tìm hiểu tấn công ddos và cách phòng chống

LỜI CẢM ƠN
Trước tiên em xin gửi lời cảm ơn chân thành và sâu sắc nhất tới các thầy cô giáo
trong trường Đại học Duy Tân nói chung và các thầy cô giáo trong khoa Công nghệ thông
tin, bộ môn Kỹ thuật mạng nói riêng đã tận tình giảng dạy, truyền đạt cho em những kiến
thức, kinh nghiệm quý báu trong suốt thời gian qua.
Đặc biệt, em xin gửi lời cảm ơn đến thầy giáo Võ Nhân Văn, thầy đã tận tình giúp
đỡ, trực tiếp chỉ bảo, hướng dẫn em trong suốt quá trình làm đồ án tốt nghiệp này. Trong
thời gian làm việc với thầy, em không ngừng tiếp thu thêm nhiều kiến thức bổ ích mà còn
học tập được tinh thần làm việc, thái độ nghiên cứu nghiêm túc, hiệu quả, đây là những
điều rất cần thiết cho em trong quá trình học tập và công tác sau này.
Sau cùng xin gửi lời cảm ơn chân thành tới gia đình, bạn bè đã động viên, đống
góp ý kiến và giúp đỡ trong quá trình học tập, nghiên cứu và hoàn thành đồán tốt nghiệp
này.
Mặc dù đã rất cố gắng, nhưng trong một khoảng thời gian cho phép, cũng như hạn
chế về mặt kiến thức của bản thân, cuốn đồ án này không thể tránh khỏi nhiều thiếu sót.
Chính vì vậy, em rất mong nhận được sự góp ý của các thầy giáo, cô giáo cũng như của
bạn bè và những người có quan tâm đến lĩnh vực mà cuốn đồ án này đã được trình bày.
Đà Nẵng, ngày 20 tháng 10 năm 2013
NGÔ THÀNH LONG
THUẬT NGỮ, TỪ VIẾT TẮT:
Scanning, là tiến trình “quét”, trước đây được attacker thực hiện bằng tay,
sử dụng những công cụ “thô”. Qua thời gian, những công cụ scanning được cải thiện
và những chức năng của nó đã tích hợp và tự động. Như chúng ta từng nghe nói
đến về worm, một trong những hình thức tự động scanning.
Blended threat đầu tiên cũng là những chương trình đơn thuần hoặc một
nhóm các chương trình cung cấp nhiều dịch vụ, nó là những tập lệnh và điều khiển sử
dụng một IRC bot và scanning lỗ hổng.
Flooding thường được dùng trong cuộc tấn công từ chối dịch vụ (DoS). Nó tạo ra
một số lượng rất lớn các gói tin vào hệ thống mục tiêu, khiến hệ thống bị sụp đỗ.
ODBC cung cấp một chuẩn bằng phương thức client kết nối vào một CSDL. Để
biết nhiều thông tin về ODBC, vào http://odb c .o r g .

Cleartext là dạng thông điệp chứa những ký tự mà khi nhìn vào nó, ta có thể
hiểu đầy đủ ý nghĩa của những chuỗi ký tự này.
Attacker: người tấn công vào hệ thống máy tính, đồng nghĩa với intruder, craker,
hacker.
Master: cũng thường gọi là handler,client là hệ thống bị cài phần mền xâm
nhập,chịu sự quản lý của attacker
Daemon: hay còn gọi là agent, bcast (broadcast) program, hay zombie. Là hệ
thống bị cài đặt phần mềm giúp attacker tấn công. Nó chịu sự quản lý của master.
Victim: nạn nhân bị tấn công.
Signature: dấu hiệu. Mỗi một cuộc tấn công hay xâm nhập vào tổ chức mạng đều
mang một dấu hiệu đặc trưng. Nhờ đó, người ta mới rút ra được những luật định và xây
dựng thành những tập luật riêng.
Rule hay Ruleset: tập luật luôn được sử dụng trong các hệ thống phát hiện xâm
nhập (IDS) hay các hệ thống ngăn chặn xâm nhập (IPS, Firewall) nhằm phát hiện và ngăn
chặn các hành động hay dấu hiệu xâm phạm vào hệ thống.
False Posities: khi nhận ra những định dạng xuất loại này, tức là hệ thống IDS
đã sinh ra những cảnh báo mà thực chất lưu lượng nó “bắt được” là những lưu lượng
“bình thường” (không phải lưu lượng nguy hiểm).
Tcpdump là một chương trình, tiện ích tích hợp sẵn trên các hệ thống Linux, Unix.
Sử dụng tcpdump cũng giống như các chương trình bắt gói tin.
C ác t ừ ng ữ vi ế t t ắ t:
- IDS - Intrusion Detection System: Hệ thống phát hiện xâm nhập.
- IPS – Intrusion Prevention System: Hệ thống ngăn chặn xâm nhập.
- Snort: là một chương trình IDS.
- Firewall: tường lửa.
- DoS - Denial of Service. Từ chối dịch vụ.
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
- DDoS - Distribute Denial of Service. Từ chối dịch vụ phân tán.
- IRC – Internet Relay Chat.
- ISP - Internet Service Provider. Nhà cung cấp dịch vụ internet.

