维普资讯 http://www.cqvip.com 第２８卷ｙｏｔ．２８ ・第６期 趣６ 计算机工程 ２００２年６月 ＪｕＨｅ ２００２ Ｃｏｍｐｕｔｅｒ Ｅｎｇｉｎｅｅｒｉｎｇ 基金项目论文・ 文章编号：１０００－－３４２８（２００２）０６—００６３—０３ 文献标识码：Ａ 中图分类号：ＴＰ３９３．０８ 分布式拒绝服务攻击研究 陈波 ｆ南京师范大学计算机系，南京２ ｌ ００９７） 摘要：对分布式拒绝服务攻击的原理，ＰＪ，￣Ｔｒｉｎｏｏ、ＴＦＮ２ｋ两种典型的分布式拒绝攻击工具进行了分析，并提出了检测方法。给出了应用 常见软、硬件的防范方法，以及一个拒绝服务监控系统的设计方案。 关键词：ＴＣＰ／ＩＰ；分布式拒绝服务；网络攻击；网络安全 Ｒｅｓｅａｒｃｈ ０ｎ Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋ ＣＨＥＮ Ｂｏ （Ｄｅｐｔ．ｏｆＣｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｎａｎｊｉｎｇ Ｎｏｒｍａｌ Ｕｎｉｖｅｒｓｉｔｙ，Ｎａｎｊｉｎｇ ２１００９７） ［Ａｂｓｔｒａｃｔｌ Ｔｈｅ ｐｒｉｎｃｉｐｌｅｓ ｏｆｄｉｓｔｒｉｂｕｔｅｄ ｄｅｎｉａｌ ｏｆ ｓｅｒｖｉｃｅ ａｔｔａｃｋ ａｎｄ ｔｈｅ ｔｙｐｉｃａｌ ａｔｔａｃｋ ｔｏｏｌｓ：Ｔｒｉｎｏｏ ａｎｄ ＴＦＮ２ｋ ａｒｅ ａｎａｌｙｚｅｄ．Ｔｈｅｎ ｄｅｔｅｃｔｉｏｎ ｍｅａｓｕｒｅｓ ａｒｅ ｐｒｏｐｏｓｅｄ．Ｉｔ ａｌｓｏ ｇｉｖｅｓ ｔｈｅ ｃ０ｕｎｔｅｒｍｅａｓｕｒｅｓ ｕｓｉｎｇ ｓｏｆｔｗａｒｅ ａｎｄ ｈａｒｄｗａｒｅ ｏｒｄｉｎａｒｉｌｙ。ａｎｄ ｄｅｓｉｇｎ ｐｒｏｊｅｃｔ ｏｆ ＳＵｐｅｒｖｉｓｉｎｇ ｄｅｎｉａｌ ０ｆ ｓｅｒｖｉｃｅ ａｔｔａｃｋ． 【Ｋｅｙ ｗｏｒｄｓｌ ＴＣＰ／ＩＰ；Ｄｉｓｔｒｉｂｕｔｅｄ ｄｅｎｉａｌ ｏｆｓｅｒｖｉｃｅ（ＤＤｏＳ）；Ｎｅｔｗｏｒｋ ａｔｔａｃｋ；Ｎｅｔｗｏｒｋ ｓｅｃｕｒｉｔｙ １ ＤＤｏＳ攻击原理 “分布”是指把较大的计算量或工作量由多个处理器或 多个节点共同协作完成。ＤＤｏＳ攻击就是攻击者控制大量的 攻击源，然后同时向攻击目标发起的一种拒绝服务攻击。一 非常灵活，发布命令的时间短而隐蔽，难以定位，而且攻击 者所用的协议都是一些非常常见的协议和服务，系统管理员 就难以区分恶意请求和正常连接请求，从而无法有效分离出 攻击数据包。 个典型的分布式拒绝服务攻击网络结构如图１所示。 ２攻击工具及攻击检测 现在常见的ＤＤｏＳ攻击工 具有：Ｔｒｉｎｏｏ，ＴＦＮ及其改进 版ＴＦＮ２Ｋ和Ｓｔａｃｈｅｌｄｒａｈｔ等几 种，采用的主要攻击方法是利 用ＴＣＰ／ＩＰ协议中的漏洞，如允 许碎片包、大数据包、ＩＰ路由 选择、半打开ＴＣＰ连接、数据 包ｆｌｏｏｄ等，这些都会降低系统 性能，甚至使系统崩溃。Ｕｎｉｘ ●——— 表 、控制信息 ———和Ｌｉｎｕｘ平台的主机一般都能被 图１分布式拒绝服务攻击网络结构 ’衷 ＾侵信 用于此类攻击，而且可以容易 地将这些攻击工具移植到其它 系统平台上。 ２．１ Ｔｒｉｎｏｏ分析 ２．１．