web的***方式

 CC***

   CC ***的前身是 DDOS ***（分布式拒绝***）；它跟 DDOS***本质上是一样，都是以消耗服务器资源为目的，主要针对 WEB 应用程序比较消耗资源的地方进行疯狂请求，它的设计是利用TCP/IP 协议的缺陷。
   我们知道两台机器进行通信必须进行三次握手协议，如图：
    

像原文中的一个例子：
首 先是客户机发出一个请求 （SYN） ，服务器收到该请求后，填写会话信息表 （TCB，保存在内存中），并且向客户机反馈一个回应包 （SYN-ACK），此时连接处于TIME_WAIT 状态，如果最终没有收到客户机的 ACK信息包，会尝试隔一段时间再发送一次回应包 SYN-ACK，这样经过多次重试后，客户机还没有回应的话，服务器才会关闭会话，并从 TCB 中删除掉该会话。这个等待过程大约为30秒。当***者同时发起十万计的请求时（SYN） 到服务器开放的端口，并且本身拒绝发送SYN-ACK 回应时，服务器的的TCB将会很快超过负荷，并且***者可以伪造包中的源IP地址，这样***者还不会被服务器返回的包堵住。可以看出这是TCP/IP 协议中一个相当严重的问题。通过防火墙策略审核过滤数据包，可以从一定程度上防止DDoS***。

CC***的种类有三种，直接***，代理***，僵尸网络***：
直接***：主要针对有重要缺陷的 WEB 应用程序，一般说来是程序写的有问题的时候才会出现这种情况，比较少见。
僵尸网络***：有点类似于 DDOS ***了，从WEB应用程序层面上已经无法防御。
代 理***：使用代理机器向目标发出请求，达到阻塞目标机器服务。CC***者一般会操作一批代理服务器，比方说100个代理，然后每个代理同时发出10个请 求，这样 WEB 服务器同时收到1000个并发请求的，并且在发出请求后，立刻断掉与代理的连接，避免代理返回的数据将本身的带宽堵死，而不能发动再次请求，这时 WEB 服务器会将响应这些请求的进程进行队列，数据库服务器也同样如此，这样一来，正常请求将会被排在很后被处理，就象本来你去食堂吃饭时，一般只有不到十个人 在排队，今天前面却插了一千个人，那么轮到你的机会就很小很小了，这时就出现页面打开极其缓慢或者白屏。

什么是DDoS？DDoS是英文Distributed Denial of Service的缩写，意即"分布式拒绝服务",DDoS的中文名叫分布式拒绝服务***，俗称洪水***。

如 图所示，DDoS***将造成网络资源浪费、链路带宽堵塞、服务器资源耗尽而业务中断。这种***大多数是由***非法控制的电脑实施的。***非法控制一些电脑 之后，把这些电脑转变为由地下网络远程控制的“bots”，然后用这些电脑实施DDoS***。***还以每台为单位，低价出租这些用于***的电脑，真正拥 有这些电脑的主人并不知道自己的计算机已经被用来***别人。由于有数百万台电脑现在已经被***变成了“bots”，因此这种***将非常猛烈。被DDoS攻 击时的现象：

1.网络中充斥着大量的无用的数据包；

2.制造高流量无用数据，造成网络拥塞，使受害主机无法正常和外界通讯；

3.利用受害主机提供的服务或传输协议上的缺陷，反复高速的发出特定的服务请求，使受害主机无法及时处理所有正常请求；

***严重时会造成系统死机。

 

原文中有ip数据包的图，也可以参考网络的有关书籍。

一个TCP报头的标识（code bits）字段包含6个标志位：

SYN：标志位用来建立连接，让连接双方同步序列号。如果SYN＝1而ACK=0，则表示该数据包为连接请求，如果SYN=1而ACK=1则表示接受连接

FIN：表示发送端已经没有数据要求传输了，希望释放连接。

RST：用来复位一个连接。RST标志置位的数据包称为复位包。一般情况下，如果TCP收到的一个分段明显不是属于该主机上的任何一个连接，则向远端发送一个复位包。

URG：为紧急数据标志。如果它为1，表示本数据包中包含紧急数据。此时紧急数据指针有效。

ACK：为确认标志位。如果为1，表示包中的确认号时有效的。否则，包中的确认号无效。

PSH：如果置位，接收端应尽快把数据传送给应用层, 不必等缓冲区满再发送。

  DDoS***方式

SYN Flood***

差不多就是CC***；***者首先伪造地址对服务器发起SYN请求（我可以建立连接吗？），服务器就会回应一个ACK+SYN（可以+请确认）。而真实的IP会认为，我没 有发送请求，不作回应。服务器没有收到回应，会重试3-5次并且等待一个SYN Time（一般30秒-2分钟）后，丢弃这个连接。

如果***者大量发送这种伪造源地址的SYN请求，服务器端将会消耗非常多的资源来处理这种半连接，保存遍历会消耗非常多的CPU时间和内 存，何况还要不断对这个列表中的IP进行SYN+ACK的重试。最后的结果是服务器无暇理睬正常的连接请求—拒绝服务。在服务器上用netstat –an命令查看SYN_RECV状态的话，就可以看到大量的SYN_RECV状态在等待。

抓包情况：

可以看到大量的SYN包没有ACK回应。


ACK Flood***

ACK Flood***是在TCP连接建立之后，所有的数据传输TCP报文都是带有ACK标志位的，主机在接收到一个带有ACK标志位的数据包的时候，需要检查该 数据包所表示的连接四元组是否存在，如果存在则检查该数据包所表示的状态是否合法，然后再向应用层传递该数据包。如果在检查中发现该数据包不合法，例如该 数据包所指向的目的端口在本机并未开放，则主机操作系统协议栈会回应RST包告诉对方此端口不存在。