- DNS - Domain Name Service. Dịch vụ tên miền.
- TFN - Tribe Flood Network. Một công cụ tấn công DDoS.
- TFN2K - Tribe Flood Network 2000.
- FTP- File Transfer Protocol. Giao thức truyền tập tin.
- SNMP - Simple Network Managerment Protocol.
- TCP – Transfer Control Protocol: giao thức điều khiển truyền vận.
- UDP – User Datagram Protocol: giao thức dữ liệu người dùng.
- ICMP – Internet Control Message Protocol: giao thức thông điệp
điều khiển internet.
- IP – Internet Protocol: giao thức internet.
- TTL – Time To Live.
- ToS – Time of Service.
- ACID - Analysis Console for Intrusion Databases.
- BASE – Basic Analysis and Security Engine.
- HTTP – HyperText Trasfer Protocol.
- HTML – HyperText Mark Language.
SVTH: Ngô Thành Long Page 3
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
PHẦN 1. MỞ ĐẦU
 LÝ DO
Việc tin tặc tấn công các trang web đã xẩy ra từ nhiều năm nay. Trong đó có các
thủ thuật như: lợi dụng các lỗ thủng của software quản lý server hay database,… để
phá từ bên trong máy chủ, gửi spam làm tràn ngập hộp thư điện tử (e-mail), dùng
DoS hay DDoS,… để tấn công từ bên ngoài, ăn cắp mật khẩu (bằng cách cài một
phần mềm gián điệp vào máy PC cá nhân), tên miền, chiếm đoạt hộp thư,…
Website có lượt truy cập cao là mong muốn của hầu hết những khách hàng thiết kế
website. Tuy nhiên, có đôi lúc con số thống kê số lượng truy cập không chính xác
bởi sự tấn công của những kẻ phá hoại. Sự tấn công này làm giảm khả năng đáp
ứng yêu cầu từ người dùng và làm ngập lụt hệ thống, khiến website không thể trả
lại thông tin theo truy vấn của khách hàng và rõ ràng đây là việc mà không nhà

quản trị website nào mong muốn.
Và một trong những cách mà tin tặc dùng để tấn công các trang web là Dos hay
DDos. Trong bài viết này tôi sẻ trình bày một cách tổng quát nhất có thể, về cách
thức tấn công các trang web của hình thức này. Từ đó đưa ra những giải pháp tốt
nhất để phòng chống cách thức tấn công này.
 MỤC TIÊU VÀ NHIỆM VỤ
- Hiểu rõ đặc điểm và cách thức tấn công của DoS & DDoS
- Nắm vững các lỗ hổng mà DoS & DDoS dựa vào để tấn công
- Cách thức triển khai 1 mạng BOTNET
- Cách thức phòng chống thông qua IDS
 ĐỐI TƯỢNG NGHIÊN CỨU
Nghiên cứu lý thuyết về DoS & DDoS, tìm hiểu cách thức phòng chống của hệ
thống IDS, từ đó đưa ra các giải pháp phòng thủ trước các cuộc tấn công của DoS
& DDoS
 PHẠM VI NGHIÊN CỨU
- Tìm hiểu về đặc điểm và cách thức tấn công của DoS & DDoS
- Tìm hiểu cách thức xây dựng và hoạt động của 1 mạng BOTNET
- Tìm hiểu các thành phần chức năng của IDS và đưa ra giải pháp phòng thủ
SVTH: Ngô Thành Long Page 4
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
 Ý NGHĨA KHOA HỌC VÀ THỰC TIỄN
Hiện nay, bất kỳ một nhà quảng trị mạng nào cũng phải luôn đề cao cảnh giác với
các loại hình tấn công các trang web do mình quảng trị. Mà loại hình tấn công nguy
hiểm nhất là dùng Dos (tấn công từ chối dịch vụ) hay Ddos (phân bố tấn công từ
chối dịch vụ).
Để thuận lợi cho công việc sau này, tôi muốn đi sâu tìm hiểu về cách thức tấn công
của loại này từ đó có những giải pháp khả dỉ nhất để phòng chống.
Thông qua bài viết này, tôi cũng muốn những ai chưa biết nhiều về sự nguy hiểm
cũng như nguy cơ tiềm ẩn của hệ thống có thể bị tấn công Dos hay Ddos sẽ có sự
chuẩn bị tốt nhất cho hệ thống, giảm tối thiểu các ảnh hưởng của các cuộc tấn công.

SVTH: Ngô Thành Long Page 5
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
PHẦN 2.NỘI DUNG CHI TIẾT
CHƯƠNG 1: TỔNG QUAN AN TOÀN MẠNG
 MỞ ĐẦU
Trong bối cảnh tiến trình hội nhập, vấn đề an ninh mạng và bảo mật dữ liệu
đang trở nên rất được quan tâm. Khi cơ sở hạ tầng và các công nghê mangj đã đáp
ứng các yê cầu về băng thong, chất lượng dịch vụ, đồng thời thực trạng tấn công
trên mạng đang ngày một gia tăng thì vấn đề bảo mật càng được chú trọng hơn.
Không chỉ các nhà cung cấp dịch vụ Internet, các cơ quan chính phủ mà các doanh
nghiệp, tổ chức cũng có ý thức hơn về an toàn thong tin.
 NGUY CƠ ẢNH HƯỞNG ĐẾN AN TOÀN MẠNG:
1.2.1. Lổ hổng:
Các lỗ hổng bảo mật trên một hệ thống là các điểm yếu có thể tạo ra sự
ngưng trệ của dịch vụ, thêm quyền đối với người sử dụng hoặc cho phép các truy
nhập không hợp pháp vào hệ thống. Các lỗ hổng cũng có thể nằm ngay các dịch vụ
cung cấp như sendmail, web, ftp Ngoài ra các lỗ hổng còn tồn tại ngay chính tại
SVTH: Ngô Thành Long Page 6
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
hệ điều hành như trong Windows NT, Windows 95, UNIX; hoặc trong các ứng
dụng mà người sử dụng thương xuyên sử dụng như Word processing, Các hệ
databases
 Phân loại lỗ hổng bảo mật :
Có nhiều tổ chức khác nhau tiến hành phân loại các dạng lỗ hổng đặc biêt.
Theo cách phân loại của Bộ quốc phòng Mỹ, các loại lỗ hổng bảo mật trên một hệ
thống được chia như sau:
- Lỗ hổng loại C: các lỗ hổng loại này cho phép thực hiện các phương thức
tấn công theo DoS (Dinal of Services - Từ chối dịch vụ). Mức độ nguy hiểm thấp,
chỉ ảnh hưởng tới chất lượng dịch vụ, có thể làm ngưng trệ, gián đoạn hệ thống;
không làm phá hỏng dữ liệu hoặc đạt được quyền truy nhập bất hợp pháp