１ Ｔｒｉｎｏｏ的组成与原理 攻击的过程一般可分为以下几个步骤： （１）探测扫描大量主机以寻找可入侵主机；（２）入侵有安全漏洞 的主机并获取控制权；（３）在每台被入侵主机中安装攻击所用的程 序：客户进程或守护进程；（４）向安装有客户进程的主控端主机发出 命令，由它们来控制代理主机上的守护进程进行协同入侵。 Ｔｒｉｎｏｏ的攻击主要通过３个部分实施： （１）攻击端：这不是ｔｒｉｎｏｏ自带的一部分。攻击端对主控端的远 程控制通过２７６６５／ＴＣＰ端１３建立ＴＣＰ连接实现，￣Ｔｅｌｎｅｔ等，输入默 真正的攻击者一旦将攻击的命令传送到主控端主机，攻 击者主机就可以关闭或脱离网络，而由主控端主机将命令发 布到各个代理主机上，这样攻击者可以逃避追踪。每一个攻 击代理主机都会向目标主机发出大量的服务请求数据包，这 些数据包有的经过伪装，无法识别它的来源，而且这些包所 认密码“ｂｅｔａａｌｍｏｓｔｄｏｎｅ”后，即完成了连接工作，进入攻击控制可 操作的提示状态。 （２）主控端客户进程（ｍａｓｔｅｒ）：在正确输入默认密码ｇＯｒａｖｅＵ￣＂， ｍａｓｔｅｒｆｆｐ成功启动，它一方面侦听端口３ｌ３３５，等待攻击守护进程的 ＨＥＬＬＯ包，另一方面侦听端口２７６６５，等待主控端客户进程对其的 基金项目：国家“８６３”应急项目基金资１￣（３０１—７—８１ 国家信息产业部 网络安全基金资助项目（２００ｌ一研ｌ一０４３） 作者简介：陈波（１９７２～），男，讲师、硕士，研究方向：网络系 统安全技术的研究与应用 收稿日期：２００１—０８．１５ 请求的服务往往要消耗较大的系统资源，￣ＩＣＰＵ或网络带 宽。如果数百台甚至上千台攻击代理主机同时攻击一个目 标，就会导致目标主机网络和系统资源的耗尽，还可能阻塞 目标网络的防火墙和路由器等网络设备，进一步加重网络拥 塞状况，造成目标主机无法为用户提供任何服务，甚至导致 系统崩溃。ＤＤｏＳ攻击难以对付，是因为真正攻击者的位置 维普资讯 http://www.cqvip.com 连接。当攻击端连接成功并发出指令时，ｍａｓｔｅｒ所在主机将向守护 进程ｎｓ所在主机的２７４４４端口传递指令。 （３）代理端守护进程（ｎｓ）：ｎｓ是真正实施攻击的程序，它一般和 客户进程ｍａｓｔｅｒ所在主机分离。ｎｓ运行时，会首先￣ｍａｓｔｅｒ所在主机 的３１３３５端口发送内容为ＨＥＬＬＯ的ＵＤＰ包，标示它自身的存在，随 后守护进程即处于对端口２７４４４的侦听状态，等待ｍａｓｔｅｒ攻击指令的 到来。 ２．１．２ Ｔｒｉｎｏｏ的主要特征 下面是通过用Ｓｎｉｆｆｅｒ捕获的数据包进行分析的结果。 （１）在默认情况下的通信端口是：攻击端到主控端２７６６５／ＴＣＰ； 主控端到代理端２７４４４／ＵＤＰ；代理端到主控端３ １ ３３５／ＵＤＰ。 （２）主控端向代理端的２７４４４／ＵＤＰ端口发出“ｐｎｇ”命令，发出 的命令中含有缺省的口令字符“１４４ａｄｓｌ”，之后，代理端会向主控 端的３１３３５／ＵＤＰ端口回应带“ＰＯＮＧ”的字符串。 （３）代理端守护进程启动后，向主控端客户进程发有”＊ＨＥＬＬＯ＊” 的ＵＤＰ包。 ２．１．３ Ｔｒｉｎｏｏ的攻击实例 设ｍａｓｔｅｒ所在主机ｍａｓｔｅｒｈｏｓｔ：ｌ】．２２．３３．４４；ｎｓ被植入３台 主机里，ｃｌｉｅｎｔｌ：１ １．１ １．１ １．１ １，ｃｌｉｅｎｔ２：２２．２２．２２．