典型DoS攻击原理及抵御措施（2）
来源：asp之家 发布时间：2009-09-19 20:15:00
二、何为 "trinoo"，如何抵御它?
trinoo 是复杂的 DDoS攻击程序，它使用“master”程序对实际实施攻击的任何数量的“代理”程序实现自动控制。攻击者连接到安装了master程序的计算机，启动master程序，然后根据一个IP地址的列表，由master程序负责启动所有的代理程序。接着，代理程序用UDP信息包冲击网络，从而攻击目标。在攻击之前，侵入者为了安装软件，已经控制了装有master程序的计算机和所有装有代理程序的计算机。
下面是trinoo DDoS 攻击的基本特性以及建议采用的抵御策略：
1、在master程序与代理程序的所有通讯中，trinoo都使用了UDP协议。入侵检测软件能够寻找使用UDP协议的数据流(类型17)。
2、Trinoo master程序的监听端口是27655，攻击者一般借助telnet通过TCP连接到master程序所在计算机。入侵检测软件能够搜索到使用TCP (类型6)并连接到端口27655的数据流。
3、所有从master程序到代理程序的通讯都包含字符串"l44"，并且被引导到代理的UDP 端口27444。入侵检测软件检查到UDP 端口27444的连接，如果有包含字符串l44的信息包被发送过去，那么接受这个信息包的计算机可能就是DDoS代理。
4、Master和代理之间通讯受到口令的保护，但是口令不是以加密格式发送的，因此它可以被“嗅探”到并被检测出来。使用这个口令以及来自Dave Dittrich的trinot脚本，要准确地验证出trinoo代理的存在是很可能的。
一旦一个代理被准确地识别出来，trinoo网络就可以安装如下步骤被拆除：
·在代理daemon上使用"strings"命令，将master的IP地址暴露出来。
·与所有作为trinoo master的机器管理者联系，通知它们这一事件。
·在master计算机上，识别含有 * 地址列表的文件(默认名"...")，得到这些计算机的IP地址列表。
·向代理发送一个伪造"trinoo"命令来禁止代理。通过crontab 文件(在UNIX系统中)的一个条目，代理可以有规律地重新启动，因此，代理计算机需要一遍一遍地被关闭，直到代理系统的管理者修复了crontab文件为止。
·检查master程序的活动TCP连接，这能显示攻击者与trinoo master程序之间存在的实时连接。
·如果网络正在遭受trinoo攻击，那么系统就会被UDP 信息包所淹没。Trinoo从同一源地址向目标主机上的任意端口发送信息包。探测trinoo就是要找到多个UDP信息包，它们使用同一来源IP地址、同一目的IP地址、同一源端口，但是不同的目的端口。
0
投稿猜你喜欢
- 在上周的SharePoint大会上微软首席执行官Steven Ballmer曾宣布，SharePoint Server 2010和Offic
- 注：这是从PHPCMS开发文档里看到编码规范，虽名为PHPCMS的开发规范，但我觉得所有的PHP编程都该如此。写了那么多PHP，很多编码对照
- 2001年到2003年，亚洲交友中心的免费会员女2美金男1美金，各类的点击冲浪邮件等赚钱联盟数不胜数，那时候可以说就是个拣美金的时代。03年
- 11月26日消息，据国外媒体报道，微软公司和eBay今天宣布，双方将进行合作，通过新的Internet Explorer 8 （IE 8）
- 负载均衡是由多台服务器以对称的方式组成一个服务器集合，每台服务器都具有等价的地位，都可以单独对外提供服务而无须其他服务器的辅助。通过某种负载
DNS简单地说，就是Domain Name System(域名系统)。在一个以TCP/IP协议为主的网络环境中，DNS是一个非常重要而且常用- 相信很多人对如何提高自己网站流量是很头痛的吧，整天都在网上寻找有没有好的方法，其实提高流量最好的方法就是宣传加宣传，但怎么宣传，就看你选不选
- IXWebHosting怎么样？自从IXWebHosting中文网站上线以后就有人不断的发邮件问我这个问题，但是要简单的回复这个问题却不容易
- 我们先来看看iisapp的一些参数iisapp -a pid可以查出对应的域名反之 iisapp -p domain 查pid的语法iisa
- 1、传统媒体的运用在现阶段的中国，传统媒体宣传的影响力仍然远大于网络，特别是对于面向国内的站点，电视、报纸、杂志等这些媒体的效应可以说是立竿
- 这博客也好久没有来写文章了!因为把网站的新闻交给了别人来做，我每天都把主要精力放在了探搜“搜索引擎的排名&rdq
- 执着就是做网站要不怕困难，坚持到底。网站发展过程中可能遇到资金紧张、对手竞争、黑客攻击等各种各样的困难。但我相信，有一种执着的精神，有不畏艰
- 当前虚拟主机主要分为三类限制：一、流量限制：就是直接限制网络流量，这种限制通常是最严厉的一种限制，10个G的流量大体支持50人在线以内。当月
- 这个问题我们做SEO都是很关心的，每个SEO都想知道。但收录量不是一天就能提嵩的，这是要靠每天的坚持，坚持更新网站。把网站更新做为自己每天的
- 近期关于网站动态好还是静态好的的问题又重新被提起，最近似乎出现一种极不合众的声音，有人说搜索引擎现在对动态页面更友好。相信那些SEO思想还停
- Sendmail作为免费的邮件服务器软件，已被广泛应用于Internet各种操作系统的服务器中。如：Solaris，HPUX，AIX，IRI
- Linux是一个多用户的系统，一旦人家取得你的root用户之后，他就可以在你的系统上为所欲为了，由于单用户对系统有完全的控制权限，如果操作不
- 错误思路：等做大了再想如何赚钱，因为三大门户、百度等知名网站都是这么走过来的!你思考过这些问题没有：1、和这些成功网站同时期走相同路的倒下的
- 目前的视频网站，无疑站在一个十字路口。一方面是视频受众群体的增长，视频内容的不断扩充。另一方面是尚未明晰的政策，版权的重压。在尚未盈利，即将
- 几乎还没有在心理上准备好，一下子就成了身价近十亿美元的富翁。李彦宏看着在纳斯达克飙升的股价，没有流泪，但是当他拨通了百度公司第一位员工——百
