服務器安全評估之DDOS的攻擊與防御(2)

　　我們發現攻擊已經從應用層的攻擊調整到了網絡層的攻擊，大量的目標端口是80的udp和icmp包以極快的速度充滿了網絡，一個包大小大概在1k左右，這次占據的資源純粹是帶寬資源了，即使在系統上做限制也解決不了這個問題，不過也沒有關系，對于網絡層的問題我們可以在網絡層上做限制，我們只需要在網絡上把到達我們ip的非TCP的所有包如UDP和ICMP等協議都禁止掉即可，但是我們沒有自己的服務器也缺乏對網絡設備的控制權，目前是由工信部 CERT提供支持的，由于臨時無法協調進行相應的操作，后果如大家看到，我們的服務很慢，基本上停止了服務，在一段時間之后攻擊者停止了攻擊，服務才進行了恢復，很憋屈是么?但是同時我們得到了很多熱心朋友的幫助，得到了更好的網絡和服務器資源，在網絡資源方面的能力得到了很大的提升，緩解了這方面的問題，這里對他們表示感謝。

　　三、常見ddos攻擊及防御

　　繼續秉承80sec的”Know it then hack it”，這里簡單談一下ddos攻擊和防御方面的問題。ddos的全稱是分布式拒絕服務攻擊，既然是拒絕服務一定是因為某些原因而停止服務的，其中最重要的也是最常用的原因就是利用服務端方面資源的有限性，這種服務端的資源范圍很廣，可以簡單的梳理一個請求正常完成的過程：

　　1 用戶在客戶端瀏覽器輸入請求的地址

　　2 瀏覽器解析該請求，包括分析其中的dns以明確需要到達的遠程服務器地址

　　3 明確地址后瀏覽器和服務器的服務嘗試建立連接，嘗試建立連接的數據包通過本地網絡，中間路由最終艱苦到達目標網絡再到達目標服務器

　　4 網絡連接建立完成之后瀏覽器根據請求建立不同的數據包并且將數據包發送到服務器某個端口

　　5 端口映射到進程，進程接受到數據包之后進行內部的解析

　　6 請求服務器內部的各種不同的資源，包括后端的API以及一些數據庫或者文件等

　　7 在邏輯處理完成之后數據包按照之前建立的通道返回到用戶瀏覽器，瀏覽器完成解析，請求完成。

　　上面各個點都可以被用來進行ddos攻擊，包括：

　　1 某些著名的客戶端劫持病毒，還記得訪問百度跳搜狗的事情么?：)

　　2 某個大型互聯網公司發生的dns劫持事件，或者直接大量的dns請求直接攻擊dns服務器，這里可以使用一些專業的第三方dns服務來緩解這個問題，如Dnspod

　　3 利用建立網絡連接需要的網絡資源攻擊服務器帶寬使得正常數據包無法到達如udp的洪水攻擊，消耗前端設備的cpu資源以使得數據包不能有效轉發如icmp 和一些碎片包的洪水攻擊，消耗服務器方建立正常連接需要的資源如syn flood或者就是占用大量的連接使得正常的連接無法發起，譬如這次的TCP flood

　　4 利用webserver的一些特點進行攻擊，相比nginx來說，apache處理一個請求的過程就比較笨重。

　　5 利用應用程序內部的一些特性攻擊程序內部的資源如mysql，后端消耗資源大的接口等等，這也就是傳統意義上的CC攻擊。

　　這里涉及到攻防的概念，但是實際上如果了解對方的攻擊點和攻擊手法，防御會變成簡單的一個拼資源的過程，不要用你最弱的地方去抗人家最強的地方，應該從最合適的地方入手把問題解決掉，譬如在路由器等設備上解決應用層攻擊就不是一個好的辦法，同理，在應用層嘗試解決網絡層的問題也是不可能的，簡單來說，目標是只讓正常的數據和請求進入到我們的服務，一個完善的防御體系應該考慮如下幾個層面：

