ddos攻击web服务环境的虚拟.docx

DDoS 攻击 Web 服务环境的虚拟

摘要

分布式拒绝服务(DDoS)攻击是当今网络安全领域最难解决的问题之一。其中重要的原

因在于网络上大量不安全的机器的存在，其次是 DDoS 攻击工具的广泛可获得性以及攻击

者通常采用假冒的源 IP 地址。对于大型的网络来说，拒绝服务攻击很可能会给企业造成巨

大的麻烦，甚至造成企业网络的瘫痪。攻击发生时，攻击者短时间内向服务器申请大量的

连接，造成服务器无法完成如此多的客户端连接请求，从而无法提供服务。因此，研究 DDoS

攻击及其对策是非常重要的。

本文分析了 DDoS 攻击的攻击机制，攻击方法，常用 DDoS 攻击类型等，并在 web 服

Abstract

DDoS attack is one of the most difficult problems in network security field. The most

important reason is the being of many unsafe machines in network. DDoS attack tools abroad

achieved and attack usually adopt cronk IP address. For large network, DDoS attacks are likely

to give companies a huge trouble, and even caused the paralysis of the corporate network. When

attack, the attacker to the server for a short period of time a large number of connections, causing

the server could not be completed so many client requests, thus unable to provide services. So,

research the DDoS attack and countermeasure is very important.

This article analyses DDoS attack’s mechanism, method and the type that in common use.

Also, we add the admission controller on the web server and successfully configures the most

Keywords：Distributed Deny of Service; web server; admission controller; seesion control

目录

1.概述 ..............................................................................................................................................1

1.1 研究背景和意义 ................................................................................................................1

1.2 DDoS 攻击的研究现状 .....................................................................................................1

1.3 DDoS 攻击的防御对策研究现状 .....................................................................................2

1.3.2 当前 session control 机制研究状况 .......................................................................3

1.4 本文主要工作 ....................................................................................................................4

1.5 论文的组织结构 ................................................................................................................4

2.分布式拒绝服务攻击研究 ..........................................................................................................4

2.2.2 风暴型攻击 .............................................................................................................8

2.3 攻击工具的分析 ..............................................................................................................10

2.4 本课题采用的攻击工具 ..................................................................................................12

3.web 服务器的搭建.....................................................................................................................13

3.1 web 服务器的选择...........................................................................................................13

3.2 web 服务器的开发...........................................................................................................13

3.2.1 理论上的推导 ........................................................................................................13

3.2.2 数值上的分析 .......................................................................................................14

3.2.3 程序开发 ...............................................................................................................16

3.2.4 实验结果 ...............................................................................................................18

4.3 Asymmetric Workload Attack..........................................................................................22

4.4 Repeated One-Shot Attack ...............................................................................................22

4.5 实验结果 .........................................................................................................................22

4.6 本章总结 .........................................................................................................................23

5.结束语 ........................................................................................................................................23

致谢 ...............................................................................................................................................24

击方式，它借助于互联网上数以万计的被植入主控或守护进程的攻击主机，对目标同时发

起大规模攻击，从而达到瘫痪目标服务器的目的。

DDoS 攻击最早出现在 1999 年夏天

，当时只是在黑客站点上进行的一种理论上的探

讨。到 2000 年 2 月，Yahoo、Buy.com、Ebay、CNN 等美国一些知名网站均遭受到 DDoS

攻击，在短短几天之内，致使有的站点停止服务达几个小时甚至几十个小时，据统计所造

成的经济损失可能在 12 亿美元以上。此后，DDoS 攻击便频频爆发。2002 年 1 月，grc.com

网站被一种更先进的恶意洪水数据包攻击，这种攻击被称之为分布式反射服务攻击(DRDoS，

Distributed Reflection Denial of Service)

。2002 年 10 月，位于美国、瑞典、英国、日本等

上述攻击案例表明我们的网络环境依然恶劣，网络上采用 DDoS 方法的攻击破坏活动

异常猖獗，DDoS 攻击已经成为互联网面临的最为严重的威胁之一。一方面，DDoS 攻击

由于实现简单、难于防范和破坏性极大

而被广泛应用；另一方面，国内外研究人员提出

的诸多防御方法

中，很少能够及时阻止正在进行的攻击并快速有效地确定攻击源。

由此可见，切实可行地解决 DDoS 攻击防御问题显得尤为迫切。

由于当前的互联网仍然是基于 TCP/IP 协议的，而且 TCP/IP 协议在制定时并没有考虑

安全因素，因此存在很多安全漏洞：源 IP 地址可以任意改变、无限制的 SYN 连接以及缺

鉴于此，Park 和 Lee

Protocol)信息来识别源 IP 地址伪造报文，实验结果显示：只要在 18%的 Internet 核心路由

器上部署该机制，就能较有效地防范 DDoS 攻击，然而该方案的部署仍然存在较大困难。

2003 年 Abraham Yaar

息植入每一个包中(通过相同路径的每一个包具有相同的标识信息)，使得受害者能据此识

别来自网络的每一个包，不管其源址是否为欺骗 IP。当存在有数以千计的攻击者参与的大

规模 DDoS 攻击时，该方案运行良好，即使在网络中只有一半路由器部署了该方案，防御

也是很有效的，但是，当攻击路径被识别出来后，受害者必须得信赖上一跳路由器来执行

贝尔实验室的 Bellovin

提出在路由中使用 ICMP Traceback Messages，用于追踪真正的

攻击源。该方案要求路由器额外地向报文的目的 IP 地址发送 ICMP Traceback Messages，

从而使接收方能够重建攻击流的路径。同年，Barros

对该方案做了改进，以适用于反射式

DDoS 攻击情况

。

在目前的互联网，拥塞控制还在包级的水平。还没有机制来防止积聚了大量的数据流

进入路由器。现有的拥塞控制机制在路由器与来源回路之间采用丢包的方法来控制发送的

数据包数量迈向一个拥挤的路由器连接。他们既不是防止大量数据流进入，也不阻止新的

流来加入该网络，并进一步增加挤塞的情况。由于这种不平衡现象，当有大量数据包流入

到网络中，每个流获得非常少的带宽，并长时间停留在该网络中。这伤害了流完成时间的

弹性应用和交互性的流媒体应用。由于增加了数据包的丢包率，他们在公平的分享中进一

2．没有推测的通信量(或流量)的分布，假设没有来袭流的表征(例如使用令牌桶参数，

峰值速度等)的需要。

3．会话控制机制的计划是稳健地变化，无论是突发性还是渐进性。

4．在最坏的情况下，在没有任何会话控制的情况下性能不降解到低于所得。

按照传统，过载控制，是通过比较一种或多种系统或网络负载对一个或多个指定荷载