２２，ｃｌｉｅｎｔ３：３３． ３３＿３３．３３；目标主机ｖｉｃｔｉｍ ＩＰ为：１２．２３．３４．４５。 步骤１：解开压缩包后，在ｎｓ ｃ中写入主控端主机ＩＰ： ｃｈａｒ＊ｍａｓｔｅｒ［１＝｛”１ １ ２２ ３３ ４４”，ＮＵＬＬ｝；然后进行编译、安装。 步骤２：在ｍａｓｔｅｒ所在主机启动ｍａｓｔｅｒ。 ｍａｓｔｅｒｈｏｓｔ＃／ｍａｓｔｅｒ＜Ｅｎｔｅｒ＞ ？？ｇＯｒａｖｅ（输入密码ｇＯｒａｖｅ后ｍａｓｔｅｒ成功启动） ｔｒｉｎｏｏ ｖ１．０７ｄ２＋ｆ３＋ｃ ｆＭａｒ ２０ ２００１：１４：３８：４９】（连接成功） 步骤３：在ｃｌｉｅｎｔｌ、２、３上分别执行ｎｓ，启动守护进程。 步骤４：攻击端执￣ｔｅｌｎｅｔ。 ａｔｔａｃｋｅｒｓ ｔｅｌｎｅｔ １ １ ２２ ３３ ４４ ２７６６５＜Ｅｎｔｅｒ＞ Ｔｒｙｉｎｇ ｌｌ ２２ ３３ ４４ Ｃｏｎｎｅｃｔｅｄ ｔｏ １ １＿２２ ３３ ４４ Ｅｓｃａｐｅ ｃｈａｒａｃｔｅｒ ｉｓ １’ Ｂｅｔａａｌｍｏｓｔｄｏｎｅ＜Ｅｎｔｅｒ＞（输入密码） ｔｒｉｎｏｏ ｖｌ ０７ｄ２＋ｆ３＋ｃ『ｒｐｍ８ｄ／ｃｂ４Ｓｘ／１ ｔｒｉｎｏｏ＞（进入提示符） ｔｒｉｎｏｏ＞ｒｏｐｉｎｇ＜Ｅｎｔｅｒ＞（首先检测一下各个攻击守护进程是否成 功启动） ｍｐｉｎｇ：Ｓｅｎｄｉｎｇ ａ ＰＩＮＧ ｔｏ ｅｖｅｒｙ Ｂｃａｓｔｓ ｔｒｉｎｏｏ＞ＰｏＮＧ １ Ｒｅｃｅｉｖｅｄ ｆｒｏｍ １１ １１ １１ １１ ＰＯＮＧ ２ Ｒｅｃｅｉｖｅｄ ｆｒｏｍ ２２．２２ ２２ ２２ ＦＯＮＧ ３ Ｒｅｃｅｉｖｅｄ ｒｆｏｍ ３３ ３３ ３３．３３（成功响应） ｔｒｉｎｏｏ＞ｍｔｉｍｅｒ ６０＜Ｅｎｔｅｒ＞（设定攻击时间为６０ｓ） ｍｔｉｍｅｒ：Ｓｅｔｔｉｎｇ ｔｉｍｅｒ ｏｎ ｂｅａｓｔ ｔｏ ６０ 步骤５：进行攻击 ｔｒｉｎｏｏ＞ｄｏｓ １ ２ ２３ ３４ ４５＜Ｅｎｔｅｒ＞ ＤｏＳ：Ｐａｃｋｅｔｉｎｇ １２ ２３ ３４ ４５… 此时ｐｉｎｇ ｌ２．２３．３４．４５，会得到ｉｃｍｐ不可到达反馈，目标 主机此时与网络的正常连接已被破坏。 ２．１．４ Ｔｒｉｎｏｏ的检测 可以采用以下检测办法。 （１）使用ｎｅｔｓｔａｔ命令检测网络连接状态；使用ｌｓｏｆ＿Ｔ＿ 列出系统 中所有打开的文件，并且显示它们是被哪些进程打开的；使用ｅｇｒｅｐ 命令搜索多个目标模式。假设没有使用ｒｏｏｔ ｋｉｔ隐藏进程，已经被黑 客入侵的主控端会显示出以下网络套接字特征（当然程序的名称和 路径名会有所不同）： ｎｅｔｓｔａｔ．ａ．ｉｎｅｔ Ａｃｔｉｖｅ Ｉｎｔｅｒａｃｔ ｃｏｎｎｅｃｔｉｏｎｓ（ｓｅｒｖｅｒｓ ａｎｄ ｅｓｔａｂｌｉｓｈｅｄ） ～６４一一 Ｐｒｏｔｏ Ｒｅｃｖ．Ｑ Ｓｅｎｄ—Ｑ Ｌｏｃａｌ Ａｄｄｒｅｓｓ Ｆｏｒｅｉｇｎ Ａｄｄｒｅｓｓ Ｓｔａｔｅ ｔｃｐ ０ ０ ：２７６６５ ＬＩＳＴＥＮ ｕｄｐ ０ ０ ：３１３３５ ｌｓｏｆ Ｉｅｇｒｅｐ”：３ １ ３３５ｆ：２７６６５” ｍａｓｔｅｒ １２９２ ｒｏｏｔ ３ｕ ｉｎｅｔ ２４６０ ＵＤＰ ：３ １ ３３５ ｍａｓｔｅｒ ｌ２９２ ｒｏｏｔ ４ｕ ｉｎｅｔ ２４６ｌ ＴＣＰ ：２７６６５（ＬＩＳＴＥＮ１ 而运行了Ｔｒｉｎｏｏ守护进程的系统会显示以下特征： ｎｅｔｓｔａｔ．ａ．