DoS và DDoS là m t trong nh ng d ng t n công nguy hi m nh t đ i v i m t hộ ữ ạ ấ ể ấ ố ớ ộ ệ
th ng m ng. Bài vi t này không mu n các b n d a vào các tools trong này đ t nố ạ ế ố ạ ự ể ấ
công, m c đích trình bày đ các b n hi u v ki u t n công này, và có nh ng gi i phápụ ể ạ ể ề ể ấ ữ ả
phòng ch ng.ố
Trong bài vi t này tôi s trình bày v i các b n chi ti t v đ nh nghĩa, các d ng t n công DoS và DDoS,ế ẽ ớ ạ ế ề ị ạ ấ
cùng hàng lo t các ki n th c liên quan đ c t ng h p. DoS và DDoS là m t trong nh ng d ng t n côngạ ế ứ ượ ổ ợ ộ ữ ạ ấ
nguy hi m nh t đ i v i m t h th ng m ng. Bài vi t này tôi không mu n các b n d a vào các tools trongể ấ ố ớ ộ ệ ố ạ ế ố ạ ự
này đ t n công, m c đích trình bày đ các b n hi u v ki u t n công này, và có nh ng gi i pháp phòngể ấ ụ ể ạ ể ề ể ấ ữ ả
ch ng.ố
Ph n I: c a bài vi t t p trung vào DoSầ ủ ế ậ
1. L ch s các cu c t n công DoS và DDoSị ử ộ ấ
2. Đ nh nghĩa v : Denial of Service Attackị ề
3. Các d ng t n công DoSạ ấ
4. Các tool t n công DoSấ
5. M ng BOT netạ
6. T n công DDoSấ
7. Phân lo i t n công DDoSạ ấ
8. Các tools t n công DDoSấ
9. Sâu máy tính (worms) trong t n công DDoSấ
I. L ch s c a t n công DoSị ử ủ ấ
1. M c tiêuụ
- M c tiêu các cu c t n công th ng vào các trang web l n và các t ch c th ng m i đi n t trênụ ộ ấ ườ ớ ổ ứ ươ ạ ệ ử
Internet.
2. Các cu c t n công.ộ ấ
- Vào ngày 15 tháng 8 năm 2003, Microsoft đã ch u đ t t n công DoS c c m nh và làm gián đo n websitesị ợ ấ ự ạ ạ
trong vòng 2 gi .ờ
- Vào lúc 15:09 gi GMT ngày 27 tháng 3 năm 2003: toàn b phiên b n ti ng anh c a website Al-Jazeera bờ ộ ả ế ủ ị
t n công làm gián đo n trong nhi u giấ ạ ề ờ
II. Đ nh nghĩa v t n công DoSị ề ấ
T n công DoS là ki u t n công vô cùng nguy hi m, đ hi u đ c nó ta c n ph i l m rõ đ nh nghĩa c aấ ể ấ ể ể ể ượ ầ ả ắ ị ủ
t n công DoS và các d ng t n công DoS.ấ ạ ấ
- T n công DoS là m t ki u t n công mà m t ng i làm cho m t h th ng không th s d ng, ho c làmấ ộ ể ấ ộ ườ ộ ệ ố ể ử ụ ặ
cho h th ng đó ch m đi m t cách đáng k v i ng i dùng bình th ng, b ng cách làm quá t i tài nguyênệ ố ậ ộ ể ớ ườ ườ ằ ả
c a h th ng.ủ ệ ố
- N u k t n công không có kh năng thâm nh p đ c vào h th ng, thì chúng c g ng tìm cách làm choế ẻ ấ ả ậ ượ ệ ố ố ắ
h th ng đó s p đ và không có kh năng ph c v ng i dùng bình th ng đó là t n công Denial ofệ ố ụ ổ ả ụ ụ ườ ườ ấ
Service (DoS).
