TÌM HIỂU tấn CÔNG từ CHỐI DỊCH vụ DOS

TỔNG LIÊN ĐOÀN LAO ĐỘNG VIỆT NAM
ĐẠI HỌC TƠN ĐỨC THẮNG

THÂN HỒNG HẢI

TÌM HIỂU TẤN CƠNG TỪ CHỐI
DỊCH VỤ DOS

Chun ngành : Cơng nghệ thơng tin
Mã số : 01.01.11
Luận Văn Cử Nhân Khoa Học Tin Học

Người hướng dẫn khoa học :
NINH XN HƯƠNG

THÀNH PHố Hồ CHÍ MINH 2008


TỔNG LIÊN ĐOÀN LAO ĐỘNG VIỆT NAM
ĐẠI HỌC TƠN ĐỨC THẮNG

THÂN HỒNG HẢI

TÌM HIỂU TẤN CƠNG TỪ CHỐI
DỊCH VỤ DOS

Chun ngành : Cơng nghệ thơng tin
Mã số : 01.01.11
Luận Văn Cử Nhân Khoa Học Tin Học

Người hướng dẫn khoa học :

NINH XN HƯƠNG

THÀNH PHố Hồ CHÍ MINH 2008


Lời cảm ơn

Sau gần hơn 4 tháng nỗ lực thực hiện luận văn “Tìm hiểu tấn công từ chối dịch
vụ DOS” đã hoàn thành. Ngoài sự cố gắng hết mình của bản thân, em đã nhận được
sự giúp đỡ và khích lệ rất nhiều từ phía nhà trường, thầy cô, gia đình, bạn bè.
Trước hết con xin cám ơn ba mẹ đã luôn động viên và tạo mọi điều kiện tốt để
con học tập và hoàn thành luận văn tốt nghiệp này.
Em xin cám ơn thầy cô trường Đại Học Tôn Đức Thắng đã truyền đạt những
kiến thức quý báu cho em trong suốt quá trình học tập. Đặc biệt em xin bày tỏ lòng
chân thành sâu sắc đến thầy Ninh Xuân Hương, người đã tận tình hướng dẫn và giúp
đỡ em trong quá trình làm luận văn tốt nghiệp.
Xin cám ơn tất cả bạn bè đã và đang động viên, giúp đỡ tôi trong quá trình hoc
tập và hoàn thành luận văn tốt nghiệp này.
Mặc dù em đã làm việc nghiêm túc và rất cố gắng hoàn thành luận văn, nhưng
chắc chắn sẽ không tránh khỏi những thiếu sót, kính mong sự cảm thông và tận tình
chỉ bảo của quý Thầy Cô và các bạn.

Thành Phố Hồ Chí Minh
Sinh viên thực hiện
Thân Hoàng Hải



TÓM LƯỢC
Mục tiêu chính của luận văn là tìm hiểu về cơ chế tấn công DOS và DDOS,

tìm hiểu về một số công cụ tấn công DOS và DDOS, và viết một chương trình tấn
công.

Nội dung luận văn :
 Giới thiệu đề tài
 Giới thiệu DOS
 Các phương thức và một số chương trình tấn công DOS
 Giới thiệu về DDOS
 Các phương thức và một số chương trình tấn công DDOS
 Viết chương trình tấn công
 Kết luận và đề xuất ý kiến


Mục lục

Lời Mở Đầu

................................ ................................ ................................ ........ 1

Chương 1 :Tấn công từ chối dịch vụ DOS(Denial of Services) .............................. 2
1 Tấn công từ chối dịch vụ là gì ................................ ................................ ........... 2
1.1 Sự ra đời của DOS ................................ ................................ .................... 2
1.2 Tấn công bằng từ chối dịch vụ DoS ................................ ........................... 2
1.3 Mục đích tấn công DOS ................................ ................................ ............ 2
2 Các phương thức tấn công ................................ ................................ ................. 2
2.1 DOS attack ................................ ................................ ................................ 2
2.1.1 Smurf Attack ................................ ................................ .................... 3
2.1.2 Buffer OverFlow Attack ................................ ................................ .... 5
2.1.3 Ping of Dead Attack ................................ ................................ .......... 5
2.1.4 TearDrop Attack ................................ ................................ ............... 6