- Lổ hổng loại B: Các lỗ hổng cho phép người sử dụng có thêm các quyền
trên hệ thống mà không cần thực hiện kiểm tra tính hợp lệ. Mức độ nguy hiểm
trung bình; Những lỗ hổng này thường có trong các ứng dụng trên hệ thống; có thể
dẫn đến mất hoặc lộ thông tin yêu cầu bảo mật.
- Lỗ hổng loại A: Các lỗ hổng này cho phép người sử dụng ở ngoài có thể
truy nhập vào hệ thống bất hợp pháp. Lỗ hổng rất nguy hiểm, có thể làm phá hủy
toàn bộ hệ thống.
1.2.2. Các kỹ thuật tấn công trên mạng:
• Tấn công trực tiếp
Những cuộc tấn công trực tiếp thong thường được sử dụng trong giai đoạn
đầu để chếm được quyền truy nhập hệ thống mạng bên trong.
• Nghe trộm trên mạng
Thông tin gởi đi trên mạng thường được luân chuyển từ máy tính này qua
các máy tính khác, điều đó khiến cho thong tin của ta có thể bị kẻ khác nghe trộm.
Việc nghe trộm thường được các Hacker tiến hành khi đã chiếm được quyền truy
nhập vào hệ thống hoặc kiểm soát đường truyền.
• Giả mạo địa chỉ
Giả mạo địa chỉ có thể được thực hiện thông qua sử dụng khả năng dẫn
đường trực tiếp. Với cách tấn công này kẻ tấn công gửi các gói tin tới mạng khác
với một địa chỉ giả mạo, đồng thời chỉ rõ đường dẫn mà các gói tin phải đi. Thí dụ
SVTH: Ngô Thành Long Page 7
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
người nào đó có thể giả mạo địa chỉ của bạn để gửi đi những thông tin có thể làm
ảnh hưởng xấu tới bạn.
• Vô hiệu hoá các chức năng của hệ thống
Đây là kiểu tấn công làm tê liệt hệ thống, làm mất khả năng cung cấp dịch
vụ (Denial of Service - DoS) không cho hệ thống thực hiện được các chức năng mà
nó được thiết kế. Kiểu tấn công này rất khó ngăn chặn bởi chính những phương
tiện dùng để tổ chức tấn công lại chính là những phương tiện dùng để làm việc và
truy cập thông tin trên mạng. Một thí dụ về trường hợp có thể xảy ra là một người

trên mạng sử dụng chương trình đẩy ra những gói tin yêu cầu về một trạm nào đó.
Khi nhận được gói tin, trạm luôn luôn phải xử lý và tiếp tục thu các gói tin đến sau
cho đến khi bộ đệm đầy, dẫn tới tình trạng những nhu cầu cung cấp dịch vụ của các
máy khác đến trạm không được phục vụ.
Điều đáng sợ là các kiểu tấn công DoS chỉ cần sử dụng những tài nguyên
giới hạn mà vẫn có thể làm ngưng trệ dịch vụ của các site lớn và phức tạp. Do vậy
loại hình tấn công này còn được gọi là kiểu tấn công không cân xứng (asymmetric
attack). Chẳng hạn như kẻ tấn công chỉ cần một máy tính PC thông thường với một
modem tốc độ chậm vẫn có thể tấn công làm ngưng trệ các máy tính mạnh hay
những mạng có cấu hình phức tạp.
• Tấn công vào các yếu tố con người
Đây là một hình thức tấn công nguy hiểm nhất nó có thể dẫn tới những tổn
thất hết sức khó lường. Kẻ tấn công có thể liên lạc với người quản trị hệ thống thay
đổi một số thông tin nhằm tạo điều kiện cho các phương thức tấn công khác.
Ngoài ra, điểm mấu chốt của vấn đề an toàn, an ninh trên mạng chính là người sử
dụng. Họ là điểm yếu nhất trong toàn bộ hệ thống do kỹ năng, trình độ sử dụng
máy tính, bảo mật dữ liệu không cao. Chính họ đã tạo điều kiện cho những kẻ phá
hoại xâm nhập được vào hệ thống thông qua nhiều hình thức khác nhau như qua
email hoặc sử dụng những chương trình không rõ nguồn gốc, thiếu độ an toàn.
Với kiểu tấn công như vậy sẽ không có bất cứ một thiết bị nào có thể ngăn
chặn một cách hữu hiệu chỉ có phương pháp duy nhất là hướng dẫn người sử dụng
mạng về những yêu cầu bảo mật để nâng cao cảnh giác. Nói chung yếu tố con
người là một đIểm yếu trong bất kỳ một hệ thống bảo vệ nào và chỉ có sự hướng
SVTH: Ngô Thành Long Page 8
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
dẫn của người quản trị mạng cùng với tinh thần hợp tác từ phía người sử dụng mới
có thể nâng cao độ an toàn của hệ thống bảo vệ.
1.2.3. Các hình thức tấn công trên mạng:
Có thể phân thành các dạng như sau:
1.2.3.1. Reconnaissance attacks:

Bước đầu hacker ping đến tằm nhắm để xác định địa chỉ IP đích. Sau đó,
hacker xác định những port cũng như những dịch vụ đang “sống” trên địa chỉ IP
đó.
Từ những thông tin này, hacker bắt đầu xác định được dạng và phiên bản của hệ
điều hành. Hacker tiến hành đánh cắp dữ liệu hoặc phá huỷ hệ điều hành của mạng.
Các hình thức tấn công dạng này bao gồm: packet sniffers, port scans, ping sweeps,
internet information queries.
Packet sniffers:
Là phần mềm ứng dụng dùng một card adapter với promiseous mode để bắt
giữ tất cả các gói tin gởi xuyên qua một mạng LAN. Kỹ thuật này chỉ thực hiện
được trên cùng một collision domain.
Packet sniffers sẽ khai thác những thông tin được truyền ở dạng clear text.
Những giao thức truyền ở dạng clear text bao gồm: Telnet, FTP, SNMP, POP,
HTTP…
Một vd như sau:
Code:
TCP - Transport Control Protocol
Source Port: 3207
Destination Port: 110 pop3
Sequence Number: 1904801188
Ack Number: 1883396256
Offset: 5 (20 bytes)
Reserved: %000000
Flags: %011000
0. (No Urgent pointer)
.1 Ack
1 Push
SVTH: Ngô Thành Long Page 9
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
.0 (No Reset)