M c dù t n công DoS không có kh năng truy c p vào d li u th c c a h th ng nh ng nó có th làmặ ấ ả ậ ữ ệ ự ủ ệ ố ư ể
gián đo n các d ch v mà h th ng đó cung c p. Nh đ nh nghĩa trên DoS khi t n công vào m t h th ngạ ị ụ ệ ố ấ ư ị ấ ộ ệ ố
s khai thác nh ng cái y u nh t c a h th ng đ t n công, nh ng m c đích c a t n công DoS:ẽ ữ ế ấ ủ ệ ố ể ấ ữ ụ ủ ấ
1. Các m c đích c a t n công DoSụ ủ ấ
- C g ng chi m băng thông m ng và làm h th ng m ng b ng p (flood), khi đó h th ng m ng số ắ ế ạ ệ ố ạ ị ậ ệ ố ạ ẽ
không có kh năng đáp ng nh ng d ch v khác cho ng i dùng bình th ng.ả ứ ữ ị ụ ườ ườ
- C g ng làm ng t k t n i gi a hai máy, và ngăn ch n quá trình truy c p vào d ch v .ố ắ ắ ế ố ữ ặ ậ ị ụ
- C g ng ngăn ch n nh ng ng i dùng c th vào m t d ch v nào đóố ắ ặ ữ ườ ụ ể ộ ị ụ
- C g ng ngăn ch n các d ch v không cho ng i khác có kh năng truy c p vào.ố ắ ặ ị ụ ườ ả ậ
- Khi t n công DoS x y ra ng i dùng có c m giác khi truy c p vào d ch v đó nh b :ấ ả ườ ả ậ ị ụ ư ị
+ Disable Network - T t m ngắ ạ
+ Disable Organization - T ch c không ho t đ ngổ ứ ạ ộ
+ Financial Loss – Tài chính b m tị ấ
2. M c tiêu mà k t n công th ng s d ng t n công DoSụ ẻ ấ ườ ử ụ ấ
Nh chúng ta bi t bên trên t n công DoS x y ra khi k t n công s d ng h t tài nguyên c a h th ngư ế ở ấ ả ẻ ấ ử ụ ế ủ ệ ố
và h th ng không th đáp ng cho ng i dùng bình th ng đ c v y các tài nguyên chúng th ng sệ ố ể ứ ườ ườ ượ ậ ườ ử
d ng đ t n công là gì:ụ ể ấ
- T o ra s khan hi m, nh ng gi i h n và không đ i m i tài nguyênạ ự ế ữ ớ ạ ổ ớ
- Băng thông c a h th ng m ng (Network Bandwidth), b nh , đĩa, và CPU Time hay c u trúc d li uủ ệ ố ạ ộ ớ ổ ấ ữ ệ
đ u là m c tiêu c a t n công DoS.ề ụ ủ ấ
- T n công vào h th ng khác ph c v cho m ng máy tính nh : h th ng đi u hoà, h th ng đi n, h tấ ệ ố ụ ụ ạ ư ệ ố ề ệ ố ệ ệ
h ng làm mát và nhi u tài nguyên khác c a doanh nghi p. B n th t ng t ng khi ngu n đi n vào máyố ề ủ ệ ạ ử ưở ượ ồ ệ
ch web b ng t thì ng i dùng có th truy c p vào máy ch đó không.ủ ị ắ ườ ể ậ ủ
- Phá ho i ho c thay đ i các thông tin c u hình.ạ ặ ổ ấ
- Phá ho i t ng v t lý ho c các thi t b m ng nh ngu n đi n, đi u hoà…ạ ầ ậ ặ ế ị ạ ư ồ ệ ề
III. Các d ng t n côngạ ấ
T n công Denial of Service chia ra làm hai lo i t n côngấ ạ ấ
- T n công DoS: T n công t m t cá th , hay t p h p các cá th .ấ ấ ừ ộ ể ậ ợ ể
- T n công DDoS: Đây là s t n công t m t m ng máy tính đ c thi t k đ t n công t i m t đích cấ ự ấ ừ ộ ạ ượ ế ế ể ấ ớ ộ ụ
th nào đó.ể
1. Các d ng t n công DoSạ ấ
- Smurf
- Buffer Overflow Attack
- Ping of Death
- Teardrop
- SYN Attack
a. T n công Smurfấ
- Là th ph m sinh ra c c nhi u giao ti p ICMP (ping) t i đ a ch Broadcast c a nhi u m ng v i đ a chủ ạ ự ề ế ớ ị ỉ ủ ề ạ ớ ị ỉ