2.1.5 SYN Attack ................................ ................................ ...................... 7
2.2 DOS attack tool ................................ ................................ ....................... 11
2.2.1 IMGP nuke tool ................................ ................................ .............. 11
2.2.2 UDP flood tool ................................ ................................ .............. 16
2.2.3 DOS HTTP tool ................................ ................................ .............. 17
2.2.4 SYN DOS tool ................................ ................................ ................ 19
2.2.5 Smurf tool ................................ ................................ ....................... 21
2.2.6 CrazyPing ................................ ................................ ....................... 22
3 Một số phương pháp phòng chống DOS ................................ .......................... 23
3.1 Cập nhật bản vá lỗi ................................ ................................ ................. 23
3.2 Đóng cửa các dịch vụ không cần thiết ................................ ..................... 24
3.3 Bảo dưỡng ................................ ................................ .............................. 24
3.4 Khóa các dịch vụ mạng ................................ ................................ ........... 24
3.5 Các phương pháp phòng ngừa ................................ ................................ . 27
Chương 2 : Tấn công từ chối dịch vụ DDOS(Distributed Denial of Servies)....... 28


1 Tấn công từ chối dịch vụ DDOS là gì ? ................................ ............................ 28
1.1 Giới thiệu DDOS ................................ ................................ .................... 28
1.2 Tình hình tấn công DDOS những năm gần đây ................................ ....... 29
1.3 Các giai đoạn tấn công cơ bản của DDOS ................................ ............... 29
1.4 DDOS có 2 mô hình chính ................................ ................................ ...... 30
1.4.1 Mô hình Agent-Handler ................................ ................................ .. 31
1.4.2 Mô hình IRC- Base................................ ................................ .......... 32
1.5 Giới thiệu về Bot và Botnet ................................ ................................ ..... 33
1.5.1 Bot ................................ ................................ ................................ .. 33
1.5.2 IRC ................................ ................................ ................................ . 34
1.5.3 Các Bot kết nối với IRC như thế nào? ................................ ............. 35
1.5.4 Các ứng dụng của Bot ................................ ................................ ..... 36
1.5.5 Một số kiểu Bot ................................ ................................ .............. 38

1.5.6 Phân tích một Bot lây nhiễm vào máy tính ................................ ...... 40
1.5.7 Cách bảo vệ máy tính để tránh trở thành Bot ................................ .. 41
1.5.8 Xuất hiện biến thể của Botnet trên P2P ................................ ........... 41
2 Phân loại các kiểu tấn công DDOS ................................ ................................ ... 42
2.1 Mô hình tổng quan ................................ ................................ .................. 42
2.2 Những kiểu tấn công làm cạn kiệt băng thông mạng ............................. 43
2.2.1 Food Attack ................................ ................................ .................... 43
2.2.2 Amplification Attack ................................ ................................ ...... 44
2.3 Những kiểu tấn công làm cạn kiệt tài nguyên ................................ .......... 46
2.3.1 Khai thác lỗ hổng giao thức ................................ ............................ 46
2.3.2 Malformed packet Attack ................................ ............................... 47
3. Giới thiệu một số chương trình DDOS ................................ ............................ 47
3.1 Công cụ DDOS dạng Agent-Handler ................................ ...................... 48
3.2 Công cụ DDOS dạng IRC-Base ................................ .............................. 52
4 Một số phương pháp chống DDOS ................................ ................................ .. 53
4.1 Các bước phòng chống DDOS ................................ ................................ 54
4.2 Một số phương pháp khuyên người dùng bảo vệ ................................ ..... 56


Chương 3 : Chương trình tấn công ................................ ................................ ....... 57
1 Giới thiệu chương trình ................................ ................................ ................... 57
2 Chức năng chương trình ................................ ................................ .................. 57
Chương 4 : Kết luận và đề xuất ý kiến ................................ ................................ .. 62
1. Kết luận đề tài
2. Hạn chế

................................ ................................ .......................... 62

................................ ................................ ................................ ...... 62

3. Hướng phát triển đề tài ................................ ................................ ................... 62

Tài liệu tham khảo................................ ................................ ................................ .. 63