0. (No SYN)
0 (No FIN)
Window: 64161
Checksum: 0x078F
Urgent Pointer: 0
No TCP Options
POP - Post Office Protocol
Line 1: PASS secretpass
Ta nhận thấy password được truyền đi ở dạng clear text là secrectpass.
Bởi vì packet được truyền đi không được mã hoá như trên, nó có thể bị xử lý
bởi bất kỳ ai sử dụng kỹ thuật packet sniffers.
Những công cụ sau được dùng ngăn cản packet sniffers gồm: authentication,
switched infrastrutured, antisniffer va cryptography.
Authentication:
Kỹ thuật xác thực này được thực hiện phổ biến như one-type password
(OTPs). Kỹ thuật này được thực hiện bao gồm hai yếu tố: personal identification
number ( PIN ) và token card để xác thực một thiết bị hoặc một phần mềm ứng
dụng.
Token card là thiết bị phần cứng hoặc phần mềm sản sinh ra thông tin một cách
ngẫu nhiên ( password ) tai một thời điểm, thường là 60 giây.
Khách hàng sẽ kết nối password đó với một PIN để tạo ra một password duy
nhất. Giả sử một hacker học được password đó bằng kỹ thuật packet sniffers, thông
tin đó cũng không có giá trị vì nó đã hết hạn.
Switched infrastructured:
Kỹ thuật này có thể dùng để ngăn chặn packet sniffers trong môi trường
mạng. Vd: nếu toàn bộ hệ thống sử dụng switch ethernet, hacker chỉ có thể xâm
nhập vào luồng traffic đang lưu thông tại 1 host mà hacker kết nối đến. Kỹ thuật
này không làm ngăn chặn hoàn toàn packet sniffer nhưng nó có thể giảm được tầm
ảnh hưởng của nó.
Antisniffer tools:

SVTH: Ngô Thành Long Page 10
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
Là những phần mềm và phần cứng được thiết kế để ngăn chặn sniffer. Thật
sự những ứng dụng này không ngăn chặn được hoàn toàn nguy cơ bị sniffer nhưng
cũng giống như những công cụ khác, nó là một phần của toàn bộ hệ thống.
Cryptography:
Kỹ thuật mã hoá này giúp cho dữ liệu được truyền đi qua mạng ma không
ở dạng clear text. Giả sử hacker có bắt được dữ liệu thì cũng không thể giải mã
được thông tin.
Phương pháp này có hiệu lực hơn so với việc dò tìm và ngăn cản sniffer.
Nếu như một kênh truyền được mã hoá, dữ liệu mà packet sniffer dò tìm được cũng
không có giá trị và không phải là thông tin chính xác ban đầu.
Hệ thống mã hóa của Cisco dựa trên kỹ thuật IPSec, giao thức mã hóa “
đường hầm” dựa trên địa chỉ IP. Những giao thức gồm: Secure Sell Protocol
( SSH ) và Secure Socket Layer ( SSL ).
Port scans va ping sweeps:
Kỹ thuật này được tiến hành nhằm những mục đích như sau:
Xác định những dịch vụ trong mạng
Xác định các host và thiết bị đang vận hành trong mạng
Xác định hệ điều hành trong hệ thống
Xác định tất cả các điểm yếu trong mạng, từ đó tiến hành những mục đích
khác.
Với kỹ thuật ping sweeps, hacker có thể xác định một danh sách các host
đang sống trong một môi trường. Từ đó, hacker sử dụng công cụ port scans xoay
vòng qua tất cả các port và cung cấp một danh sách đầy đủ các dịch vụ đang chạy
trên host đã tìm thấy bởi ping sweeps. Công viêc tiếp theo là hacker xác định
những dịch vụ có điểm yếu và bắt đầu tấn công vào điểm yếu này.
Kỹ thuật IDS được dùng để cảnh báo cho nhà quản trị khi có reconnaissance
attacks như là port scans va ping sweeps. IDS giúp nhà quản trị có sự chuẩn bị tốt
nhằm ngăn cản hacker.

Internet information queries:
DNS queries có thể chỉ ra nhiều thông tin như là người sở hữu một domain
nào đó và range địa chỉ nào được ấn định cho domain đó.
Hacker sử dụng công cụ này để “ trinh sát” tìm ra các thông tin trên mạng.
SVTH: Ngô Thành Long Page 11
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
Cùng với port scans và ping sweeps, sau khi tìm ra được những thông tin
đầy đủ như các port active, các giao thức chạy trên port đó, hacker tiến hành kiểm
tra những đặc trưng của các ứng dụng này để tìm ra điểm yếu và bắt đầu tấn công.
1.2.3.2. Access attacks:
Trong phương pháp này, kẻ xâm nhập điển hình tấn công vào mạng nhằm:
đánh cắp dữ liệu, giành lấy quyền access, và giành lấy những đặc quyền access sau
này.
Access attacks có thể bao gồm:
Password attack
Trust exploitation
Port redirection
Man in the middle attack
a) Password attack:
Hacker có thế xâm nhập hệ thống dùng các kỹ thuật brute-force attacks,
trojan horce, IP spoofing và packet sniffer.
Thường một cuộc tấn công brute-force attack được thực hiện dùng 1 chu
trình chạy xuyên qua mạng và cố gắng xen vào chia sẻ môi trường. Khi hacker
giành được quyền access đến một nguồn tài nguyên, hacker cùng với user cùng
chia sẻ quyền lợi. Nếu như có đủ tài nguyên thì hacker sẽ tạo ra một của sổ kín cho
lần access sau.
Hacker có thể làm thay đổi bảng định tuyến trong mạng. Điều đó sẽ làm
chắc chắn rằng tất cả các gói tin sẽ được gởi đến hacker trước khi được gởi đến
đích cuối cùng.
Trong một vài trường hợp, hacker có thể giám sát tất cả các traffic, thật sự

