1、厦门大学 本科生毕业论文 I 发现拒绝服务攻击路径的反向追踪算法 摘 要 IP协议中最脆弱的策略就是让源主机自己填写源 IP 地址，并且在 TCP/IP 协议中也没有提供一种机制来验证源 IP 地址的真实性。因此，虚假源 IP 地址数据包的源路径追踪问题成了网络安全中最难解决的问题之一。研究人员提出了各种各样的技术以期解决该问题，但是至今为止并没有一个系统能有效的追踪到某个特定数据包的源，也不能确定攻击者的物理位置。 IP协议本身无法验证源地址段中的 IP 地址是发送者的 IP 地址。一台机器可以在一段时间内将自己伪装成另一台机器甚至路由器。在对付网 络攻击的各种解决办法中， IP 追踪技术是
2、有效解决网络系统安全必不可少的手段，在主动防御中有重要作用。 本文给出了两种 IP 路由追踪算法并且进行了比较。并且针对拒绝服务攻击，本文介绍了几种发现拒绝服务攻击路径的反向追踪算法。针对每一种算法给出了其相应的原理和优缺点。并在总体上，对这些算法的实现难度、效果进行了比较。 关键词 ：拒绝服务攻击；虚假 IP； IP 追踪；路由 厦门大学 本科生毕业论文 II Abstract The weakest strategy of IP protocol is to make source host fill in the original IP address all by itself. Mo
3、reover, it does not provide a mechanism to confirm the authenticity of the original IP address in TCP/IP protocol. Therefore, tracking the source route of the source IP address false packet will become one of the most difficult problems in internet security. Researchers have provided various kinds o
4、f technique to solve this problem. However, so far, there is no system that can track the source of certain data effectively. IP protocol itself can not confirm that IP address in the source address is the senders IP address. In a certain period, one machine can camouflage itself into another machin
5、e, or even a router. Among the many solutions of dealing with internet attack, IP tracking technique is an indispensable means to protect the internet security effectively, and it plays a significant role in active defense. This paper provides two kinds of IP route algorithm for tracking and makes a
6、 comparison between the two. As for the Denial of Service, the paper introduces several ways to discover the traceback algorithms of the Denial-of-Service Attack. The paper also shows the corresponding principles, advantages and disadvantages. In addition, it makes comparison among these algorithms
7、in terms of the extent of actualization and effect. Keywords: Denial of Service； Spoof IP； IP Traceback； Route 厦门大学 本科生毕业论文 I 目录 第一章 绪论 . 1 1.1 IP 源路径追踪问题的产生 . 1 1.2 国内研究现状 . 2 1.3 本次毕业设计所做的工作和论文结构 . 2 第二章 技术简介 . 3 2.1 拒绝服务（ DOS）攻击 . 3 2.2 IP 追踪路由策略 . 4 2.2.1 链路测试 . 4 2.2.1.1 输入测试 . 5 2.2.1.2 有控制淹没
8、. 5 2.2.1.3 数据包记录 . 6 2.2.2 数据包记录技术 . 6 2.2.2.1 节点附加 . 7 2.2.2.2 节点采样 . 7 2.2.2.3 边采样 . 9 2.2.3 利用 ICMP 协议 . 11 2.3 SNMP 介绍 . 12 第三章 IP 源路由追踪 . 15 3.1 路由追踪的基本方法 . 15 3.1.1 通过 IP 首部路 由选项字段记录路由 . 15 3.1.2 通过 IP 首部 TTL 字段获取路由 . 17 3.2 路由追踪的实现 . 18 3.2.1 通过 UDP 数据报 . 18 3.2.2 通过 ICMP 报文 . 18 第四章 通过 ICMP
9、 报文实现路由追踪 . 21 4.1 协议原理 . 21 厦门大学 本科生毕业论文 II 4.1.1 回送或回送响应 . 21 4.1.2 超时报文 . 23 4.1.3 目标主机不可达报文 . 24 4.2 路由追踪的实现方法 . 25 4.3 程序实现 . 25 第五章 总结与展望 . 27 5.1 工作总结 . 27 5.2 工作展望 . 27 致 谢 . 28 参考文献 . 29 附录 . 30 厦门大学 本科生毕业论文 III Contents Chapter 1 Introduction .1 1.1 Generation of tracking IP source route .