Danh Mục Hình

Hình 1.1 – Smurf attack ................................ ................................ ........................ 3
Hình 1.2 – Amplifiers attack ................................ ................................ ................. 4
Hình 1.3 – TearDrop attack ................................ ................................ ................... 7
Hình 1.4 – Ba bước kết nối mạng ................................ ................................ .......... 8
Hình 1.5 – Syn attack ................................ ................................ ............................ 8
Hình 1.6 – Check point ................................ ................................ ....................... 10
Hình 1.7 – Protect Syn attack ................................ ................................ .............. 10
Hình 1.8 – Chương trình IGMP nuke ................................ ................................ . 11
Hình 1.9 – Kết quả tấn công IGMP nuke ................................ ............................. 12
Hình 1.10 – Giao thức IMGP nuke ................................ ................................ ...... 13
Hình 1.11 – IP source................................ ................................ .......................... 14
Hình 1.12 – Packet IGMP nuke ................................ ................................ .......... 15
Hình 1.13 – Chương trình UDP flood................................ ................................ .. 16
Hình 1.14 – Kết quả tấn công UDP flood ................................ ............................ 17


Hình 1.15 – Chương trình DOS HTTP ................................ ................................ 17
Hình 1.16 – Kết quả tấn công DOS HTTP ................................ .......................... 18
Hình 1.17 – Chương trình SYN DOS ................................ ................................ .. 19
Hình 1.18 – Chương trình tìm port mở ................................ ................................ 20
Hình 1.19 – Kết quả tấn công SYN DOS................................ ............................. 20
Hình 1.20 – Chương trình smurf................................ ................................ .......... 21
Hình 1.21 – Địa chỉ broadcast ................................ ................................ ............. 21
Hình 1.22 – Chương trình CrazyPing ................................ ................................ .. 22

Hình 1.23 – Lệnh Ping ................................ ................................ ........................ 22
Hình 1.24 – Kết quả Crazy Ping ................................ ................................ .......... 23

Hình 2.1 – Mạng Botnet ................................ ................................ ...................... 30
Hình 2.2 – Sơ đồ phân lọai DDOS ................................ ................................ ...... 31
Hình 2.3 – Agent-Handler ................................ ................................ ................... 31
Hình 2.4 – IRC-Base ................................ ................................ ........................... 33
Hình 2.5 – IRC attack................................ ................................ .......................... 37
Hình 2.6 – quá trình nhiễm bot ................................ ................................ ............ 40
Hình 2.7 – Mô hình tổng quan................................ ................................ ............. 42
Hình 2.8 – Flood attack ................................ ................................ ....................... 43
Hình 2.9 – Amplification attack ................................ ................................ .......... 45
Hình 2.10 – IRC SYN attack ................................ ................................ ............... 46
Hình 2.11 – Code TFN................................ ................................ ........................ 50
Hình 2.12 – Code TFN2k ................................ ................................ .................... 51
Hình 2.13 – Super Nova3 ................................ ................................ .................... 53
Hình 2.14 – Ping Flood ................................ ................................ ....................... 57
Hình 2.15 – Kết quả Ping Flood ................................ ................................ .......... 58
Hình 2.16 – Bot................................ ................................ ................................ ... 59
Hình 2.17 – Chương trình chạy ẩn................................ ................................ ....... 59
Hình 2.18 – Kết quả Bot................................ ................................ ...................... 60
Hình 2.19 – Chương trình minh họa ................................ ................................ .... 60
Hình 2.20 – IGMP................................ ................................ ............................... 61


Hình 2.21 – HTTP flood................................ ................................ ...................... 62
Hình 2.22 – Flooder ................................ ................................ ............................ 62


Nhận Xét Của Giáo Viên Hướng Dẫn

................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
Tp.Hồ Chí Minh ,ngày … tháng … năm 2008


Nhận Xét Giáo Viên Phản Biện
................................ ................................ ................................ ......
................................ ................................ ................................ ......