trở thành một man in the middle.
Ta có thể hạn chế password attack bằng những cách sau:
Không cho phép user dùng cùng password trên các hệ thống.
Làm mất hiệu lực account sau một vài lần login không thành công. Bước kiểm tra
này giúp ngăn chặn việc rà soát password nhiều lần.
Không dùng passwords dạng clear text: dùng kỹ thuật OTP hoặc mã hoá password
như đã trình bày phần trên.
Dùng “strong” passwords: Dạng password này dùng ít nhất 8 ký tự, chứa các
SVTH: Ngô Thành Long Page 12
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
uppercase letters, lowercase letters, những con số và những ký tự đặc biệt.
b) Trust exploitation:
Đây là phương pháp “ khai thác tin cậy “, nó dựa vào các mối quan hệ tin cậy
bên trong mạng.
Bình thường, nếu hai domain có mối quan hệ tin cậy với nhau thì cho phép
thiết bị domain này có thể access vào domain kia.
Hacker sẽ lợi dụng sơ hở trong mối quan hệ tin cậy nhằm khai thác các sai
sót trong mối quan hệ này để thoả hiệp, tức là để kiểm soát.
Hệ thống bên ngoài firewall sẽ có mối quan hệ hoàn toàn không tin cậy với hệ
thống bên trong firewall.
c) Port redirection:
Là một dạng khác của trust exploitation attack mà nó sử dụng một host thoả
hiệp nhằm lấy giấy phép ra vào firewall.
Ta có thể tượng như là một firewall với 3 interface và mỗi interface kết nối
với 1 host. Host ở bên ngoài có thể hướng đến host ở public services ( thường được
gọi là demilitanized zone- DMZ ). Và host ở public services có thể hướng tới cả
host ở bên trong hay bên ngoài firewall.Hacker làm cho host ở public service trở
thành 1 host thoả hiệp. Hacker đặt một phần mềm tại host này nhằm tạo ra một
traffic trực tiếp từ host outside đến host inside. Kết nối này sẽ ko thực hiện thông
qua firewall. Như vậy, host bên ngoài giành được quyền kết nối với host bên trong

thông qua qui trình port redirection tại host trung tâm ( public services host ).
d) Man in the middle attack:
Kỹ thuật man in the middle được thực hịên bao gồm:
Netword packet sniffers
Giao thức routing và transport.
Tấn công man in the middle nhằm mục đích:
Đánh cắp dữ liệu
Giành lấy một phiên giao dịch
Phân tích traffic trong mạng
DoS
Phá hỏng dữ liệu được truyền
Một ví dụ của man in the middle attack đó là: một người làm việc cho ISP
và cố gắng access đến tất cả các gói dữ liệu vận chuyển giữa ISP và bất kỳ một
SVTH: Ngô Thành Long Page 13
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
mạng nào khác.
Ta có thể ngăn chặn hình thức tấn công này bằng kỹ thuật mã hoá: mã hoá
traffic trong một đường hầm IPSec, hacker sẽ chỉ nhìn thấy những thông tin không
có giá trị.
 CÁC DỊCH VỤ CƠ CHẾ BẢO MẬT VÀ TẤN CÔNG:
 Dịch vụ bảo mật ( Security service):
Là thông qua việc đánh giá các thành phần hê thống phần trong hệ thống của
khách hàng về khía cạnh bảo mật, bao gồm:
 Hệ thống mạng/ cơ sở dữ liệu liên quan ứng dụng.
 Các máy chủ ứng dụng.
 Các ứng dụng, đặc biệt là các ứng dụng trên nền web/ ứng dụng cho
phép giao dịch trực tuyến như e-banking, các trang web thương mại điện tử.
 Cơ chế bảo mật (Security Mechanish):
Phần trên đã trình bày các hình thức tấn công, một hệ truyền tin được gọi là
an toàn và bảo mật thì phải có khả năng chống lại được các hình thức tấn công trên.

Như vậy hệ truyền tin phải có các đặt tính sau:
1) Tính bảo mật (Confidentiality): Ngăn chặn được vấn đề xem trộm thông điệp.
2) Tính chứng thực (Authentication): Nhằm đảm bảo cho Bob rằng thông điệp mà
Bob nhận được thực sự được gửi đi từ Alice, và không bị thay đổi trong quá trình
truyền tin. Như vậy tính chứng thực ngăn chặn các hình thức tấn công sửa thông
điệp, mạo danh, và phát lại thông điệp.
3) Tính không từ chối (Nonrepudiation):
1.3.3. Tấn công bảo mật (Security Attack):
Security Attack – Tấn công bảo mật: Đây là hành động nhằm tiết lộ bí mật
thông tin.
• Security Attacks
• Interruption: Tấn công vào availability – Sự khả dụng của dịch vụ
• Interception: Tấn công vào confidentiality – Thông tin không bị tiết lộ
SVTH: Ngô Thành Long Page 14
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
• Modification: Tấn công vào integrity – Sự bảo toàn của thông tin, không bị thay
đổi
• Fabrication: Tấn công vào authenticity – Xác thực
CHƯƠNG 2: KỸ THUẬT TẤN CÔNG DOS /DDOS VÀ HỆ THỐNG
IDS
 GIỚI THIỆU CHUNG VỀ DOS/DDOS:
Ngày 7/3/2000, yahoo.com đã phải ngưng phục vụ hàng trăm triệu user trên
toàn thế giới nhiều giờ liền. Vài giờ sau, Yahoo đã tìm ra nguyên nhân gây nên tình
trạng này, họ đang phải gánh chịu một đợt tấn công DDoS với quy mô vài ngàn
máy tính liên tục gửi hàng triệu request đến các server dịch vụ làm các server này
không thể phục vụ các user thông thường khác
Vài ngày sau, một sự kiện tương tự diễn ra nhưng có phần “ồn ào” hơn do
một trong các nạn nhân mới là hãng tin CNN, amazon.com, buy.com, Zdnet.com,
E-trade.com, Ebay.com. Tất cả các nạn nhân là những gã khổng lồ trên internet
thuộc nhiều lĩnh vực khác nhau. Theo Yankke Group, tổng thiệt hại do cuộc tấn

