SSL压力测试工具--thc-ssl-dos

       昨天学习kali系统的一些工具的使用时，发现一个基于TCP协议的攻击的工具，感觉挺有意思的，就自己试了下，利用这个工具攻击自己的物理机，果然发现资源一直在利用，所以把过程写下来，供大家学习。

thc-ssl-dos工具介绍：

       SSL广泛应用安全加密和认证领域，如HTTPS、POP等服务。使用SSL，会加重服务器的负担。例如，在协商阶段，服务器的CPU开销是客户端的15倍。Kali Linux提供一款针对SSL的压力测试工具THC-SSL-DOS。该工具默认会同服务器建立400个SSL连接，并且快速进行重新协商Renegotiations，以达到大量消耗服务器CPU资源的目的。该工具目前只针对开启重新协商功能的服务器，所以只要关闭该功能，就可以抵御该工具的攻击。  

       德国黑客组织“The Hacker’s Choice”发布了工具THC SSL DOS,与传统DDoS工具不同的是,只需要一台执行单一攻击的电脑就能迅速消耗服务器资源,造成服务器拒绝服务。 这个攻击方式的本质是消耗服务器的CPU资源,在协商加密算法的时候服务器CPU的开销是客户端的 15 倍左右。而Renegotiating机制让攻击者可以在一个TCP连接中不停的快速重新协商,如果建立多个连接则服务端的压力更为可怕,而且这种攻击建立的连接数很少导致难以被察觉。从漏洞形成原因中,我们看到 Renegotiating机制可以让攻击者在一个TCP连接中不停的快速重新协商,由此可知,我们可以通过禁用Renegotiating机制来实现延缓此类拒绝攻击。但是其只能相对延缓,仍然不能彻底解决问题。如果通过客户端模拟多次请求连接,则依然会出现服务器端消耗资源过大的情况。由于德国黑客组织提供的工具THC SSL DOS目前只针对Renegotiations  Enabled的情况。

实例分析：

实验准备：kali2.0操作系统、目标主机（192.168.xx.xxx）

打开终端，在终端输入命令”thc-ssl-dos -l 10 192.168.xx.xxx  --accept”进行泛洪攻击，因为利用的是TCP协议，默认攻击的是443端口，结果如下：

在终端输入wireshark，启动wireshark抓包

打开目标主机任务管理器，查看CPU使用率

在目标主机命令窗口输入netstat -an,查看主机在使用的端口

       可见，利用thc-ssl-dos工具对目标主机进行攻击，可以消耗服务器资源,造成服务器拒绝服务，其危害也是很大的，浪费目标主机的资源，使其无法正常通信。

解决办法：

我现在只知道一种方法，就是关闭443端口，等以后了解更多了再来补充。