................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
................................ ................................ ................................ ......
Tp.Hồ Chí Minh ,ngày … tháng … năm 2008


Tìm Hiểu Tấn Công Từ Chối Dịch Vụ

Giáo Viên Hướng Dẫn: Ninh Xuân Hương

LỜI NÓI ĐẦU

Ngày nay khi Internet được phổ biển rộng rãi trên phạm vi toàn thế giới, tất
cả mọi người từ cá nhân, tập thể, đến công ty đều hoạt động kinh doanh trên
Internet. Vấn đề nảy sinh khi nhiều ứng dụng hay hệ điều hành bị lỗi đã trở thành
nguy cơ tìm ẩn cho các cuộc tấn công DOS và DDOS.
Ngày 7/3/2000 Yahoo bị tấn công phải ngừng cung cấp dịch vụ cho hàng
trăm triệu user trên toàn thế giới nhiều giờ liền.
Vài ngày sau, có một sự kiện tương tự diễn ra nhưng có phần “ồn ào hơn” do
các nạn nhân của vụ tấn công là CNN, amazon.com, buy.com,ebay.com….Tất cả
các nạn nhân đều là những gã khổng lồ trên internet thuộc nhiều lĩnh vực khác nhau.
Theo YankkGroup tổng thiệt hại lên đến 1.2 triệu USD
Và ở Việt Nam, nổi bật nhất là sự kiện công ty Việt Cơ bị tấn công DDOS và
đứng trước nguy cơ bị phá sản.
Qua các cuộc tấn công thấy được sự tàn phá của các cuộc tấn công DOS là
rất nguy hiểm. Nó sẽ ảnh hưởng rất nhiều đến hoạt động kinh doanh. Và việt nam
với nền thương mại điện tử non trẻ khó có thể cầm cự nếu như phải chịu các cuộc
tấn công liên tiếp như vậy.
Nhưng công nghệ thông tin ngày càng phát triển và dễ dàng tiếp cận với mọi
người thì các cuộc tấn công liên tiếp xảy ra khắp nơi khi các công cụ tấn công được
lan truyền khắp nơi trên internet và ai cũng có thể tấn công DOS.
Một cậu bé 15 tuổi có nick name là Mafiaboy, cậu bé này chỉ tìm tòi và
dowload một số công cụ của hacker. Cậu bé này dùng công cụ DDOS có tên là
TrinOO để gây nên các cuộc tấn công vào Yahoo.
Một đặc điểm chết người của DDOS đã được rút ra sau các cuộc tấn công “
rất dễ thực hiện, không thể tránh, hậu quả nặng nề “ và khó có thể truy tìm nguồn
gốc tấn công.
Chính những điều đó nên luận văn này được thực hiện để tìm hiểu và nghiên
cứu các phương thức tấn công của DOS và DDOS. Và từ đó để tìm ra các phương
pháp bảo vệ và phòng thủ trước các cuộc tấn công. Và mong tài liệu này sẽ có ích
cho các nhà quản trị mạng để hiểu thêm về DOS.
Sinh Viên Thực Hiện: Thân Hoàng Hải - 810875T

Trang 1


Tìm Hiểu Tấn Công Từ Chối Dịch Vụ

Giáo Viên Hướng Dẫn: Ninh Xuân Hương

CHƯƠNG 1: TẤN CÔNG TỪ CHỐI DỊCH
VỤ DOS (DENIAL OF SERVICES)
1. Tấn công từ chối dịch vụ DoS là gì ?
1.1. Sự ra đời của DOS:
Từ cuối những năm 90 của thế kỷ trước. Hoạt động này bắt nguồn từ khi một số
chuyên gia bảo mật, trong quá trình phát hiện khiếm khuyết hệ thống trên hệ điều
hành Windows 98, đã phát hiện ra rằng chỉ cần gửi một gói dữ liệu ping có dung
lượng lớn cũng đủ để làm tê liệt một server mục tiêu. Phát hiện này sau đó ngay lập
tức được giới hacker sử dụng để triệt tiêu những đối tượng mà họ có ý định tấn
công. Từ đây, hình thức sơ khai của DoS (Denial of Service) đã ra đời.
1.2. Tấn công bằng từ chối dịch vụ DoS (Denial of Service):
Có thể mô tả như hành động ngăn cản những người dùng hợp pháp khả năng
truy cập và sử dụng vào một dịch vụ nào đó. Nó bao gồm làm tràn ngập mạng, mất
kết nối với dịch vụ… Mục đích cuối cùng là máy chủ (Server) không thể đáp ứng
được các yêu cầu sử dụng dịch vụ từ các máy trạm (Client).
1.3. Mục đích của DOS:
DoS có thể làm ngưng hoạt động của một máy tính, một mạng nội bộ, thậm chí
cả một hệ thống mạng rất lớn.
Kẻ tấn công sẽ chiếm dụng một lượng lớn tài nguyên mạng như băng thông, bộ
nhớ… và làm mất khả năng xử lý các yêu cầu dịch vụ từ client khác.
2. Các phương thức tấn công:
2.1. Dos attack