công lên đến 1.2 triệu USD, nhưng không đáng kể bằng sự mất mát về lòng tin của
khách hàng, uy tín của các công ty là không thể tính được.
Làm đảo lộn mọi dự tính, thủ phạm là một cậu bé 15 tuổi người Canada, với
nickname “mafiaboy”. Lại là một thiên tài bẩm sinh như Kevin Mitnick xuất hiện?
Không. Mafiaboy chỉ tìm tòi và download về một số chương trình công cụ của các
hacker. Cậu đã dùng một công cụ DDos có tên là TrinOO để gây nên các cuộc tấn
công kiểu DDoS khủng khiếp trên. Một điểm đáng lưu ý khác là Mafiaboy bị bắt
do tự khoe khoang trên các chatroom công cộng, không ai tự truy tìm được dấu vết
của cậu bé này.
Còn rất nhiều gã khổng lồ khác đã gục ngã dưới các cuộc tấn công kiểu
DDoS sau đó, trong đó có cả Microsodt. Tuy nhiên cuộc tấn công trên là điển hình
SVTH: Ngô Thành Long Page 15
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
nhất về DDoS, nó nói lên một đặc điểm chết người của DDoS: “Rất dễ thực hiện,
hầu như không thể tránh, hậu quả rất nặng nề”.
2.1. KHÁI NIỆM DOS (DENIAL OF SERVICE):
DoS (Denial of Service) có thể mô tả như hành động ngăn cản những người
dùng hợp pháp của một dịch vụ nào đó truy cập và sử dụng dịch vụ đó. Nó bao
gồm cả việc làm tràn ngập mạng, làm mất kết nối với dịch vụ… mà mục đích cuối
cùng là làm cho server không thể đáp ứng được các yêu cầu sử dụng dịch vụ từ các
client. DoS có thể làm ngưng hoạt động của một máy tính, một mạng nội bộ, thậm
chí cả một hệ thống mạng rất lớn. Thực chất của DoS là kẻ tấn công sẽ chiếm dụng
một lượng lớn tài nguyên mạng như băng thông, bộ nhớ… và làm mất khả năng xử
lý các yêu cầu dịch vụ đến từ các client khác.
 Những khả năng bị tấn công bằng Dos:
• Tấn công trên SWAPSPACE:
Hầu hết các hệ thống đều có vài trăm MB không gian chuyển đổi (swap
space) để phục vụ cho những yêu cầu từ máy khách. Swap space thường dung cho
các tiến trình con có thời gian ngắn nên DoS có thể được dựa trên phương thức làm
tràn đầy swap space.

• Tấn công trên BANDWIDTH:
Phần băng thông dành cho mỗi hệ thống là giới hạn, vì thế nếu hacker cùng
lúc gửi nhiều yêu cầu đến hệ thống thì phần băng thông không đủ đáp ứng cho một
khối lượng dữ liệu lớn đó và dẫn đến hệ thống bị phá vỡ.
• Tấn công vào RAM:
Tấn công Dos chiếm 1 khoảng lớn của RAM cũng có thể gây ra các vấn đề
phá hủy hệ thống. Kiểu tấn công BufferOverflow là một ví dụ cho cách phá hủy
này (xem kĩ hơn trong nội dung chương )
• Tấn công vào DISKS:
Một kiểu tấn công cổ điển là làm đầy đĩa cứng. Đĩa cứng có thể bị tràn và
không thể được sử dụng nữa.
 Các kỹ thật tấn công:
 Khái niệm TCP bắt tay ba chiều:
SVTH: Ngô Thành Long Page 16
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
Đầu tiên, để tìm hiểu phương pháp tấn công DoS , luận văn sẽ trình bày cơ
chế làm việc “tcp bắt tay ba chiều”.
Gói dữ liệu TCP chứa flag bits (cờ) để mô tả nội dung và mục đích của gói dữ liệu .
Ví dụ 1-1:
• Gói dữ liệu TCP với cờ SYN (synchoronize) dùng để bắt đầu 1 kết nối
• ACK (acknowledgement)
• FIN (finish) dùng để cắt 1 kết nối
Cách hoạt động của gói TCP:
Hình 2.1: Cơ chế thiết lập kết nối trước khi truyền số liệu
Buớc 1: Máy con gửi gói tin SYN yêu cầu kết nối
Bước 2: Nếu máy chủ chấp nhận kết nối, máy chủ sẽ gửi gói tin SYN/ACK Server
bắt buộc phải gửi thông báo lại bởi vì TCP là chuẩn tin cậy nên nếu máy con không
nhận được thông báo thì sẽ nghĩ rằng packet đã bị lạc và gửi lại một packet mới.
Bước 3: Máy con gửi hồi đáp bằng gói tin ACK Báo cho máy chủ biết rằng máy
con đã nhận được SYN/ACK packet và lúc này kết nối đã được thiết lập.