10、1 1.2 Current research situation .2 1.3 Overview of project and thesis stucture .2 Chapter 2 Introduction of technics .3 2.1 DOS attack .3 2.2 Strategies of tracking IP route . . 4 2.2.1 Link-path test .4 2.2.1.1 Input test .5 2.2.1.2 Controlled flood .5 2.2.1.3 Data packet record .6 2.2.2 Technic o
11、f data packet record .6 2.2.2.1 Node addition .7 2.2.2.2 Node sampling.7 2.2.2.3 Edge sampling .9 2.2.3 Using ICMP protocal . 11 2.3 Introduction of ICMP .12 Chapter 3 Tracking of IP souce route.15 3.1 Basic methods of tracking route .15 3.1.1 Record route by optional part of IP header .15 3.1.2 Obt
12、aining route by TTL of IP header.17 3.2 Implementaion of tracking route .18 3.2.1 Using UDP datagram .18 3.2.2 Using ICMP message .18 Chapter 4 Implementation of route tracking by ICMP .21 厦门大学 本科生毕业论文 IV 4.1 Principle of protocal.21 4.1.1 Echo-replay or echo-response .21 4.1.2 Time-exceeded message
13、 .23 4.1.3 Unreachable target host message.24 4.2 Methods of implement route tracking.25 4.3 Implement program .25 Chapter 5 Summary and the future.27 5.1 Summary of project .27 5.2 Future of project .27 Acknowledgements .28 References.29 Supplement .30 厦门大学 本科生毕业论文 1 第一章 绪论 1.1 IP源路径追踪问题的产生 随着计算机网络
14、技术的发展和 Internet/Intranet 用户数量的激增，网络已深入到社会的各个领域，人类社会各种活动对信息网络的依赖程度已经越来越大。然而，当今 Internet 的基础结构本身很容易被恶意利用和攻击。 ,从隐蔽的开发程序的交换到公开发表的脆弱性评估软件、降低网络性能或甚至使虚拟网络服务瘫痪的软件，各种各样的黑客工具随意可得。这些情况造成了极其严重的后果并且越演越烈，最近站点遭受攻击的各种报道屡见不鲜。 拒绝服务攻击（ DOS）是目前黑客最常采用而难以防范的攻击方法之一，要使用最小的资源来达到拒绝服务攻击的目的，攻击者往往使用虚假的源 地址，例如 Smurf， Fraggle， SY
15、N-Flood 等经典的 DOS 攻击程序。当前最流行的 DOS 攻击实例是 SYN-Flood 攻击，它利用了 TCP/IP 协议的固有漏洞，在建立 TCP 连接时使用虚假的源地址，使受攻击者维持大连的半连接状态而耗尽其网络资源，最终导致其无法处理客户的正常请求。有时黑客们为了提高攻击效果，会联合多个攻击点一起向受害者发送攻击数据包，这就是分布式拒绝服务攻击（ DDOS）。根据CERT（ Computer Emergency Resnonse Team）的统计，拒绝服务攻击的发生率在近几年 有明显的增加。 2000 年 2 月，包括 yahoo 在内的多家大型网站被中断数小时，事后证明黑客采
16、用的正是 DDOS。 对于各类网络攻击，要迅速的解决问题，找到攻击源现在是至关重要的，同时这也利于法律部门追究其相关责任。然而，要准确的确定一个数据包的源却非常的困难。 IP 协议中最脆弱的策略就是让源主机自己填写源 IP 地址，并且在TCP/IP 协议中也没有提供一种机制来验证源 IP地址的真实性， 还有，网络路由在无状态性和基于目标地址性，都给攻击者以可乘之机。一个作风优良的黑客，在实施攻击时往往掩藏攻击主机的真实地址（包括 MAC 地址和 IP 地址）来逃避追踪。 厦门大学 本科生毕业论文 2 1.2 国内研究现状 在因特网安全领域，追踪 DOS 攻击的源属于非常困难的问题之一。目前国内