- Smurf
- Buffer Overflow Attack
- Ping of death
- Teardrop
- SYN Attack

Sinh Viên Thực Hiện: Thân Hoàng Hải - 810875T

Trang 2


Tìm Hiểu Tấn Công Từ Chối Dịch Vụ

Giáo Viên Hướng Dẫn: Ninh Xuân Hương

2.1.1. Smurf Attack

Hình 1.1 – Smurf Attack

Hai nhân tố chính trong Smuft Attack là các ICMP echo request packets và
chuyển trực tiếp các packets đến các địa chỉ broadcast.
+ Giao thức ICMP thường dùng để xác định một máy tính trên mạng Internet
có còn hoạt động(alive) hay không. Để xác định một máy có alive không, bạn cần
gởi một ICMP echo request đến máy đó. Khi máy nhận được packet này, nó sẽ gởi
trả lại một ICMP echo reply packet. Trong trường hợp không nhận được ICMP
echo reply packet, điều này có nghĩa là máy đó không còn hoạt động (not alive).
Đây cũng chính là cách hoạt động của các chương trình ping.
+ Mỗi mạng máy tính đều có địa chỉ địa chỉ broadcast và địa chỉ mạng. Địa
chỉ broadcast có các bit host đều bằng 0 và địa chỉ broadcast có các bit host đều
bằng 1.

Ví dụ: địa chỉ ip lớp B 140.179.220.200 sẽ có địa chỉ mạng là 140.179.0.0 và
địa chỉ broadcast mặc định là 140.179.0.0. Khi một packet được gởi đến địa chỉ
broadcast, lập tức packet này sẽ được chuyển đến tất cả các máy trong mạng.
Trong Smurf Attack, cần có ba thành phần: hacker (người ra lệnh tấn công),
mạng khuếch đại (sẽ nghe lệnh của hacker) và dĩ nhiên là hệ thống nạn nhân.
Hacker sẽ gởi các ICMP echo request packets đến địa chỉ broadcast.
ICMP echo request packets này có địa chỉ ip nguồn chính là địa chỉ ip của nạn nhân.
Sinh Viên Thực Hiện: Thân Hoàng Hải - 810875T

Trang 3


Tìm Hiểu Tấn Công Từ Chối Dịch Vụ

Giáo Viên Hướng Dẫn: Ninh Xuân Hương

Khi các packets đó đến được địa chỉ broadcast của mạng khuếch đại, lập tức
tất cả các máy tính trong mạng khuếch đại sẽ nhận được các packets này. Các máy
này tưởng rằng máy tính nạn nhân đã gởi ICMP echo request packets đến (do
hacker đã làm giả địa chỉ ip nguồn), lập tức chúng sẽ đồng loạt gởi trả lại hệ thống
nạn nhân các ICMP reply echo request packets. Hệ thống máy nạn nhân sẽ không
chịu nỗi một khối lượng khổng lồ các packets này và nhanh chóng bị ngừng hoạt
động, crash hoặc reboot.
Như vậy, có thể thấy rằng hacker chỉ cần gởi một lượng nhỏ các ICMP echo
request packets đi, và hệ thống mạng khuếch đại sẽ khuếch đại lượng ICMP echo
request packets này lên gấp bội. Tỉ lệ khuếch đại phụ thuộc vào số mạng tính có
trong mạng khuếch đại. Nhiệm vụ của các hacker là cố chiếm được càng nhiều hệ
thống mạng hoặc routers cho phép chuyển trực tiếp các packets đến địa chỉ
broadcast và không lọc địa chỉ nguồn của các outgoing packets. Có được các hệ
thống này, hacker sẽ dễ dàng tiến hành Smurf Attack trên các hệ thống cần tấn

công.