 Lợi dụng TCP thực hiện phương pháp SYN flood truyền thống:
SVTH: Ngô Thành Long Page 17
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
Hình 2.2: Tấn công DoS truyền thống
Như đã đề cập về vấn đề thiết lập kết nối trong phần 1, bất cứ 1 gói tin SYN,
máy chủ cũng phải để 1 phần tài nguyên của hệ thống như bộ nhớ đệm để nhận và
truyền dữ liệu cho đường truyền đó. Tuy nhiên, tài nguyên của hệ thống là có hạn
và hacker sẽ tìm mọi cách để hệ thống tràn qua giới hạn đó. ( Đây còn được gọi là
half-open connection vì máy khách mở kết nối giữa chừng)
Theo hình 2-1: Nếu máy chủ sau khi gửi trả một gói tin SYN/ACK để thông
báo chấp nhận kết nối cho máy yêu cầu nhưng nếu địa chỉ IP của máy yêu cầu này
là giả mạo thì gói tin không thể đến được đích, nên máy chủ vẫn phải dành tài
nguyên cho yêu cầu đó. Sau một thời gian không nhận được phản hồi từ máy
khách, máy chủ lại tiếp tục gửi một gói tin SYN/ACK để xác nhận lần nữa và cứ
như vậy, kết nối vẫn tiếp tục mở.
Nếu như hacker gửi nhiều gói tin SYN đến máy chủ đến khi máy chủ không
thể tiếp nhận thêm 1 kết nối nào nữa thì lúc này hệ thống đã bị phá vỡ.
Kết luận: Chỉ với một đường truyền băng thông nhỏ, hacker đã có thể phá
vỡ một hệ thống. Thêm vào đó, địa chỉ IP của hacker có thể được sửa đổi nên việc
xác định thủ phạm là một vấn đề hết sức khó khăn.
 Tấn công vào băng thông
• Kiểu tấn công thứ 1
Hacker hoàn toàn có khả năng làm ngập hệ thống vì băng thông của hacker
lớn hơn băng thông của máy đích. Kiểu tấn công này không bị hạn chế bởi tốc độ
truyền mạng.
SVTH: Ngô Thành Long Page 18
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
• Kiểu tấn công thứ 2
Kiểu tấn công này được sử dụng khi đường truyền mạng của hacker là quá
thấp so với đường truyền của máy đích.

Không giống như kiểu tấn công DoS truyền thống, kiểu tấn công vào băng
thông lớn hơn sẽ lợi dụng những gói tin từ những hệ thống khác nhau cùng một lúc
tiến đến hệ thống đích khiến cho đường truyền của hệ thống đích không còn khả
năng đáp ứng, máy chủ không còn khả năng nhận một gói tin nào nữa
Hình 2.3: Kiểu tấn công DoS vào băng thông
Theo hình 3-1, tất cả các gói tin đi vào 1 mạng máy tính qua 1 "Big-Pipe"
(ống dẫn lớn), sau đó được router chia ra những "Small Pipe" (ống dẫn nhỏ) cho
nhiều máy tính con tùy theo địa chỉ IP của gói tin.
Nhưng nếu toàn bộ "Big-Pipe" bị làm ngập bằng những gói tin chỉ hướng
đến 1 máy nhất định trong mạng máy tính con này, router đành phải chấp nhận loại
bỏ phần lớn các packet để chỉ còn lại số lượng vừa đủ đi qua "Small Pipe" của máy
tính đó. Kiểu tấn công này sẽ loại máy đích ra khỏi Internet.
Đây là phương pháp tấn công kiểu từ chối dịch vụ nhưng không là DoS mà
gọi là DDoS (kiểu từ chối dịch vụ phân tán), nghĩa là cùng một lúc nhiều máy sẽ
được phát động để gửi gói tin đến máy đích (mặc dù đường truyền của mỗi máy
SVTH: Ngô Thành Long Page 19
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
không cao nhưng nhiều đường truyền lại hợp thành một ống dẫn “ Big Pipe”), làm
cho máy đích không còn khả năng tiếp nhận gói tin và bị loại khỏi mạng Internet.
 Kiểu tấn công vào tài nguyên hệ thống:
Đây là kiểu tấn công nhằm vào tài nguyên hệ thống hơn là tài nguyên mạng
như CPU, bộ nhớ, file hệ thống, tiến trình… Hacker là một người dùng hợp lệ của
hệ thống, và được một lượng tài nguyên giới hạn trên hệ thống. Tuy nhiên, hacker
sẽ lạm dụng quyền truy cập này để yêu cầu thêm tài nguyên. Như vậy, hệ thống hay
những người dùng hợp lệ sẽ bị từ chối sử dụng tài nguyên chia sẻ.
Kiểu tấn công sẽ khiến cho hệ thống không thể sử dụng được vì tài nguyên đã bị sử
dụng hết, không còn tiến trình để thực thi nữa.
2.3 KHÁI NIỆM DDOS (DISTRIBUTED DENIAL OF SERVICE):
Tấn công từ chối dịch vụ (DoS) nhằm mục đích ngăn cản người dùng truy
cập hợp pháp vào hệ thống máy tính hay hệ thống mạng của victim. Tấn

công từ chối dịch vụ phân tán(DDoS) mang tính rộng lớn hơn, tập trung tấn
công trên những dịch vụ sẵn có của tài nguyên hệ thống máy tính hay tài nguyên
mạng, mở trực tiếp thông qua nhiều máy tính cùng tham gia trên Internet. Dịch vụ
dưới hình thức tấn công được gọi là “nạn nhân chính”, trong khi các máy tính cùng
tham gia tấn công gọi là “nạn nhân phụ”. Những nạn nhân phụ cung cấp cho
attacker khả năng tiến hành rộng hơn và tấn công mạnh hơn, lợi dụng những nạn
nhân phụ sẽ rất khó khăn lần ra dấu vết của attacker. Tổ chức bảo mật World
Wide Web định nghĩa: Một cuộc tấn công DDoS sử dụng những máy tính nhằm
mở ra tập trung tấn công DoS hướng vào một hay nhiều mục tiêu. Bằng cách sử
dụng công nghệ client/server, thủ phạm có thể nhân đôi tính hiệu lực của DoS tới
một mức độ to lớn bằng cách khai thác nguồn tài nguyên của những máy
tính“tòng phạm” (những máy tính này có thể vô tình bị attacker điều khiển, phục
vụ làm nền chocuộc tấn công).
2.3.1 Các giai đoạn của cuộc tấn công DDos
a. Tìm tools và đồng minh :
Hacker sẽ tự tay viết hoặc download những tool trên mạng về để chuẩn bị
phục vụ cho cuộc tấn công
SVTH: Ngô Thành Long Page 20
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
Sử dụng nhiều kỹ thuật khác nhau để tiến hành thâm nhập vào một hoặc
nhiều máy tính khác hoặc có thể cả một hệ thống mạng. Mục đích là cài những tool
hoặc phần mềm chuẩn bị sẵn lên những máy này nhằm biến những máy này thành
đồng minh của mình trong cuộc tấn công.
b.Tìm mục tiêu và quét lỗ hổng :
Attcker cần phải tìm ra các máy tính mà họ có thể thỏa hiệp được, càng
nhiều càng tốt. Họ “tuyển” ra những máy có kết nối cao và tài nguyên phong phú
và được bảo trì kém. Thật không may, có cả hàng triệu máy tính như vậy trên
Internet.
Đặc biệt, những máy tính này thường nằm trong các trường đại học, các
tổ chức chính phủ. Ở đó họ không được bảo mật tốt, không có tường lửa,

