＜网络安全＞《46 网络攻防专业课＜第十三课 - TCPIP网络协议攻击与防范之拒绝服务＞》

1 拒绝服务攻击的概念

拒绝服务（ Denial of Service，简称DoS），是一种简单的破坏性攻击，通常是利用传输协议中的某个弱点、系统存在的漏洞、或服务的漏洞，对目标系统发起大规模的进攻，用超出目标处理能力的海量数据包消耗可用系统资源、带宽资源等，或造成程序缓冲区溢出错误，致使其无法处理合法用户的正常请求，无法提供正常服务，最终致使网络服务瘫痪，甚至系统死机。

简单的说，拒绝服务攻击就是让攻击目标瘫痪的一种“损人不利己”的攻击手段。

历史上最著名的拒绝服务攻击服务恐怕要数Morris蠕虫事件，1988年11月，全球众多连在因特网上的计算机在数小时内无法正常工作，这次事件中遭受攻击的包括５个计算机中心和12个地区结点，连接着政府、大学、研究所和拥有政府合同的25万台计算机。这次病毒事件，使计算机系统直接经济损失达9500万美元。

许多知名网站如Yahoo、eBay、CNN、百度、新浪等都曾遭受过DoS攻击。

**拒绝服务攻击可能是蓄意的，也可能是偶然的。**当未被授权的用户过量使用资源时，攻击是蓄意的；当合法用户无意地操作而使得资源不可用时，则是偶然的。应该对两种拒绝服务攻击都采取预防措施。但是拒绝服务攻击问题也一直得不到合理的解决，究其原因是因为这是由于网络协议本身的安全缺陷造成的。
+

2 拒绝服务攻击的类型

最常见的DoS攻击是利用合理的服务请求来占用过多的服务资源，致使服务超载，无法响应其他的请求。
这些服务资源包括网络带宽、文件系统空间容量、开放的进程、向内的连接等。
这种攻击会导致资源的匮乏，无论计算机的处理速度多么快，内存容量多么大，互联网带宽多么大都无法避免这种攻击带来的后果。

2.1 从实施DoS攻击所用的思路分类

DoS攻击可以分为：

1. 滥用合理的服务请求
   过度地请求系统的正常服务，占用过多服务资源，致使系统超载。这些服务资源通常包括网络带宽、文件系统空间容量、开放的进程或者连接数等
2. 制造高流量无用数据
   恶意地制造和发送大量各种随机无用的数据包，用这种高流量的无用数据占据网络带宽，造成网络拥塞
3. 利用传输协议缺陷
   构造畸形的数据包并发送，导致目标主机无法处理，出现错误或崩溃，而拒绝服务
4. 利用服务程序的漏洞
   针对主机上的服务程序的特定漏洞，发送一些有针对性的特殊格式的数据，导致服务处理错误而拒绝服务

2.2 按漏洞利用方式分类

DoS攻击可以分为：

1. 特定资源消耗类
   主要利用TCP/IP协议栈、操作系统或应用程序设计上的缺陷，通过构造并发送特定类型的数据包，使目标系统的协议栈空间饱和、操作系统或应用程序资源耗尽或崩溃，从而达到DoS的目的。
2. 暴力攻击类
   依靠发送大量的数据包占据目标系统有限的网络带宽或应用程序处理能力来达到攻击的目的。通常暴力攻击需要比特定资源消耗攻击使用更大的数据流量才能达到目的。

2.3 按攻击数据包发送速率变化方式分类

DoS攻击可分为：

1. 固定速率
2. 可变速率

根据数据包发送速率变化模式，又可以分为震荡变化型和持续增加型。
震荡变化型变速率发送方式间歇性地发送数据包，使入侵检测系统难以发现持续的异常。
持续增加型变速率发送方式可以使攻击目标的性能缓慢下降，并可以误导基于学习的检测系统产生错误的检测规则。

2.4 按攻击可能产生的影响分类

DoS攻击可以分为：

1. 系统或程序崩溃类
   根据可恢复的程度，系统或程序崩溃类又可以分为：自我恢复类、人工恢复类、不可恢复类等。
   自我恢复类是指当攻击停止后系统功能可自动恢复正常。人工恢复类是指系统或服务程序需要人工重新启动才能恢复。不可恢复类是指攻击给目标系统的硬件设备、文件系统等造成了不可修复性的损坏。
2. 服务降级类
   系统对外提供服务的服务下降

3 典型案例

百度遭受大规模SYN Flooding攻击

2006年09月12日17点30分，有北京、重庆等地的网友反映百度无法正常使用，出现“请求超时”(Request timed out)的信息。这次攻击造成了百度搜索服务在全国各地出现了近30分钟的故障。随后，百度技术部门的员工们快速反应，将问题解决并恢复百度服务。9月12日晚上11时37分，百度空间发表了针对不明攻击事件的声明。“今天下午，百度遭受有史以来最大规模的不明身份黑客攻击，导致百度搜索服务在全国各地出现了近30分钟的故障。”