Hình 1.2 – Amplifiers attack
Sinh Viên Thực Hiện: Thân Hoàng Hải - 810875T

Trang 4


Tìm Hiểu Tấn Công Từ Chối Dịch Vụ

Giáo Viên Hướng Dẫn: Ninh Xuân Hương

Cách khắc phục:
Tránh bị dùng làm địa điểm khuếch đại:
- Vô hiệu hóa chức năng directed broadcast tại bộ định tuyến. Đối với bộ định
tuyến Cisco dùng lệnh: no ip directed-broadcast.
- Lập cấu hình cho hệ điều hành loại bỏ các gói dữ liệu broadcast ICMP echo
một cách âm thầm.
-Kiểm soát lưu lượng ICMP và UDP.
- Phối hợp với nhà kết nối kiểm soát theo dõi lưu lượng (tốt nhất là tận
nơixuất phát lưu lượng).
2.1.2. Buffer Overflow Attack
Buffer overflow xảy ra khi chương trình gi dữ liệu vào buffer có dung lượng
lớn hơn dung lượng vùng nhớ.
Kẻ tấn công sẽ sửa thông tin dữ liệu để điều khiển chương trình đang thực thi
và cho chạy những đoạn mã độc hại thay vì xữ lý chương trình bình thường.
Gởi tin nhắn email mà tên file 256 kí tự có thể gây ra Buffer Overflow.
Cách khắc phục:
- Viết chương trình quản lý bộ nhớ tốt.
- Tránh các lỗi tràn bộ đệm.

2.1.3. Ping of Dead Attack
Kiểu tấn công ping of death dùng giao thức ICMP. Bình thường, ping được
dùng để kiểm tra xem một host có sống hay không. Một lệnh ping thông thường có
hai thông điệp echo request và echo reply.
Tiến trình ping bình thường diễn ra như sau:
C:\>ping192.168.10.10
Pinging192.168.10.10 with 32 bytes of data:
Reply from 192.168.10.10: bytes=32 time=1ms TTL=150
Reply from 192.168.10.10: bytes=32 time=1ms TTL=150
Reply from 192.168.10.10: bytes=32 time=1ms TTL=150
Reply from 192.168.10.10: bytes=32 time=1ms TTL=150
Ping statistics for 192.168.10.10:
Packets: Sent = 4, Received = 4, Lost = 0 (0% loss)
Sinh Viên Thực Hiện: Thân Hoàng Hải - 810875T

Trang 5


Tìm Hiểu Tấn Công Từ Chối Dịch Vụ

Giáo Viên Hướng Dẫn: Ninh Xuân Hương

Approximate round trip times in milli-seconds: Minimum = 1ms, Maximum =
1ms, Average = 1ms.
Khi tấn công bằng Ping of Death, một gói tin echo được gửi có kích thước lớn
hơn kích thước cho phép là 65,536 bytes. Gói tin sẽ bị chia nhỏ ra thành các
segment nhỏ hơn, nhưng khi máy đích ráp lại, host đích nhận thấy rằng là gói tin
quá lớn đối với buffer bên nhận. Kết quả là, hệ thống không thể quản lý nổi tình
trạng bất thường này và sẽ reboot hoặc bị treo.
Bạn có thể thực hiện ping of Deatch trong linux bằng cách dùng lệnh ping -f x 65537. Chú ý từ khóa -f. Từ khóa này ra lệnh cho máy gửi ra các gói tin càng

nhanh càng tốt. Trong WinXP bạn có thể dùng câu lệnh sau để ping of dead:
Ping - t - l 65500 192.168.1.2 ( với thông số -t là ping liên tục, -l la kích
thước file là 65500 byte ).
Tấn công DOS thường không chỉ là tổng lưu lượng hay kích thước lưu lượng
mà còn là tốc độ mà ở đó gói tin gửi đến máy đích. Có thể thực hiện các công cụ
sau để thực hiện tấn công Ping of Death.
Ping of Death chỉ có tác dụng trên các hệ win9x
• Jolt
• Sping
• ICMP Bug
• IceNewk
2.1.4. Teardrop Attack
Kiểu tấn công này chỉ có hiệu quả trên Windows 3.1,95 và NT. Nó cũng hiệu
quả trên Linux version 2.0.32 và 2.1.63.
Tất cả các dữ liệu chuyển đi trên mạng từ hệ thống nguồn đến hệ thống đích
đều phải trải qua 2 quá trình sau: dữ liệu sẽ được chia ra thành các mảnh nhỏ ở hệ
thống nguồn, mỗi mảnh đều phải có một giá trị offset nhất định để xác định vị trí
của mảnh đó trong gói dữ liệu được chuyển đi. Khi các mảnh này đến hệ thống
đích, hệ thống đích sẽ dựa vào giá trị offset để sắp xếp các mảnh lại với nhau theo
thứ tự đúng như ban đầu.
Ví dụ: có một dữ liệu gồm 4000 bytes cần được chuyển đi, giả sử rằng 4000
bytes này được chia thành 3 gói nhỏ(packet):
Sinh Viên Thực Hiện: Thân Hoàng Hải - 810875T