do đó nó rất dễ bị thỏa hiệp (compromised). Ngày nay với sự xuất hiện các
kết nối cao như DSL (Digital Subscriber Line) dành cho doanh nghiệp và văn
phòng luôn “túc trực” kết nối Internet, đã cung cấp một “tiềm năng rất lớn” cho
attcker để họ tuyển dụng cho mục đích tấn công DDoS của mình. Sự thay đổi về
cấu trúc các máy tính agent đồng nghĩa với việc cần phải thay đổi công cụ tấn
công phù hợp, nếu như trước đây hầu như các hệ thống đều chạy hệ điều hành
Unix, thì ngày nay là Windows, do đó mã nguồn (source code) cũng cần phải biên
dịch lại cho phù hợp.
Tiến trình tìm kiếm các máy tính chứa lỗ hỗng gọi là scanning. Hình 4-1
mô tả đơn giản tiến trình scanning. Attacker gửi một số gói tin (packet) để chọn
mục tiêu, xem chúng có tồn tại hay có “chổ hỡ” nào không. Nếu có, attcker nổ lực
xâm nhập vào đó.
SVTH: Ngô Thành Long Page 21
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
Hình 2.4: Tiến trình Scanning
Có một thuật ngữ mà “dân DDoS” hay nói là bot. Một bot (viết tắt của từ
“robot”) là một chương trình client chạy trên nền của một máy tính bị
compromise, và nó “nhìn” vào chuỗi ký tự hiển thị trong một kênh IRC.
Những chuỗi ký tự này là những lệnh đã mã hóa để chương trình bot thực
thi, chẳng hạn như bot mời một ai đó tham gia vào một kênh IRC, cấp quyền hoạt
động cho người dùng, scanning khối địa chỉ (netblock) hay thực hiện một cuộc
tấn công DDoS. Nói về Netblock, ví dụ như bot Power
[3]
, bằng cách chỉ định
một số octet đầu tiên (ví dụ: 192.168 có nghĩa là quét tất cả đoạn
mạng từ 192.168.0.0 đến 192.168.255.255). Khi một bot lấy danh sách của
những máy tính có lỗ hổng, chúng thông báo cho attacker đang sử dụng botnet
(một mạng bot, ở đó tất cả đều đồng bộ thông qua giao tiếp trong một kênh IRC).
Attacker nhận tập tin từ bot và thêm nó (các máy tính có lỗ hổng) vào danh sách.
Có một một số chương trình tự động thực hiện việc này, bằng cách đó nó sẽ tạo

thành một mạng tấn công. Công việc scanning cho một đoạn mạng thường
SVTH: Ngô Thành Long Page 22
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
attacker chothực hiện ngẫu nhiên. Sau đó attacker sẽ chọn ra những máy tính
“béo bở” trong danh sách của họ (chẳng hạn như những máy thuộc khuôn viên
trường đại học thì vẫn tốt hơn những máy thuộc tổ chức chính phủ hay quân sự).
Quá trình scanning có thể được thực hiện với những chương trình riêng biệt,
gọi là những“plugged in” được chèn vào tool kit như chương trình Phatbot, được
xây dựng thành mộtmodule với nhiều tính năng). Một IRC bot scanning mô phỏng
như sau:
SVTH: Ngô Thành Long Page 23
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
Hình 2.5: IRC bot Scanning
Một chương trình khác cũng thực hiện công việc scanning mà ta thường
biết đến đó là Internet worm. Những Internet worm là những chương trình tự
động lây lan từ host này qua host khác, nó giống như virus đời thường trong
cuộc sống (chẳng hạn như worm fly). Một worm có 3 chức năng chính riêng biệt:
(1) scanning; (2) exploitation – khai thác, thỏa hiệp và xác lập điều khiển từ xa; (3)
một payload (nội dung packet) – đó là mã thực thi được ra lệnh để tấn công chẳng
hạn. Khi một worm truyền đi, nó “nhiễm” vào một máy nào đó, nó sẽ quét và lây
nhiễm đến máy khác (quá trình cứ lặp đi lặp lai). Phần payload chỉ đơn giản đó là
mộtbản sao của worm. Ngày nay Internet worm phát triển như là một
phương pháp phổ biến trong quá trình “tuyển nạp” những DDoS agent, vì thế
SVTH: Ngô Thành Long Page 24
KHÓA LUẬN TỔT NGHIỆP: Tìm hiểu tấn công DDoS và cách phòng chống
worm payload thường chứa đoạn mã tấn công DDoS.
c. Phát động tấn công :
Đúng thời điểm đã định, hacker phát động tấn công từ máy của mình, lệnh
tấn công này có thể đi qua nhiều cấp mói đến host thực sự tấn công. Toàn bộ
attack-network (có thể lên đến hàng ngàn máy), sẽ gửi request đến máy nạn nhân,

làm hệ thống nạn nhân phải huy động hết tài nguyên để reply lại nên không thể đáp
ứng lại truy vấn của client hợp pháp, tệ hơn nữa là có thể tê liệt toàn bộ hệ thống.
d.Xóa dấu vết
Sau một khoảng thời gian tấn công thích hợp, hacker tiến hành xóa mọi dấu
vết có thể truy ngược đến mình, việc này đòi hỏi trình độ khác cao và không tuyệt
đối cần thiết.
2.3.2. Kiến trúc tổng quan của DDos attack-network:
Nhìn chung DDoS attack-network có hai mô hình chính
+ Mô hình Agent – Handler
+ Mô hình IRC – Based
SVTH: Ngô Thành Long Page 25