17、对于源路由追踪的研究较少，国外的研究则集中在数据包的攻击路由追踪算法方面，主要分数据包标记和路由器记录两大类。数据包标记算法的策略有很多有基于概率统计的节点取样策略、边缘取样策略，以及对于通用类型的数据包标记协议的讨论。路由器记录类主要有 Alex C. Snoeren 等提出的基于散列摘要的 IP追踪算法。还有的学者提出重叠网络的概念，为路由器建立一个副本路由器专门用于追踪。但是，源路由追 踪的相关标准或协议尚未形成。 对于局域网内虚假源地址数据包的追踪，国内外对其专门的研究则处于空白，现有的都是局域网管理方面的研究工作。 1.3 本次毕业设计所做的工作和论文结构 论文的工作是围绕着虚假源
18、IP 攻击数据包的追踪问题展开的，研究了局域网部分的源路径追踪问题。文中分别提出了两部分的追踪算法和策略，并给出了相关设计和分析，还实现了一个局域网源路径追踪系统。 第二章首先介绍了各种 DOS 攻击的原理和特点。接着介绍了现有的源路由追踪算法和策略，主要有数据包记录、数据包标记、路由器入口过滤、 ICMP 追 踪报文等算法和策略。最后还介绍了 SNMP 的基础知识，文中提出的追踪方法和策略根该项技术相关。第三章详细给出了 IP 源路由追踪系统的基本方法和实现，主要给出了通过 IP 首部 TTL 字段获取路由等关键策略。 第四章就第三章介绍的IP 路由追踪算法给出一个简单的实现。论文最后是对所
19、做的工作的总结和对将来工作的展望。 厦门大学 本科生毕业论文 3 第二章 技术简介 本章首先介绍了各种 DOS 攻击的原理和特点。接着介绍了现有的源路由追踪算法和策略，主要有数据包记录、数据包标记、路由器入口过滤、 ICMP 追踪报文的算法和策略。最后还介绍了 SNMP 的基础知识，文中提出的追踪方法和策略跟该这项技术比较相关。 2.1 拒绝服务（ DOS）攻击 2002 年，互联网的核心，位于美国、瑞典、英国和日本的 13 台负责互联网数据传输重任的根服务器遭到来历不明的网络攻击，其中 9台根服务器因遭受攻击而陷入瘫痪，造成服务中断 1 小时，这次事件再次提醒人们： DOS 和 DDOS 仍
20、然是网络的头号威胁。拒绝服务攻击 DOS（ Denial of Service）广义上可以指任何导致你的服务器不能正常提供服务的攻击。 DOS 攻击由于攻击简单、容易达到目的、难于防止和追查，使之越来 越成为最常见的攻击方式。 具体 DOS 攻击方法很多，基本上可以分为以下三类： （ 1）利用软件实现的缺陷 一般来说，软件都会有漏洞存在，由于软件无法处理某些特定类型的报文或请求，导致软件崩溃甚至系统崩溃。这类攻击正是利用其漏洞完成 DOS 攻击，比较出名的有 00B 攻击（常用工具： winnuke）， teardrop 攻击（常用工具：teardrop.cboink.c honk.c）， l
21、and 攻击， ICMP 碎片包攻击， jolt 攻击， Cisco 2600 路由器 105version 12.0（ 10）远程拒绝服务攻击等等。通 常这些攻击工具向被攻击系统发送特定类型的一个或多个报文；这些攻击通常都是致命的，一般都是一击致命，而且很多攻击是可以伪造源地址的，所以即使通过 IDS 或者别的sniffer 软件记录了攻击报文也不能找到是谁发动的攻击，而且此类型的攻击多是特定类型的几个报文，非常短暂的少量的报文，如果使用虚假源 IP 地址的话，要追查几乎是不可能的。 这种攻击的威力很大，但相关厂商在最短的时间内推出补丁程序，只要及时的升级就可以使系统免受攻击。 （ 2）利用
22、协议的漏洞 厦门大学 本科生毕业论文 4 这类攻击的生存能力非常强，为了能够在网络上进行互通、互联、所有的 软件实现都必须遵循既有的协议，而如果这种协议存在漏洞的话，所有遵循此协议的软件都会受到影响。 最经典的攻击是 synflood 攻击，它利用 TCP/IP 协议的漏洞完成攻击。通常一次 TCP 连接的建立包括 3 个步骤，客户端发送 SYN 包给服务器端，服务器分配一定的资源给这次连接并返回 SYN/ACK 包，接着等待连接建立的 ACK 包，最后客户端发送 ACK 报文，这样两者之间的连接建立起来，并可以通过连接传送数据了。而攻击的过程就是使用虚假的源地址疯狂发送 SYN 报文，服务器
23、收到请求后返回SYN/ACK 包给那个虚假的源地址，由于 该地址为假，服务器永远等不到返回 ACK报文，服务器占用过多资源，而导致系统资源占用过多，没有能力响应别的操作，或者不能响应正常的网络请求。这个攻击是经典的以小搏大的攻击，自己使用少量资源占用对方大量资源。加入攻击发动此类 DDOS 攻击，可以在很短的时间内使服务器瘫痪。 （ 3）进行资源比拼 这种攻击方式属于无赖打法，凭借着手中的资源丰富，发送大量的垃圾数据侵占完 资源，导致 DOS。比如， ICMP flood， mstream flood， Connection flood。为了获得比目标系统更多资源，通常攻击者会发 动 DDOS（ Distributed DOS 分布式拒绝服务攻击）攻击者控制多个攻击傀儡发动攻击，这样才能产生预期的效果。前两类攻击是可以伪造 IP 地址的，追查也是非常困难，这种攻击由于需要建立连接，可能会暴露攻击傀儡的 IP地址，通过防火墙禁止这类 IP 就可以了。 2.2 IP追踪路由策略 由于 IP 协议的先天不足，无法在源网络端完全验证源 IP，因此需要路由器在转发数据包的过程中作一些操作。目前路由策略主要分为数据包记录和数据包标记两大关，都需要路由器完成一定的动作。这些策略的思路和优缺点如下： 2.2.1 链路测试 原理：链路测试的思路是，从最接近受害者的路由器开始，测试其上游所有