Trang 6


Tìm Hiểu Tấn Công Từ Chối Dịch Vụ

Giáo Viên Hướng Dẫn: Ninh Xuân Hương

packet thứ nhất sẽ mang các 1 bytes dữ liệu từ 1 đến 1500.
packet thứ hai sẽ mang các bytes dữ liệu từ 1501 đến 3000.
packet thứ ba sẽ mang các bytes dữ liệu còn lại, từ 3001 đến 4000.
Khi các packets này đến đích, hệ thống đích sẽ dựa vào offset của các gói
packets để sắp xếp lại cho đúng với thứ tự ban đầu: packet thứ nhất -> packet thứ
hai -> packet thứ ba.
Trong tấn công Teardrop, một loạt gói packets với giá trị offset chồng chéo
lên nhau được gởi đến hệ thống đích. Hệ thống đích sẽ không thể nào sắp xếp lại
các packets này, nó không điều khiển được và có thể bị crash, reboot hoặc ngừng
hoạt động nếu số lượng packets với giá trị offset chồng chéo lên nhau quá lớn.
Hãy xem lại ví dụ trên, đúng ra các packet được gởi đến hệ thống đích có
dạng như sau: (1->1500 bytes đầu tiên) (1501->3000 bytes tiếp theo) (3001->4000
bytes sau cùng), trong tấn công Teardrop sẽ có dạng khác: (1->1500 bytes) (1501>3000 bytes) (1001->4000 bytes). Gói packet thứ ba có lượng dữ liệu sai.

Hình 1.3 – Teardrop attack
2.1.5. SYN Attack
Trước hết, bạn hãy xem lại tiến trình bắt tay 3 bước của một kết nối TCP/IP.
Một client muốn kết nối đến một host khác trên mạng.

Sinh Viên Thực Hiện: Thân Hoàng Hải - 810875T

Trang 7


Tìm Hiểu Tấn Công Từ Chối Dịch Vụ

Giáo Viên Hướng Dẫn: Ninh Xuân Hương

Hình 1.4 – Ba bước kết nối mạng

Bước 1: client gởi một SYN packet với số Sequence Number ban đầu (ISN)
đến host cần kết nối: client--SYN packet-->host.
Bước 2: host sẽ phản hồi lại client bằng một SYN/ACK packet, ACK của
packet này có giá trị đúng bằng ISN ban đầu do client gởi đã gởi đến host ở bước 1
và chờ nhận một ACK packet từ client host -- SYN/ACK packet --> client.
Bước 3: client phản hồi lại host bằng một ACK packet client -- ACK packet -> host.
Khi host nhận được ACK packet này thì kết nối được thiết lập, client vào host
có thể trao đổi các dữ liệu cho nhau.

Hình 1.5 – Syn attack
Sinh Viên Thực Hiện: Thân Hoàng Hải - 810875T

Trang 8


Tìm Hiểu Tấn Công Từ Chối Dịch Vụ

Giáo Viên Hướng Dẫn: Ninh Xuân Hương

Trong SYN Attack, hacker sẽ gởi đến hệ thống đích một loạt SYN packets
với địa chỉ ip nguồn không có thực. Hệ thống đích khi nhận được các bad SYN
packets này sẽ gởi trở lại SYN/ACK packet đến các địa chỉ không có thực này vào
chờ nhận được ACK messages từ các địa chỉ ip đó. Vì đây là các địa chỉ ip không
có thực, hệ thống đích sẽ sẽ chờ đợi vô ích và còn nối đuôi các "request" chờ đợi
này nào hàng đợi, gây lãng phí một lượng đáng kể bộ nhớ trên máy chủ mà đúng ra
là phải dùng vào việc khác thay cho phải chờ đợi ACK messages.
Cách khắc phục:
Có 3 cách cơ bản để khắc phục cuộc tấn công này:
- Giảm thời gian kết thúc kết nối (timeout) ở trên máy bị tấn công.