ｉｎｅｔ Ａｃｌｉｖｅ ｌｎｔｅｍｅｔ ｃｏｎｎｅｃｔｉｏｎｓ（ｓｅｒｖｅｒｓ ａｎｄ ｅｓｔａｂｌｉｓｈｅｄ） Ｐｒｏｔｏ Ｒｅｃｖ．Ｑ Ｓｅｎｄ－Ｑ Ｌｏｃａｌ Ａｄｄｒｅｓｓ Ｆｏｒｅｉｇｎ Ａｄｄｒｅｓｓ Ｓｔａｔｅ ｕｄｐ ０ ０ ：１０２４ ｕｄｐ ０ Ｏ ：２７４４４ ｌｓｏｆ Ｉｅｇｒｅｐ”：２７４４４” 、ｎｓ ｌ ３ｌ６ ｒｏｏｔ ３Ｕ ｉｎｅｔ ２５０２ ＵＤＰ ：２７４４４ （２）编制程序进行主动轮询检测，即每隔一段时间向待检测主机 发送特定的ＵＤＰ包，根据得到的回应判断该机是否被安装了 Ｔｒｉｎｏｏ。程序流程如图２。 图２ Ｔｒｉｎｏｏ检测流程 ２．２ ＴＦＮ２Ｋ分析 ２．２．１ ＴＦＮ２Ｋ的组成与原理 （１）主控端上的客户进程（ｆｉｎ）：主控端通过随机使用ＴＣＰ， ＵＤＰ，ＩＣＭＰ数据包向代理端主机发送攻击指定的目标主机列表。 （２）代理端上的守护进程（Ｉｄ）：代理端根据接收的命令向指定目 标主机进行拒绝服务攻击。 由一个主控端控制的多个代理端主机，能够在攻击过程 中相互协同，保证攻击的连续性。 ２．２．２ ＴＦＮ２Ｋ的主要特征 （Ｉ）主控端通过随机使用ＴＣＰ，ＵＤＰ，ＩＣＭＰ数据包向代理端主 机发送命令。对目标主机采用的攻击方法包括ＴＣＰ／ＳＹＮ，ＵＤＰ． ＩＣＭＰ／ＰＩＮＧ或ＢＲＯＡＤＣＡＳＴ ＰＩＮＧ（ＳＭＵＲＦ）数据包ｆｌｏｏｄ等。 （２）主控端与代理端之间数据包头信息是随机的，只有１ＣＭＰ总 是使用类型０（ＥＣＨＯ ＲＥＰＬＹ）的数据包。 （３）与ＴＦＮ以及其它一些攻击工具不同，ＴＦＮ２Ｋ的守护进程是完 全沉默的，它对接收到的命令不作任何回应。主控端客户进程将每 一个命令重复发送２Ｏ次，并且认为守护进程至少应该能接收到其中 的一个。 （４）命令数据包可能混杂许多发送到随机ＩＰ地址的伪数据包。 维普资讯 http://www.cqvip.com （５）所有命令不是基于字符串的，而是采用“＋＜ｉｄ＞＋＜ｄａＩａ＞”格 式，其中＜ｉｄ 表示某个特定的命令，＜ｄａｔａ＞表示该命令的参数。命 令都经过．（ＣＡＳＴ，２５６算法（ＲＦＣ ２６１２）加密。加密关键字在编译程序 时定义，并作为运￣３ＴＦＮ２Ｋ客户端进程的口令。 （６］所有加密数据在发送前都被编￣￣（Ｂａｓｅ ６４）成可打印的ＡＳＣＩＩ 字符，ＦＦＮ２Ｋ守护程序接收数据包并解密数据。 ｆ７）守护进程为每一个攻击产生子进程。 （８）ＴＦＮ２Ｋ守护进程试图通过修改ａｒｇｖ［０１内容（或在某些平台中 修改进程名）以掩饰自己。伪造的进程名在编译时指定，因此每次 安装时都有可能不同。这个功能可以使ＴＦＮ２Ｋ伪装成代理端主机的 正常进程。所以，如果只是简雌地检查进程列表未必能找到ＴＦＮ２Ｋ 守护进程（及其子进程）。 （９）来自每一个客户或守护进程的所有数据包都可能是伪造的。 ２．２－３ ＴＦＮ２Ｋ攻击实例 以一台主机作为主控端，一台名为ｓａｍｐｌｅ．ｅｄｕ的主机作 为代理端，ｑ，￣ＴＦＮ２Ｋ软件包拷贝￣ＺＪｗｓａｍｐｌｅ．ｅｄｕ主机的／ｔｍｐ目 录下，然后输入ｍａｋｅ命令来编译安装。完成后，产生两个 可执行文件：ｔｄ；￣ｌｌｔｆｎ。直接运行ｔｄ命令来启动ＴＦＮ２Ｋ守护进 程，并把ｔｆｎ拷回到主控端主机中。在主控端用如下命令向 目标主机、、 ＷＷ．ｖｉｃｔｉｍ．