ngu n là m c tiêu c n t n công.ồ ụ ầ ấ
* Chúng ta c n l u ý là: Khi ping t i m t đ a ch là quá trình hai chi u – Khi máy A ping t i máy B máy Bầ ư ớ ộ ị ỉ ề ớ
reply l i hoàn t t quá trình. Khi tôi ping t i đ a ch Broadcast c a m ng nào đó thì toàn b các máy tínhạ ấ ớ ị ỉ ủ ạ ộ
trong m ng đó s Reply l i tôi. Nh ng gi tôi thay đ i đ a ch ngu n, thay đ a ch ngu n là máy C và tôiạ ẽ ạ ư ờ ổ ị ỉ ồ ị ỉ ồ
ping t i đ a ch Broadcast c a m t m ng nào đó, thì toàn b các máy tính trong m ng đó s reply l i vàoớ ị ỉ ủ ộ ạ ộ ạ ẽ ạ
máy C ch không ph i tôi và đó là t n công Smurf.ứ ả ấ
- K t qu đích t n công s ph i ch u nh n m t đ t Reply gói ICMP c c l n và làm cho m ng b d t ho cế ả ấ ẽ ả ị ậ ộ ợ ự ớ ạ ị ớ ặ
b ch m l i không có kh năng đáp ng các d ch v khác.ị ậ ạ ả ứ ị ụ
- Quá trình này đ c khuy ch đ i khi có lu ng ping reply t m t m ng đ c k t n i v i nhau (m ngượ ế ạ ồ ừ ộ ạ ượ ế ố ớ ạ
BOT).
- t n công Fraggle, chúng s d ng UDP echo và t ng t nh t n công Smurf.ấ ử ụ ươ ự ư ấ
Hình hi n th t n công DoS - d ng t n công Smurf s d ng gói ICMP làm ng p các giao ti p khác.ể ị ấ ạ ấ ử ụ ậ ế
b. T n công Buffer overflow.ấ
- Buffer Overflow x y ra t i b t kỳ th i đi m nào có ch ng trình ghi l ng thông tin l n h n dungả ạ ấ ờ ể ươ ượ ớ ơ
l ng c a b nh đ m trong b nh .ượ ủ ộ ớ ệ ộ ớ
- K t n công có th ghi đè lên d li u và đi u khi n ch y các ch ng trình và đánh c p quy n đi uẻ ấ ể ữ ệ ề ể ạ ươ ắ ề ề
khi n c a m t s ch ng trình nh m th c thi các đo n mã nguy hi m. - T n công Buffer Overflow tôi đãể ủ ộ ố ươ ằ ự ạ ể ấ
trình bày cách khai thác l i này trong bài vi t tr c v hacking windows cũng trên trangỗ ế ướ ề
www.vnexperts.net.
- Quá trình g i m t b c th đi n t mà file đính kèm dài quá 256 ký t có th s x y ra quá trình tràn bử ộ ứ ư ệ ử ự ể ẽ ả ộ
nh đ m.ớ ệ
c. T n công Ping of Deathấ
- K t n công g i nh ng gói tin IP l n h n s l ng bytes cho phép c a tin IP là 65.536 bytes.ẻ ấ ử ữ ớ ơ ố ươ ủ
- Quá trình chia nh gói tin IP thành nh ng ph n nh đ c th c hi n layer II.ỏ ữ ầ ỏ ượ ự ệ ở
- Quá trình chia nh có th th c hi n v i gói IP l n h n 65.536 bytes. Nh ng h đi u hành không thỏ ể ự ệ ớ ớ ơ ư ệ ề ể
nh n bi t đ c đ l n c a gói tin này và s b kh i đ ng l i, hay đ n gi n là s b gián đo n giao ti p.ậ ế ượ ộ ớ ủ ẽ ị ở ộ ạ ơ ả ẽ ị ạ ế
- Đ nh n bi t k t n công g i gói tin l n h n gói tin cho phép thì t ng đ i d dàng.ể ậ ế ẻ ấ ử ớ ơ ươ ố ễ
d. T n công Teardropấ
- Gói tin IP r t l n khi đ n Router s b chia nh làm nhi u ph n nh .ấ ớ ế ẽ ị ỏ ề ầ ỏ
- K t n công s d ng s d ng gói IP v i các thông s r t khó hi u đ chia ra các ph n nh (fragment).ẻ ấ ử ụ ử ụ ớ ố ấ ể ể ầ ỏ