收到ACK数据包后，服务器要做两 个动作：查表、回应ACK/RST。这种***方式显然没有SYN Flood给服务器带来的冲击大，因此***者一定要用大流量ACK小包冲击才会对服务器造成影响。按照我们对TCP协议的理解，随机源IP的ACK小包应 该会被Server很快丢弃，因为在服务器的TCP堆栈中没有这些ACK包的状态信息。但是实际上通过测试，发现有一些TCP服务会对ACK Flood比较敏感，比如说JSP Server，在数量并不多的ACK小包的打击下，JSP Server就很难处理正常的连接请求。对于Apache或者IIS来说，10kpps的ACK Flood不构成危胁，但是更高数量的ACK Flood会造成服务器网卡中断频率过高，负载过重而停止响应。可以肯定的是，ACK Flood不但可以危害路由器等网络设备，而且对服务器上的应用有不小的影响。抓包：

如果没有开放端口，服务器将直接丢弃，这将会耗费服务器的CPU资源。如果端口开放，服务器回应RST。


UDP Flood***

UDP Flood是日渐猖厥的流量型DoS***，原理也很简单。常见的情况是利用大量UDP小包冲击DNS服务器或Radius认证服务器、流媒体视频服务器。 100k pps的UDP Flood经常将线路上的骨干设备例如防火墙打瘫，造成整个网段的瘫痪。由于UDP协议是一种无连接的服务，在UDP FLOOD***中，***者可发送大量伪造源IP地址的小UDP包。但是，由于UDP协议是无连接性的，所以只要开了一个UDP的端口提供相关服务的话，那 么就可针对相关的服务进行***。

正常应用情况下，UDP包双向流量会基本相等，而且大小和内容都是随机的，变化很大。出现UDP Flood的情况下，针对同一目标IP的UDP包在一侧大量出现，并且内容和大小都比较固定。

ICMP Flood 的***原理和ACK Flood原理类似，属于流量型的***方式，也是利用大的流量给服务器带来较大的负载，影响服务器的正常服务。由于目前很多防火墙直接过滤ICMP报文， 因此ICMP Flood出现的频度较低。比较下面两幅图，就应该可以看出是否有ICMP Flood***。

正常ICMP包：

大量包***的时候：

Connection Flood***

Connection Flood是典型的并且非常的有效的利用小流量冲击大带宽网络服务的***方式，

这种***的原理是利用真实的IP地址向服务器发起大量的连接，并且建立连接之后很长时间不释放，占用服务器的资源，造成服务器服务器上残余连接(WAIT状态)过多，效率降低，甚至资源耗尽，无法响应其他客户所发起的连接。

其中一种***方法是每秒钟向服务器发起大量的连接请求，这类似于固定源IP的SYN Flood***，不同的是采用了真实的源IP地址。通常这可以在防火墙上限制每个源IP地址每秒钟的连接数来达到防护目的。但现在已有工具采用慢速连接的 方式，也即几秒钟才和服务器建立一个连接，连接建立成功之后并不释放并定时发送垃圾数据包给服务器使连接得以长时间保持。这样一个IP地址就可以和服务器 建立成百上千的连接，而服务器可以承受的连接数是有限的，这就达到了拒绝服务的效果。

在受***的服务器上使用netstat –an来看，存在大量连接状态，来自少数的几个源。如果统计的话，可以看到连接数对比平时出现异常。并且增长到某一值之后开始波动，说明此时可能已经接近性能极限。因 此，对这种***的判断：在流量上体现并不大，甚至可能会很小；大量的ESTABLISH状态；新建的ESTABLISH状态总数有波动。

Connection Flood防护

主动清除残余连接。

对恶意连接的IP进行封禁。

限制每个源IP的连接数。

可以对特定的URL进行防护。

HTTP Get***

 

这种***主要是针对存在ASP、JSP、PHP、CGI等脚本程序，并调用MSSQLServer、MySQLServer、Oracle等数据库的网站 系统而设计的，特征是和服务器建立正常的TCP连接，并不断的向脚本程序提交查询、列表等大量耗费数据库资源的调用，典型的以小博大的***方法。一般来 说，提交一个GET或POST指令对客户端的耗费和带宽的占用是几乎可以忽略的，而服务器为处理此请求却可能要从上万条记录中去查出某个记录，这种处理过 程对资源的耗费是很大的，常见的数据库服务器很少能支持数百个查询指令同时执行，而这对于客户端来说却是轻而易举的，因此***者只需通过Proxy代理向 主机服务器大量递交查询指令，只需数分钟就会把服务器资源消耗掉而导致拒绝服务，常见的现象就是网站慢如蜗牛，主程序占用CPU偏高。

 

UDP DNS Query Flood***

 

UDP DNS Query Flood***采用的方法是向被***的服务器发送大量的域名解析请求，通常请求解析的域名是随机生成或者是网络世界上根本不存在的域名，被***的DNS 服务器在接收到域名解析请求的时候首先会在服务器上查找是否有对应的缓存，如果查找不到并且该域名无法直接由服务器解析的时候，DNS 服务器会向其上层DNS服务器递归查询域名信息。域名解析的过程给服务器带来了很大的负载，每秒钟域名解析请求超过一定的数量就会造成DNS服务器解析域名超时。