ｃｏｒｎ发起一次标准的ＵＤＰ ｌｆｏｏｄ攻击： Ｉｆｈ－ｈ ｓａｍｐｌｅ ｅｄｕ－Ｃ ４－ｉ、ｖｗｗ ｖｉｃｔｉｍ ｃｏｒｎ＜Ｅｎｔｅｒ＞ Ｐｒｏｔｏｃｏｌ：ｒａｎｄｏｍ ＳｏｕｒｃｅｔＰ ｒａｎｄｏｍ Ｃｔｉｅｎｔｉｎｐｕｔ：ｓｉｎｇｌｅｈｏｓｔ Ｃｏｍｍａｎｄ ｃｏｍｍｅｎｃｅｕｄｐｆｌｏｏｄ Ｐａｓｓｗｏｒｄｖｅｒｉｉｆｃａｔｉｏｎ：ｆ输入刚才编译时输入的密码） ＳｅｎｄｉｎｇＯｕＩｐａｃｋｅＩｓ：． 这里只使用了一个ＴＦＮ２Ｋ守护进程进行攻击。如果攻 击目标不是特别脆弱的话，一般不会造成太大的损害。但是 如果同时控制了多台安装过ＴＦＮ２Ｋ守护进程的主机，然后 把这些主机的名字添加到ｈｏｓｔｓ文件里，再用如下命令，攻击 目标将同时遭受到多台主机的猛烈攻击而瘫痪。 ｔｆｈ．ｆ ｈｏｓｔｓ．Ｃ ４．ｉ Ｗ＇Ｗ￣Ｖ ｖｉｃｔｉｍ ｃｏｒｎ＜Ｅｎｔｅｒ＞ ２．２．４ ＴＦＮ２ＫｆｔＪ￣检测 有效防御ＴＦＮ２Ｋ攻击是很困难的。因为攻击过程中所 有的控制通信都是单向的，而且攻击随机使用ＴＣＰ，ＵＤＰ￣Ｉ ＩＣＭＰ数据包，并进行加密，因此数据包过滤和其它被动式 防御策略都没有明显的效果。况且伪造的数据包更会增加追 踪参与拒绝服务攻击代理端主机的难度。不过，我们在攻击 实验环境中采用的以下ＴＦＮ２ｋ攻击防范与检测方法取得了较 好的效果。 （１）禁止不必要的ＩＣＭＰ，ＴＣＰ￣ＩＵＤＰ通信，如果不能禁止ＩＣＭＰ 协议，那就禁止主动提供的甚至所有的ＩＣＭＰ类型０数据包；禁止不 在允许端口列表中的所有ＵＤＰ￣ＩＩＴＣＰ包。 （２）对客户端程序（ｔｆｎ）ｌ￣ｌｌ守护程序文件（Ｉｄ）的简单搜索也可能会 找到ＴＦＮ２Ｋ。虽然它们的文件名可以随意修改，但客户端程序和守 护程序包含许多特征字符串，可以作为搜索的关键字 。 （３）检查ＩＣＭＰ类型０数据包的尾部是否含有连续的０ｘ４１。因为程 序作者为了使每一个数据包的长度变化而填充了１到１６个ｏ（ｏｘ００）， 经过Ｂａｓｅ ６４编码后就成为多个连续的０ｘ４１（‘Ａ’）。添加到数据包 尾部的０ｘ４１的数量可变，但至少会有一个。还可以检查数据内容是 否都是ＡＳＣＩ１可打印字符（２Ｂ，２Ｆ一３９，０ｘ４１—０ｘ５Ａ，０ｘ６１－０ｘ７Ａ）。另 外，入侵者发现攻击失效时往往会试图连接到代理端主机上以进行 检查，这些网络通信都可被迫踪。 ２．３ ＴＦＮ２Ｋ与Ｔｒｉｎｏｏ的比较 Ｆｒｉｎｏｏ只实现ＵＤＰ攻击，而ＴＦＮ２Ｋ支持ＴＣＷＳＹＮ．ＵＤＰ． ＩＣＭＰ等的ｆｌｏｏｄ攻击等。Ｔｒｉｎｏｏ－］！控端通过ＵＤＰ数据包向代 理主机发送命令，而ＴＦＮ２Ｋ通过随机使用ＴＣＰ．ＵＤＰ，ＩＣＭＰ数 据包向代理端主机发送命令。Ｔｒｉｎｏｏ守护进程启动后会主动 向主控端发送含有“ ＨＥＬＬＯ ’字符的ＵＤＰ数据包，而 ＴＦＮ２Ｋ的守护进程是完全沉默的。 ３ ＤＤＯＳ攻击的防范 有些软、硬件的正确应用可以提供一定程度的防护。当 然，根本的防范目标应当是防止网络资源被用作客户端或代 理端。 ３。１应用常见的软、硬件 ３．１．１防火墙的应用 防火墙是网络安全中的第一道防御。它定义了什么是合 法的连接，并阻止入侵，还能够对可疑连接记录详细的日 志。任何防火墙只要有正确的规则，一定程度上就可以识别 这些拒绝服务攻击所采用的攻击方法，并将攻击包阻挡在 外。