　　1 作為用戶請求的入口，必須有良好的dns防御

　　2 與你的價值相匹配的帶寬資源，并且在核心節點上布置好應用層的防御策略，只允許你的正常應用的網絡數據包能夠進入，譬如封殺除了80以外的所有數據包

　　3 有支持你的服務價值的機器集群來抵抗應用層的壓力，有必要的話需要將一個http請求繼續分解，將連接建立的過程壓力分解到其他的集群里，這里似乎已經有一般的硬件防火墻能做這個事情，甚至將正常的http請求解析過程都進行分解，保證到達后端的是正常的請求，剔除掉畸形的請求，將正常的請求的請求頻度等行為進行記錄和監控，一旦發生異常就在這里進行應用層的封殺

　　每個公司都有自己對自己價值的評估從而決定安全投入上的大小，每一次攻擊也會涉及到利益的存在，正如防御因為種種原因譬如投入上的不足和實施過程中的不完美，有著天生的弱點一樣，攻擊也是有著天生的弱點的，因為每一次攻擊涉及到不同的環節，每個環節都可能由不同水平的人完成，他所擁有的資源，他使用的工具和技術都不會是完美的，所以才有可能進行防御，另外，我相信進行DDOS攻擊的人是一個固定的行業，會有一些固定的人群，對于其中使用的技術，工具，資源和利益鏈都是比較固定的，與之相對的是各個企業卻缺乏相應的溝通，以個人企業對抗一個產業自然是比較困難，而如果每一個企業都能將自己遭受攻擊時的經驗分享出來，包括僵尸網絡的大小及IP分布，攻擊工具的特征，甚至有能力的可以去分析背后的利益點及操作者，那么每一次攻擊都能讓大家的整體防御能力上升，讓攻擊者的攻擊能力有損失，我們很愿意來做這個事情。

　　四、根源及反擊

　　我困惑的是一點，攻擊我們并不能得到實際的好處為什么還是有人來攻擊，而且聽說其他公司都有被攻擊的情況，我覺得有一點原因就是攻擊我們的確得不到什么好處，但是實際上攻擊者也并不損失什么，無論是資源上還是法律風險上，他不會因為一次攻擊而損失太多，而相比之下，服務提供者損失的東西卻太多了，這從經濟學角度來講就是不平衡的，我們處于弱勢。

　　一般而言，的確對于作惡者是沒有什么懲罰措施，但是這次，我們覺得我們是可以做一些事情的，我們嘗試挖掘背后的攻擊者，甚至清除這個僵尸網絡。

　　首先這次攻擊起源于應用層的攻擊，所以所有的ip都是真實的，經過與CERT溝通，也發現這些ip都是韓國的，并且控制端不在國內，因為期間沒有與國內有過通訊，即使在后面換成了udp+icmp的flood，但是依然是那些韓國的ip，這很有意思，正常情況下udp+icmp的數據包是可以偽造的，但是這里居然沒有偽造，這在后面大概被我們證實了原因。

　　這些ip是真實存在的ip，而且這些ip肯定在攻擊完我們之后一定依然跟攻擊者保持著聯系，而一般的聯系方式因為需要控制的方便都是dns域名，既然如此，如果我們能挖掘到這個dns域名我們就可能間接的挖掘出真正幕后黑手在哪里。首先，我們迅速的找出了這次攻擊ip中開放了80端口的機器，因為我們對80端口上的安全問題比較自信，應該很快可以獲知這些ip背后的細節(80sec名稱由來)，我們發現大部分是一些路由器和一些web的vpn設備，我們猜測這次攻擊的主要是韓國的個人用戶，而個人用戶的機器操作系統一般是windows所以在較高版本上發送數據包方面可能有著比較大的限制，這也解釋了為什么即使是udp+icmp的攻擊我們看到的大都是真實ip。發現這些路由設備之后我們嘗試深入得更多，很快用一些弱口令譬如admin/admin 登陸進去，果然全世界的網民都一樣，admin/admin是天生的入口。

原文轉自：http://www.anti-gravitydesign.com