|络安全是涉及到|络各个斚w内容Q现在最为突出问题就是网l攻凅R根据近q来接触到问题,ȝ了下面几个现在比较常用网l攻L法和一些防御测试?/p>
DDos ?Distributed Denial of service , q种dh?996q_此攻M要利用合理的服务h来占用过多的服务资源Q从而服务器无法处理合法用L指o。有以下主要几种具体d手段Q?/p>
Q?QSYN z水d
原理QSYN z水d主要是利用TCP协议~陷Q通过“肉鸡”伪造地址和发送大量的半连接请求,使得L一直等待半q接h的回复。通过此方法不断耗费L有限的CPU资源和内存资源?/p>
d手段Q一般都是开发专门制造洪水攻ȝ序;E序核心主要是伪造一个TCP协议信息头和IP协议的信息头
防M手段Q?/p>
1Q用硬防火墙过滤;g防火墙明显提高防御性能Q基本能拦截95%~99%的攻M息包Q服务器依然会接受到d的信息包。缺点:只能被动提高防M性能
2Q用门户代理过滤;防M效果非常明显Q曾l试q被20G数据d。经q美国某防M门户qo后,大概只有几十K有效数据发送到服务器上。缺点:在用了防M门户后,服务端与客户端之交互延时非常严重Q?gt;1000MSQ?/p>
3Q修Ҏ务器一些网l安全参数设?如:Window 可以修改下面一些配|SynAttackProtectQTcpMaxPortsExhaustedQTcpMaxHalfOpen? TcpMaxHalfOpenRetried{;更加详细相关配置讑֮介绍可以到网上搜索一?应该不少。系l的防M性能提高有限Q但无需要Q何投入?/p>
4Q机器群集均衡负载;q个Ҏ是一个最有效和成本最高的Ҏ。这里我׃多讲最后这个方法啦?/p>
ȝQSYNz水d主要是攻L与防御方比拼g资源和防御策略?/p>
Q?Q流量攻?/p>
原理Q流量攻M要是“肉鸡”通过对目的主机的服务端口发送大量的垃圾数据Q导致目的主机的|络堵塞。在|络上很多文章都会将SYNz水d和流量攻击视 作ؓ相同手段。从监控软g来看Q被q两U攻L候都会表Cؓ|络量暴涨D|络堵塞。其实,q两U攻ȝ|络堵塞原因是有本质上区别的。流量攻d致网 l堵塞是某些IP机器实际发送大量垃圾信息去耗尽L带宽QSYNz水dD|络堵塞是目标主机本w所有资源被伪造半q接h耗尽了,使得机器Ҏ不能 l箋接受新连接?/p>
d手段Q最单流量攻ȝ序都是将单Socket E序中的sendBuf 修改为大?4K数据块就可以了?/p>
防M手段Q?/p>
1Q用硬防火墙过滤;Ҏ服务E序现状讑֮合适策略,基本拦截95~99%的垃圾信息;量d拦截非常依靠g防火墙设定策略,有效{略会大大提高系l防御性能?/p>
2Q用门户代理过滤;参照【SYNz水d】相应描q?
3Q优化服务端E序解密法
现在一般网l上C/S 或者B/S 架构模式的程序,在系l互盔R信指o上基本都是密文。当pȝ服务端程序受到攻L候,服务的解密算法就会受到巨大压力,很容易导致服务器资源耗尽。所以, Z提高pȝ在高压力下生存率Q选择高效解密Ҏ是很有必要?/p>
4Q增加服务端E序|络异常处理
在一定高压力情况下,除了需要确保服务端?#8221;E_?#8220;Q还需要确保系l的”准确?#8220;。对一些网l异怸断的情况Q制定一些补救性措施和机制。特别是一些实时性系l特别重要,按过往l验在一定压力情况下会出现非常离谱错误?/p>
5Q增加服务端E序防M{略
׃DDos d往往都用IP地址”ƺ骗“技术,在行业里面暂时没有比较有效的反击Ҏ。所以,现在最行防M{略是服务?#8221; 装死 “。n边其他hUCؓ” 信息忽略回馈机制“Q主要思想是当系l收C个不能识别的指o时候,立即掉弃q接和不对连接作ZQ何反馈信息。除?#8221; 信息忽略回馈机制“外,q有一些商业上和业务上防M{略。如Q?账户锁定{略QIP锁定{略和服务器认证{略{?/p>
ȝQ流量攻L验防御方|络量Q系l安全策略,pȝ异常处理和系l性能。在目旉允许情况下,q个试是必不可的?/p>
Q?QHTTPz水d
原理QHTTPz水是利用【应用层】中HTTP协议~陷Q不断发送没有完成的HTTP_直到你的服务器耗尽所有的资源?/p>
d手段Q?/p>
1Q首先向服务器发出如下HTTP头部Q?br />
GET / HTTP/1.1\r\n
Host: host\r\n
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0;
Windows NT 5.1; Trident/4.0; .NET CLR 1.1.4322; .NET CLR 2.0.503l3; .NET
CLR 3.0.4506.2152; .NET CLR 3.5.30729; MSOffice 12)\r\n
Content-Length: 42\r\n
2Q然后每隔一定时间l发Z个自定义的头部:
X-a: b\r\n
ȝҎHTTP协议QHTTPh头部与请求主体的分隔是多一个\r\n。也是说上q的HTTP头部一直没有发送完成,HTTP服务器会{在那里准备
接受余下的内容,一直到接受时Q然后关闭连接。默认的apached头部的超时据说是3000U。Apache的情冉|Q每接受一个连接新开一个进E?
或线E,q样新接受一个连接的资源消耗很大,我测试的q结果是Q一般apache只需在超时时间内Q持l发?00个以上的包,apache׃会再接收
新的q接了?/p>
防M手段Q?/p>
1Q减HTTP头部q接时的时_其是HTTPh中GET、HEADҎ的超时时间。注意一般POSTҎ的头部包含了上传的内容,所以传输时间会很长Q要避免合法的h提前关闭?br /> 2Q限定单个IP的连接数。缺ҎQ有些学校、大公司都通过NAT方式q接互联|,所以同一个IP的连接数会很多?br /> 3Q特别针对ApacheQ将Nginx此类反向服务器放在apache前面Q用来撑q接Q代理合法的h?/p>
4Q用硬防火墙过滤;
5Q用门户代理过滤;
ȝQHTTP协议的缺陷其实是TCP/IP协议~陷的一个g伸,只是表现在应用层|络协议面上?/p>
本h水^有限Q若有不准确地方Ƣ迎提出?/p>