例如，借助于数据包过滤和代理．安全提供出站Ｔｅｌｎｅｔ， 而尽可能地限制入站Ｔｅｌｎｅｔ，将在一定程度上有效防止 Ｔｒｉｎｏｏ攻击。另外，有效配置防火墙过滤所有可能的伪造数 据包，也可在一定程度上保护网络免受ＴＦＮ２ｋ等的攻击。 ３．１．２ Ｓｃａｎｎｅｒｓ的应用 对于ＤＤｏＳ攻击，扫描器的价值体现在两方面。第一， ＩＳＳ提供的Ｉｎｔｅｒｎｅｔ Ｓｃａｎｎｅｒ，Ｓｙｓｔｅｍ Ｓｃａｎｎｅｒ和Ｄａｔａｂａｓｅ Ｓｃａｎｎｅｒ 可以扫描网络中的漏洞，并告诉用户如何修复（提供补丁链 接，如何重配软件或ＯＳ的步骤等）。这些漏洞是攻击者用来 植入ＤＤｏＳ代理程序的途径。如果漏洞被发现并修复了，攻 击者就失去了入侵的途径。第二，Ｉｎｔｅｍｅｔ Ｓｃａｎｎｅｒ可以扫描 并发现网络中后门和ＤＤｏＳ代理程序，以便及时清除。 ３．１＿３ ＩＤＳ的应用 ＩＤＳ可以分析所有进入网段或主机的数据包，来发现是 否有人企图扫描网络或利用漏洞（不论漏洞存在与否）。ＩＤＳ 可以发现危险并可以设置为自动应答。通过前面的实验和分 析知道：攻击者欲在网络中放置ＤＤｏＳ代理时，必须首先扫 描网络，然后获得一台或多台机器的访问权。如果网络中运 行有优秀的ＩＤＳ，攻击者连初次的扫描也无法进行。全球功 能最强、使用最广泛的ＩＤＳ之一ＲｅａｌＳｅｃｕｒｅ，就能够识别 ＤＤｏＳ主控端与代理之间的对话，还能发现比其它ＩＤＳ系统 更多种类的攻击。在ＤＤｏＳ攻击的过程中，Ｒｅａｌｓｅｃｕｒｅ￣，够立 即通知紧急响应小组的每个成员，并快速恢复Ｉｎｔｅｍｅｔ访 问；它能够重配防火墙并阻止这些包进入网络内部；切断 ＳＹＮ ｌｆｏｏｄｉｎｇ攻击，释放资源，减轻防火墙的负担，并且提 供很多有价值的记录。 ３．２拒绝服务监控系统的设计 我们进行了拒绝服务监控系统的设计，利用总结出的若 干拒绝服务攻 数据包的特征 建立了网络通 中异常现象的 式库，把实时 集网络数据包与 图３监控系统结构图 模式库进行模式 （下转第１ １３页） ６５— 维普资讯 http://www.cqvip.com ｉｆ（ｋ１＜Ｏ）ｋ１ Ｎ＋ｋ１； Ａｌｉｃｅ根据（３）式使用Ｂｏｂ的公开密钥ｈ对ｍ进行加密得到 密文ｅ： ｅ－（１ ８，ｌ ６，８，０，２４．２２，２８，２ ｌ，８，３ ｌ，２３） ｒｅｔｕｒｎ Ｘ ｌｂ【ｘ１ ｒｏｏｄ（ｘＮ．１）｝ Ｓｔｅｐ ４：ｉｆ（ｄｅ ｆ）＜ｄｅ ｇ）） ｆ交换ｆｉｘ］、ｇ【ｘ】 交换ｂ【Ｘ１、ｃＩＸ］，｝ Ｓｔｅｐ ５：ｆｌＸｌ＝ｔＩｘ］ ｇｌＸ］（ｍｏｄ ２）；ｂＩＸ］＝ｂｆｘ】＋ｃｌＸ］（ｍｏｄ ２） Ｓｔｅｐ ６：ｇｏｔｏ Ｓｔｅｐ ２ Ｂｏｂ收到Ａｌｉｃｅ的密文ｅ后，根据（４），（５），（６）式用自己的私 人密钥 分别对ｅ进行解密得： ａ＝（６，－３，－４，５，－６，４，２，－１ ５，４，７，－７） ｂ＝（Ｏ，０，－ｌ，－ｌ，０，ｌ，－ｌ，０，ｌ，ｌ，－１） ｃ＝（１，０，１，１，１，０，０，１，１．０，１） 算法８： Ｓｔｅｐ １：初始化ｋ＝Ｏ；ｂｌＸ１＝１；ｃ【ｘ】＝Ｏ；Ⅱｘ１＝ａ【）（】｜ｇｆｘ】＝ｘ－１ Ｓｔｅｐ ２：ｗｈｉｌｅ（（ｆ【Ｏ】一Ｏ （ｄｅｇ（ｆ）！