tcp syn flood網(wǎng)絡(luò)攻擊技術(shù)及防御 畢業(yè)論文

《tcp syn flood網(wǎng)絡(luò)攻擊技術(shù)及防御 畢業(yè)論文》由會(huì)員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在學(xué)術(shù)論文-天天文庫(kù)。

1、TCPSYNFlood網(wǎng)絡(luò)攻擊技術(shù)及防御內(nèi)容摘要拒絕服務(wù)攻擊（DenialofService，DoS）是目前比較有效而又非常難于防御的一種網(wǎng)絡(luò)攻擊方式，它的目的就是使服務(wù)器不能夠?yàn)檎ＴL問(wèn)的用戶提供服務(wù)。而SYNFlood是最為有效和流行的一種DoS攻擊形式。它利用TCP三次握手協(xié)議的缺陷，向目標(biāo)主機(jī)發(fā)送大量的偽造源地址的SYN連接請(qǐng)求，消耗目標(biāo)主機(jī)的資源，從而不能夠?yàn)檎Ｏ蜻B接是指網(wǎng)絡(luò)在進(jìn)行一次正常的TCP傳輸之前首先需要在TCP客戶端和TCP服務(wù)端建立特定的虛電路連接，該連接過(guò)程通常被稱(chēng)為T(mén)CP的“三次握手”。在TCP三進(jìn)入SYN_RECV狀

2、態(tài)；第三次握手：客戶端收到服務(wù)器的SYN＋ACK包，向服務(wù)器發(fā)送確認(rèn)包ACK(ack=k+1)，此包發(fā)送完畢，客戶端和服務(wù)器進(jìn)入ESTABLISHED狀態(tài)，完成三次握手。如下圖所示（本文中圖形皆由visio2010作出）圖①正常情況下TCP建立連接的過(guò)程在上述過(guò)程中，當(dāng)服務(wù)器收到SYN報(bào)文后，在發(fā)送SYN/ACK回應(yīng)客戶端之前，需要分配一個(gè)數(shù)據(jù)區(qū)記錄這個(gè)未完成的TCP連接，這個(gè)數(shù)據(jù)區(qū)通常稱(chēng)為T(mén)CB資源，此時(shí)的TCP連接也稱(chēng)為半開(kāi)連接。這種半開(kāi)連接僅在收到客戶端響應(yīng)報(bào)文或連接超時(shí)后才斷開(kāi)，而客戶端在收到SYN/ACK報(bào)文之后才會(huì)分配TCB資源，因此

3、這種不對(duì)稱(chēng)的資源分配模式會(huì)被攻擊者所利用形成SYN?Flood攻擊。1.2TCP三次握手的缺陷在通常情況下，每一種操作系統(tǒng)都會(huì)使用一塊限定的內(nèi)存來(lái)處理TCP連接請(qǐng)求。這塊內(nèi)存被稱(chēng)為T(mén)CP緩存。當(dāng)TCP緩存未滿時(shí)，每當(dāng)客戶端發(fā)送一個(gè)包含有SYN標(biāo)志置位的連接數(shù)據(jù)包到服務(wù)端時(shí)，服務(wù)端都會(huì)分配一塊內(nèi)存用于處理該連接請(qǐng)求。一般來(lái)說(shuō)，TCP緩存的容量是不大的，因?yàn)檎５那闆r下，TCP能夠很好地處理連接請(qǐng)求，即使有時(shí)TCP緩存已經(jīng)滿了，客戶端只要重新發(fā)送連接請(qǐng)求，服務(wù)器端有時(shí)間清空緩存隊(duì)列以響應(yīng)新的連接請(qǐng)求，而且一般情況下，同一時(shí)間連接某臺(tái)服務(wù)器的相應(yīng)端口以

4、請(qǐng)求相應(yīng)服務(wù)的數(shù)量是不會(huì)太多的。服務(wù)器提供服務(wù)時(shí)，一般服務(wù)器在提供服務(wù)的相應(yīng)端口監(jiān)聽(tīng)、接收客戶端的連接請(qǐng)求和數(shù)據(jù)包。服務(wù)端接收到數(shù)據(jù)包時(shí)一般首先在TCP層對(duì)數(shù)據(jù)包進(jìn)行分解，分解出TCP數(shù)據(jù)包內(nèi)容和IP報(bào)頭，并將這些信息存貯到內(nèi)存中，然后檢查T(mén)CP-6-校驗(yàn)和，如果檢驗(yàn)失敗，不返回確認(rèn)ACK，該分段丟棄，并等待客戶端進(jìn)行重傳。如果檢驗(yàn)和通過(guò)，將查找與該連接相關(guān)聯(lián)的協(xié)議控制塊，如果此時(shí)沒(méi)有找到與該連接相關(guān)聯(lián)的協(xié)議控制塊，TCP將該分段丟棄并返回RESET，如果找到了與該連接相關(guān)聯(lián)的協(xié)議控制塊，但狀態(tài)為關(guān)閉，這時(shí)該數(shù)據(jù)包被丟棄，但不返回RESET信息，