- N u h đi u hành nh n đ c các gói tin đã đ c chia nh và không hi u đ c, h th ng c g ng buildế ệ ề ậ ượ ượ ỏ ể ượ ệ ố ố ắ
l i gói tin và đi u đó chi m m t ph n tài nguyên h th ng, n u quá trình đó liên t c x y ra h th ngạ ề ế ộ ầ ệ ố ế ụ ả ệ ố
không còn tài nguyên cho các ng d ng khác, ph c v các user khác.ứ ụ ụ ụ
e. T n công SYNấ
- K t n công g i các yêu c u (request o) TCP SYN t i máy ch b t n công. Đ x lý l ng gói tinẻ ấ ử ầ ả ớ ủ ị ấ ể ử ượ
SYN này h th ng c n t n m t l ng b nh cho k t n i.ệ ố ầ ố ộ ượ ộ ớ ế ố
- Khi có r t nhi u gói SYN o t i máy ch và chi m h t các yêu c u x lý c a máy ch . M t ng i dùngấ ề ả ớ ủ ế ế ầ ử ủ ủ ộ ườ
bình th ng k t n i t i máy ch ban đ u th c hi n Request TCP SYN và lúc này máy ch không còn khườ ế ố ớ ủ ầ ự ệ ủ ả
năng đáp l i - k t n i không đ c th c hi n.ạ ế ố ượ ự ệ
- Đây là ki u t n công mà k t n công l i d ng quá trình giao ti p c a TCP theo – Three-way.ể ấ ẻ ấ ợ ụ ế ủ
- Các đo n mã nguy hi m có kh năng sinh ra m t s l ng c c l n các gói TCP SYN t i máy ch b t nạ ể ả ộ ố ượ ự ớ ớ ủ ị ấ
công, đ a ch IP ngu n c a gói tin đã b thay đ i và đó chính là t n công DoS.ị ỉ ồ ủ ị ổ ấ
- Hình bên trên th hi n các giao ti p bình th ng v i máy ch và bên d i th hi n khi máy ch b t nể ệ ế ườ ớ ủ ướ ế ệ ủ ị ấ
công gói SYN đ n s r t nhi u trong khi đó kh năng tr l i c a máy ch l i có h n và khi đó máy chế ẽ ấ ề ả ả ờ ủ ủ ạ ạ ủ
s t ch i các truy c p h p pháp.ẽ ừ ố ậ ợ
- Quá trình TCP Three-way handshake đ c th c hi n: Khi máy A mu n giao ti p v i máy B. (1) máy Aượ ự ệ ố ế ớ
b n ra m t gói TCP SYN t i máy B – (2) máy B khi nh n đ c gói SYN t A s g i l i máy A gói ACKắ ộ ớ ậ ượ ừ ẽ ử ạ
đ ng ý k t n i – (3) máy A g i l i máy B gói ACK và b t đ u các giao ti p d li u.ồ ế ố ử ạ ắ ầ ế ữ ệ
- Máy A và máy B s d k t n i ít nh t là 75 giây, sau đó l i th c hi n m t quá trình TCP Three-wayẽ ữ ế ố ấ ạ ự ệ ộ
handshake l n n a đ th c hi n phiên k t n i ti p theo đ trao đ i d li u.ầ ữ ể ự ệ ế ố ế ể ổ ữ ệ
- Th t không may k t n công đã l i d ng k h này đ th c hi n hành vi t n công nh m s d ng h t tàiậ ẻ ấ ợ ụ ẽ ở ể ự ệ ấ ằ ử ụ ế
nguyên c a h th ng b ng cách gi m th i gian yêu c u Three-way handshake xu ng r t nh và không g iủ ệ ố ằ ả ờ ầ ố ấ ỏ ử
l i gói ACK, c b n gói SYN ra liên t c trong m t th i gian nh t đ nh và không bao gi tr l i l i góiạ ứ ắ ụ ộ ờ ấ ị ờ ả ờ ạ
SYN&ACK t máy b t n công.ừ ị ấ
- V i nguyên t c ch ch p nh n gói SYN t m t máy t i h th ng sau m i 75 giây n u đ a ch IP nào viớ ắ ỉ ấ ậ ừ ộ ớ ệ ố ỗ ế ị ỉ
ph m s chuy n vào Rule deny access s ngăn c n t n công này.ạ ẽ ể ẽ ả ấ
IV. Các công c t n công DoSụ ấ
- Jolt2
- Bubonic.c
- Land and LaTierra