＝ｏ）） ｆ ｆ【）（】＝ｆｌＸｌ／Ｘ，ｃ『Ｘ１＝ｃＩＸｌ ｘ，ｋ＝ｋ＋１｝ Ｓｔｅｐ ３：ｉｆ（ｄｅｇ（ｆ） ＝ｏ、 ｃ就ｍａｌｉｃｅ发送给Ｂｏｂ的明文ｍ。 ｆＫ１＝（Ｎ－Ｋ）ｍｏｄ ｐ； ｉｆ（ｋ１＜Ｏ）ｋ１＝Ｎ＋ｋ１；Ｏ ４结束语 按照公式（１），（２）生成的密钥，有时并不能够正确实现加 ｒｅｔｕｒｎ士Ｘ ｂ［Ｘ１ ｍｏｄ（ＸＮ－１）｝ Ｓｔｅｐ ４ ｉｆ（ｄｅｇ（ｆ）＜ｄｅｇ（ｇ）） （交换ｑｘｌ、ｇ［Ｘｌ；交换ｂ【Ｘ１、ｃＩＸ］，｝ Ｓｔｅｐ ５：ｉｆ（ｆ『０】：＝ｇ［Ｏ１） 密和解密。这时可以通过编程方法自动修改喊ｇ中的部分元 素就可以了。 本文给出了实现ＮＴＲＵ公开密钥体制完整的方法，论文 对文献【２】中对任意素数ｐ，求解ａ（）Ｏ的乘逆ｂ（ｘ）的方法进行一 些修改和补充说明，为进一步研究和应用ＮＴＲＵ算法提供参 考依据。 （ｑｘ］＝ｆｉｘ］－ｇ［Ｘｌ（ｍｏｄ ３） ｂ【ｘ卜ｂ【Ｘｌ－ｃ【ｘ１（ｍｏｄ ３）｝ Ｓｔｅｐ ６：ｅｌｓｅ （ｆｉｘ］ ｆｉｘ］ ｇ［Ｘｌ（ｍｏｄ ３）；ｂ［Ｘ１＝ｂ【ｘ】＋ｃｔＸ］（ｍｏｄ ３）｝ Ｓｔｅｐ ７：ｇｏｔｏ Ｓｔｅｐ ２ 通过对ＮＴＲＵ算法分析看到，ＮＴＲＵ算法设计非常巧 妙，整个算法过程只包括小整数的加、乘、模运算，从而提 从算法７，算法８中我们看到，当模为２和３时执行算法７ １ 算法８的速度要比使用算法４快得多。 高算法的执行速度。在国外对ＮＴＲＵ算法的研究、开发和应 用进展异常迅速，ＮＴＲＵ算法被认为是公开密钥体制中最快 的算法，也是比较容易实现的算法。同时国外有很多研究机 ３ ＮＴＲＵ算法举例 例５：取参数Ｎ＝１１，Ｐ＝３２，ｑ＝３，ｄｌ＝４， ＝３，ｄｒ＝３。 根据ｄｌ、ｄ艚随机选择两个多项式ｆ、ｇ： ｆ：（１，ｌ，１，０，－ｌ，０，ｌ，０，０，ｌ，－１） ｇ （－ｌ，０，ｌ，ｌ，０，ｌ，０，０，－ｌ，０，一１） 构正在对ＮＴＲＵ算法安全性进行研究，但到目前为止还没有 任何理由说明ＮＴＲＵ算法是不安全的，有理由相信ＮＴＲＵ算 法完全有可能在公开密钥体制中占有主导地位。 参考文献 １ Ｃｏｈｅｎ Ｈ．Ａ Ｃｏｕｒｓｅ ｉｎ Ｃｏｍｐｕｔａｔｉｏｎａｌ Ａｌｇｅｂｒａｉｃ Ｎｕｍｂｅｒ Ｔｈｅｏｒｙ Ｂｅｒｌｉｎ：Ｇｒａｄｕａｔｅ Ｔｅｘｂ ｉｎ Ｍａｔｈ．，Ｖｏ１．１３８，Ｓｐｒｉｎｇｅｒ Ｖｅｒｌａｇ１９９３ ，由（１）式按照算法８求出Ｆａ＝（１，Ｏ，１，Ｏ，１，ｏ，ｏ，１，ｏ，ｏ，１） 由（１）式按顺序使用算法６、７、５求Ｆｐ ＦＤ＝（６，１２，８，３Ｏ，３２，２，１０，３ｌ，ｌ２，２２，５） ２ ＮＴＲＵ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ Ｔｅｃｈｎｉｃａｌ Ｒｅｐｏ￣＃０１４ ｗｗｗ．ｎｔｒｕ ｃｏｒｎ ３ ＮＴＲＵ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ Ｔｅｃｈｎｉｃａｌ Ｒｅｐｏ￣＃００９ ｕ ｖ、ｖ ｎｔｒｕ． 由（２）式求出ｈ＝（５，９，２３，３０，２ ｌ，２２，７，２９，２６，２３，０） 设Ｂｏｂ的公开密钥为ｈ，一对私人密钥为（ｆ，Ｆａ】。 ｃｏｍ ４ Ｇｏｌｄｒｅｉｃｈ Ｏ，Ｇｏｌｄｗａｓｓｅｒ Ｓ，Ｈａｌｖｅｉ Ｓ Ｐｕｂｌｉｃ－ｋｅｙ Ｃｒｙｐｔｏｇｒａｐｈｙ ｆｒｏｍ Ｌａｔｔｉｃｅ Ｒｅｄｕｃｔｉｏｎ Ｐｒｏｂｌｅｍｓ．