什么是DRDoS

? ? ? ? DRDoS分布反射式拒絕服務攻擊這是DDoS攻擊的變形，它與DDoS的不同之處就是DrDoS不需要在攻擊之前占領大量的“肉雞”。它的攻擊原理和Smurf攻擊原理相近，不過DRDoS是可以在廣域網上進行的，而Smurf攻擊是在局域網進行的。它的作用原理是基于廣播地址與回應請求的。一臺計算機向另一臺計算機發送一些特殊的數據包如ping請求時，會接到它的回應;如果向本網絡的廣播地址發送請求包，實際上會到達網絡上所有的計算機，這時就會得到所有計算機的回應。這些回應是需要被接收的計算機處理的，每處理一個就要占用一份系統資源，如果同時接到網絡上所有計算機的回應，接收方的系統是有可能吃不消的，就象遭到了DDoS攻擊一樣。不過是沒有人笨到自己攻擊自己，不過這種方法被黑客加以改進就具有很大的威力了。黑客向廣播地址發送請求包，所有的計算機得到請求后，卻不會把回應發到黑客那里，而是發到被攻擊主機。這是因為黑客冒充了被攻擊主機。黑客發送請求包所用的軟件是可以偽造源地址的，接到偽造數據包的主機會根據源地址把回應發出去，這當然就是被攻擊主機的地址。黑客同時還會把發送請求包的時間間隔減小，這樣在短時間能發出大量的請求包，使被攻擊主機接到從被欺騙計算機那里傳來的洪水般的回應，就像遭到了DDoS攻擊導致系統崩潰。駭客借助了網絡中所有計算機來攻擊受害者，而不需要事先去占領這些被欺騙的主機，這就是Smurf攻擊。而DRDoS攻擊正是這個原理，黑客同樣利用特殊的發包工具，首先把偽造了源地址的SYN連接請求包發送到那些被欺騙的計算機上，根據TCP三次握手的規則，這些計算機會向源IP發出SYN+ACK或RST包來響應這個請求。同Smurf攻擊一樣，黑客所發送的請求包的源IP地址是被攻擊主機的地址，這樣受欺騙的主機就都會把回應發到被攻擊主機處，造成被攻擊主機忙于處理這些回應而癱瘓。

解釋:

　　SYN:(Synchronize sequence numbers)用來建立連接，在連接請求中，SYN=1，ACK=0，連接響應時，SYN=1，ACK=1。即，SYN和ACK來區分Connection Request和Connection Accepted。

　　RST:(Reset the connection)用于復位因某種原因引起出現的錯誤連接，也用來拒絕非法數據和請求。如果接收到RST位時候，通常發生了某些錯誤。

　　ACK:(Acknowledgment field significant)置1時表示確認號(Acknowledgment Number)為合法，為0的時候表示數據段不包含確認信息，確認號被忽略。

　　TCP三次握手:

　　假設我們要準備建立連接，服務器正處于正常的接聽狀態。

　　第一步:我們也就是客戶端發送一個帶SYN位的請求，向服務器表示需要連接，假設請求包的序列號為10，那么則為:SYN=10，ACK=0，然后等待服務器的回應。

　　第二步:服務器接收到這樣的請求包后，查看是否在接聽的是指定的端口，如果不是就發送RST=1回應，拒絕建立連接。如果接收請求包，那么服務器發送確認回應，SYN為服務器的一個內碼，假設為100，ACK位則是客戶端的請求序號加1，本例中發送的數據是:SYN=100，ACK=11，用這樣的數據回應給我們。向我們表示，服務器連接已經準備好了，等待我們的確認。這時我們接收到回應后，分析得到的信息，準備發送確認連接信號到服務器。

　　第三步:我們發送確認建立連接的信息給服務器。確認信息的SYN位是服務器發送的ACK位，ACK位是服務器發送的SYN位加1。即:SYN=11，ACK=101。

　　這樣我們的連接就建立起來了。

防御方法:

確保服務器的系統文件是最新的版本，并及時更新系統補丁。

關閉不必要的服務。

限制同時打開的SYN半連接數目。

縮短SYN半連接的time out 時間。

正確設置防火墻

禁止對主機的非開放服務的訪問

限制特定IP地址的訪問

啟用防火墻的防DDoS的屬性

嚴格限制對外開放的服務器的向外訪問

運行端口映射程序禍端口掃描程序，要認真檢查特權端口和非特權端口。

認真檢查網絡設備和主機/服務器系統的日志。只要日志出現漏洞或是時間變更，那這臺機器就可能遭到了攻擊。

限制在防火墻外與網絡文件共享。這樣會給黑客截取系統文件的機會，主機的信息暴露給黑客，無疑是給了對方入侵的機會

路由器

以Cisco路由器為例

Cisco Express Forwarding(CEF)

使用 unicast reverse-path

訪問控制列表(ACL)過濾

設置SYN數據包流量速率

升級版本過低的ISO

為路由器建立log server

能夠了解DDoS攻擊的原理，對我們防御的措施在加以改進，我們就可以擋住一部分的DDoS攻擊，知己知彼，百戰不殆嘛。

總結

以上是生活随笔為你收集整理的DRDoS分布反射式拒绝服务攻击（什么是DRDoS）的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。