5、客戶端會(huì)嘗試重新建立連接請(qǐng)求。但如果上述狀態(tài)正常，服務(wù)端將會(huì)建立新的Socket，同時(shí)把該調(diào)用過(guò)程放入TCP緩存隊(duì)列中，如果此時(shí)緩存隊(duì)列已填滿整個(gè)緩存時(shí)，TCP認(rèn)為有錯(cuò)誤發(fā)生，所有的后續(xù)連接請(qǐng)求會(huì)被拒絕。所以我們假設(shè)在TCP連接的三次握手中，有一個(gè)用戶向服務(wù)器發(fā)送了SYN報(bào)文后突然死機(jī)或掉線，那么服務(wù)器在發(fā)出SYN+ACK應(yīng)答報(bào)文后是無(wú)法收到客戶端的ACK報(bào)文（第三次握手無(wú)法完成），這種情況下服務(wù)器端一般會(huì)重試（再次發(fā)送SYN+ACK給客戶端）并等待一段時(shí)間后丟棄這個(gè)未完成的連接；但如果有一個(gè)惡意的攻擊者利用IP欺騙技術(shù)，向服務(wù)器大量發(fā)送經(jīng)過(guò)IP

6、偽裝以后的連接數(shù)據(jù)包，由于這些數(shù)據(jù)中的源地址都是經(jīng)過(guò)黑客精心挑選的虛假的IP地址，服務(wù)器端將為了維護(hù)一個(gè)非常大的半連接列表而消耗非常多的資源———數(shù)以萬(wàn)計(jì)的半連接。如果此時(shí)服務(wù)器的TCP/IP棧不夠強(qiáng)，或者說(shuō)緩存不夠大時(shí)，最后的結(jié)果往往是由于服務(wù)器維持的半連接太多而導(dǎo)致堆棧溢出崩潰，或者是服務(wù)器端忙于處理攻擊者偽造的TCP連接請(qǐng)求而無(wú)法處理客戶的正常請(qǐng)求，這時(shí)候我們就認(rèn)為：服務(wù)器端受到了SYNFlood攻擊。1.3SYNFlood攻擊的機(jī)制客戶端通過(guò)發(fā)送在TCP報(bào)頭中SYN標(biāo)志置位的數(shù)據(jù)分段到服務(wù)端來(lái)請(qǐng)求建立連接。通常情況下，服務(wù)端會(huì)按照IP報(bào)頭

7、中的來(lái)源地址來(lái)返回SYN/ACK置位的數(shù)據(jù)包給客戶端，客戶端再返回ACK到服務(wù)端來(lái)完成一個(gè)完整的連接。在攻擊發(fā)生時(shí)，客戶端的來(lái)源IP地址是經(jīng)過(guò)偽造的(spoofed)，現(xiàn)行的IP路由機(jī)制僅檢查目的IP地址并進(jìn)行轉(zhuǎn)發(fā)，該IP包到達(dá)目的主機(jī)后返回路徑無(wú)法通過(guò)路由達(dá)到的，于是目的主機(jī)無(wú)法通過(guò)TCP三次握手建立連接。在此期間因?yàn)門(mén)CP緩存隊(duì)列已經(jīng)填滿，而拒絕新的連接請(qǐng)求。目的主機(jī)一直嘗試直至超時(shí)(大約75秒)。這就是該攻擊類(lèi)型的基本機(jī)制。發(fā)動(dòng)攻擊的主機(jī)只要發(fā)送較少的，來(lái)源地址經(jīng)過(guò)偽裝而且無(wú)法通過(guò)路由達(dá)到的SYN連接請(qǐng)求至目標(biāo)主機(jī)提供TCP服務(wù)的端口，將目

8、的主機(jī)的TCP緩存隊(duì)列填滿，就可以實(shí)施一次成功的攻擊。實(shí)際情況下，發(fā)動(dòng)攻擊時(shí)往往是持續(xù)且高速的。下圖為SYNFlood攻擊過(guò)程示意圖：-