Ｐｒｏｃ．ＣＲＹＰＴＯ９７，Ｌｅｃｔ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ １ ２９４，Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，Ｉ ９９７ Ａｌｉｃｅ要发送信息给Ｂｏｂ时，先根据ｄ值随机选择一个多 项式ｒ： １，０．・１，１，０，１，０，－１，０，０，－１） ５刘衍衍编著计算机安全技术长春：吉林科学技术出版社，１９９７ 设Ａｌｉｃｅ要发送的明文多项式ｍ为： ｍ：＝（１．０，１．１，ｌ，０，０，ｌ，ｌ，０，１） ☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆☆ （上接第６５页） ２陈泷于泠．ＳＹＮ ｌｆｏｏｄｉｎｇ攻击对策研究计算机工程，２００ Ｉ，２７（７） ３ Ｌａｕ Ｆ，Ｒｕｂｉｎ Ｓ Ｈ，Ｓｍｉｈ Ｍ Ｈ，ｔｅｔ ａｌ Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ 匹配，得到监控结果。如图３为监控系统的结构图。 图３中，采集器用来收集网络通信信息，并向分析单元 提供分析所需的数据，同时还能接收分析单元的指令，进一 Ａｔｍｃｋｓ．ｈｔｔｐ：／／ｗｗｗ．ｅｎｓｃ．ｓｆｕ．ｃａ／ｐｅｏｐｌｅ／ｆａｃｕｌｔｙ／Ｉｊｉ！ｊａ／ｐａｐｅｒｓ／ｓｍｃｏｏｅｄｉｔｅｄ．ｐｄｇ２０００ ４ Ｂｅｌｌｏｖｉｎ Ｓ Ｓｅｃｕｒｉｔｙ Ｐｒｏｂｌｅｍｓ ｉｎ ｔｈｅ ＴＣＰ／ＩＰ Ｐｒｏｔｏｃｏｌ Ｓｕｉｔｅ Ｃｏｍｐｕｔ 步采集分析单元所需的特定信息。分析单元采用人工神经元 网络对网络采集信息和模式库进行模式匹配得出分析报告， 同时定期进行自学习，更新模式库，及时跟踪并反映拒绝服 务攻击模式的最新动态。关于本监控系统的设计与实现，我 们在另文论述。 Ｃｏｍｍｕｎ．Ｒｅｖ．Ｉ９８９．１９（２）：３２－４８ ５ Ｂｅｌｌｏｖｉｎ ｓ＿Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋｓｈｔ￣：／／ｗｗｗ ｒｅｓｅａｒｃｈ． ．ａｔｔ．ｃｏｍ／￣ｓｍｂ／ｔａｌｓ，ｋ２０００－０２ ６ Ｄｔｔｒｉｃｈ Ｄ．Ｔｈｅ ＤｏＳ Ｐｒｏｊｅｃｔｓ Ｔｒｉｎｏｏ Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋ Ｔｏｏｌ，ｈｅ Ｓｔｔａｃｈｅｌｄｒａｈｔ Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋ Ｔｏｏｌ ｈｅ Ｔｒｉｔｂｅ Ｆｌｏｏｄ Ｎｅｔｗｏｒｋ Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋ Ｔｏｏ１． 参考文献 Ｉ陈波，干泠．ＤｏＳ攻击原理与对策的进一步研究．计算机工程与应 用，２００Ｉ，３７（１Ｏ） ｈｔｔｐ：Ｈｗｗｗ Ｗａｓｈｉｎｇｔｏｎ ｅｄｕ／Ｐｅｏｐｌｅ／ｄａｄＩ９９９．１０ ．．７ Ｇｒｅｇｏｒｙ Ｐ Ｈ Ｓｏｌａｒｉｓ Ｓｅｃｕｒｉ￣．Ｐｒｅｎｔｉｃｅ Ｈａｌｌ ＰＴＲ２０００ ．
