剖析DDOS攻擊的原理 提供解決方法(圖文)
您當前位置：首頁 > 紅訊頻道 > 網(wǎng)絡(luò)技術(shù)
紅軟基地 推薦
2012-01-23
3.5 Connection Flood攻擊
3.5.1 原理
Connection Flood是典型的并且非常的有效的利用小流量沖擊大帶寬網(wǎng)絡(luò)服務(wù)的攻擊方式，這種攻擊方式目前已經(jīng)越來越猖獗。這種攻擊的原理是利用真實的IP地址向服務(wù)器發(fā)起大量的連接，并且建立連接之后很長時間不釋放，占用服務(wù)器的資源，造成服務(wù)器服務(wù)器上殘余連接(WAIT狀態(tài))過多，效率降低，甚至資源耗盡，無法響應(yīng)其他客戶所發(fā)起的連接。
其中一種攻擊方法是每秒鐘向服務(wù)器發(fā)起大量的連接請求，這類似于固定源IP的SYN Flood攻擊，不同的是采用了真實的源IP地址。通常這可以在防火墻上限制每個源IP地址每秒鐘的連接數(shù)來達到防護目的。但現(xiàn)在已有工具采用慢速連接的方式，也即幾秒鐘才和服務(wù)器建立一個連接，連接建立成功之后并不釋放并定時發(fā)送垃圾數(shù)據(jù)包給服務(wù)器使連接得以長時間保持。這樣一個IP地址就可以和服務(wù)器建立成百上千的連接，而服務(wù)器可以承受的連接數(shù)是有限的，這就達到了拒絕服務(wù)的效果。
另外，蠕蟲大規(guī)模爆發(fā)的時候，由于蠕蟲代碼則比較簡單，傳播過程中會出現(xiàn)大量源IP地址相同的包，對于 TCP 蠕蟲則表現(xiàn)為大范圍掃描行為。這是在判斷Connection Flood時需要注意的。
在受攻擊的服務(wù)器上使用netstat –an來看：
圖
存在大量連接狀態(tài)，來自少數(shù)的幾個源。如果統(tǒng)計的話，可以看到連接數(shù)對比平時出現(xiàn)異常。并且增長到某一值之后開始波動，說明此時可能已經(jīng)接近性能極限。因此，對這種攻擊的判斷：在流量上體現(xiàn)并不大，甚至可能會很�。淮罅康腅STABLISH狀態(tài)；新建的ESTABLISH狀態(tài)總數(shù)有波動。
3.5.2 Connection Flood防護
主動清除殘余連接。
對惡意連接的IP進行封禁。
限制每個源IP的連接數(shù)。
可以對特定的URL進行防護。
反查Proxy后面發(fā)起HTTP Get Flood的源。
來源：紅訊頻道