- Sử dụng tường lửa ( firewall ) làm việc như hệ thống trung gian giữa giao
tiếp các kết nối TCP đến server.
- Sử dụng nhiều server thuê: nếu có đủ server để đáp ứng yêu cầu request.
Nhưng cách này có nhiều giới hạn.
Bảo vệ Microsoft Window trước nguy cơ tấn công SYN flood:
Window có cơ chế kiểm tra và bảo vệ trước tấn công SYN flood. Cơ chế
này sẽ kiểm tra khi thấy dấu hiệu tấn công thì sẽ giảm thời gian server gởi gởi các
kết nối Request.
Khi bật chế độ này lên, thì màn hình hệ thống kết nối sẽ được duy trì và bảo
vệ tấn công SYN flood, các dấu hiệu của SYN flood :
- Tổng số lượng kết nối vào cổng mở (SYN-RCVD) vượt qua giá trị của
TcpMaxHalfOpen.
- Tổng số lượng kết nối vào các port mở (SYN-RCVD) sau khi có một

connect request vào thì vượt qua giá trị TcpMaxHalfOpenRetried
- Số lượng kết nối Request tới hệ thống bị từ chối vượt qua giá trị
TcpMaxPortsExhausted.

Những cấu hình cần thiết lập của window:
hkey_local_machine \system \currentcontrolset \services\tcpip \parameters
\synattackprotect=1 REG_DWORD
hkey_local_machine \system \currentcontrolset \services\tcpip \parameters
\tcpmaxconnectresponseretransmissions=2 REG_DWORD

Sinh Viên Thực Hiện: Thân Hoàng Hải - 810875T

Trang 9


Tìm Hiểu Tấn Công Từ Chối Dịch Vụ

Giáo Viên Hướng Dẫn: Ninh Xuân Hương

hkey_local_machine \system \currentcontrolset \services\tcpip \parameters
\tcpmaxdataretransmissions=3 REG_DWORD

Sử dụng check point để chống SYN flood:

Hình 1.6 – Check point

Check point này sẽ kiểm tra tất cả các request đến server. Nếu request đến có ACK
chính xác, thì check point sẽ chuyển đến server.

Hình 1.7 – Protect Syn attack
Điều này giúp cho server tránh bị quá tải kết nối khi bị tấn công.

Sinh Viên Thực Hiện: Thân Hoàng Hải - 810875T

Trang 10


Tìm Hiểu Tấn Công Từ Chối Dịch Vụ

Giáo Viên Hướng Dẫn: Ninh Xuân Hương

2.2. Dos Attack Tool
IGMP nuke
UDP flood
HTTP DOS
SYN DOS

Smurf2k
Các tool này được thử trên Windows Server 2003 qua may ảo Vmware.
2.2.1. IGMP nuke

Hình 1.8 – Chương trình IGMP nuke

Chương trình IGMP nuke sẽ gởi liên tục các gói tin có kích thước lớn qua
máy Server 2003.
Làm cho mạng của máy này hết băng thông.
Chương trình này không làm cho CPU của máy bị tấn công quá tải

Sinh Viên Thực Hiện: Thân Hoàng Hải - 810875T

Trang 11


Tìm Hiểu Tấn Công Từ Chối Dịch Vụ

Giáo Viên Hướng Dẫn: Ninh Xuân Hương

Hình 1.9 – Kết quả tấn công IMGP nuke

Dùng chương trình Ethreal để bắt các gói tin của chương trình IMGPnuke.
Trong 10s chương trình gởi tổng dung lượng là 105mb chiếm băng thông
100%.
Các gói tin được gởi theo giao thức IP.
Các gói tin chuẩn IGMP.
Kích thước 60000byte được chia nhỏ ra gởi.

Sinh Viên Thực Hiện: Thân Hoàng Hải - 810875T

Trang 12


Tìm Hiểu Tấn Công Từ Chối Dịch Vụ

Giáo Viên Hướng Dẫn: Ninh Xuân Hương

Hình 1.10 – Giao thức IGMP nuke
Có thể xác định thuộc tính của gói tin IGMP một cách rõ ràng.
Chương trình này khi tấn công có nhược điểm có thể xác định được nguồn
gốc tấn công. Chương trình này không có giả mạo địa chỉ IP nguồn.

Sinh Viên Thực Hiện: Thân Hoàng Hải - 810875T

Trang 13