǎng)絡(luò)的瓶頸，造成全網(wǎng)的癱瘓。
來(lái)源：紅訊頻道