DoS - Esclarecimentos
T�pico: DoS - Esclarecimentos
9 DoS - Esclarecimentos
Resolvi postar este material sobre DoS, é antigo, mas muita gente pede esclarecimentos sobre o assunto.
Boa Leitura, e se puderem enriquecer o material seria legal.
[], ManagerOne
Ataques Distributed Denial of Service (DDoS) A partir da segunda medate de 1999, vários ataques conhecidos como Distributed Denial of Service (DDoS) foram reportados, mas apenas no início de 2000, com os problemas nos sites da CNN, eBay, ZDnet, E*Trade, Time Warner, Amazon e Yahoo, este tipo de ataque ganhou destaque. Este artigo apresenta como são implementados ataques DDoS e as maneiras de evita-los. Antes de entrar em detalhes sobre o ataque DDoS, vale relembrar o que vem a ser um Denial of Service (DoS). Um ataque do tipo DoS basicamente visa indispolibilizar os serviços oferecidos por algum servidor de rede, como Web, mail ou Domain Name Services (DNS). Indisponibilizar pode significar retirar totalmente o servidor de operação ou apenas deixa-lo lento, ao ponto do cliente abandonar o serviço devido ao tempo de resposta. Um ataque DoS ou DDoS não implica no site ser invadido, ou seja, as informações contidas no site não podendo ser roubadas, modificadas ou eliminadas. Os ataques DoS atuam nas fraquezas dos protocolos TCP/IP, sendo possível de ser implemetado em qualquer dispositivo que utilize este protocolo, como servidores, clientes e roteadores. Um exemplo comum de ataque DoS é TCP SYN Attack. De forma simplificada, toda vez que um cliente deseja iniciar uma conexão com um servidor, o cliente envia um pedido, utilizando o bit de SYN (sincronização) do pacote TCP. O servidor recebe o pacote e devolve um ACK para iniciar a conexão. A cada pedido gerado pelo cliente, o servidor aloca recursos internos, como memória, para poder atender a solicitação. Se um número muito grande de solicitações forem feitas, o servidor pode simplesmente parar ou ficar tão sobrecarregado que recuse novas conexões. Geralmente, o endereço de origem do cliente que solicita a conexão é forjado (spoofed) para tornar o ataque ainda mais efetivo e encobrir o seu autor. Além do TCP SYN Attack, existem vários outros ataques conhecidos do tipo DoS, como UDP Flood Attack, Smurfing e Fragging. Existe uma série de utilitários disponíveis na Internet que facilitam estes ataques, tornado-os bastante simples de serem implementados, inclusive por amadores. Um ataque Distributed DoS nada mais é que um ataque DoS em larga escala, utilizando uma dezena, centena ou milhares de sistemas ao mesmo tempo no ataque de um ou mais alvos. Este tipo de ataque é considerado como sendo de alto risco e de difícil defesa. Durante o ano de 1999, foram encontradas algumas ferramentas que automatizam os ataques DDoS, como TFN (Tribe Flood Network), Trinoo, stacheldraht (arame farpado em alemão) e o TFN2000 (TFN2K). Em agosto de 1999, as ferramentas TFN e Trinoo foram infiltradas em 27 máquinas da Universidade de Washington e utilizadas em um ataque de três dias a Universidade de Minnesota, juntamente com mais outras 200 máquinas infectadas. Enquanto o Trinoo foi utilizado para múltiplos ataques DoS do tipo UDP Flood, o TFN gerava diferentes tipos de ataques DoS, inclusive com endereços forjados (IP spoofing). Os ataques DDoS funcionam com base no modelo cliente/servidor. O(s) cracker(s) invade(m) um pequeno número de sistemas (três ou quatro) que passam a ser os servidores (ou masters). Um grande número de sistemas são infectados com uma ferramenta DDoS e passam a responder como clientes (ou deamons) aos masters. O invasor se comunica com os master que por sua vez enviam comandos para os clientes que finalmente lançam o ataque a um ou mais alvos. Os servidores e clientes podem estar espalhados por qualquer site na Internet e, apesar do Unix ser o sistema operacional mais infectado, não existe motivos para que os demais sistemas também sejam alvo de ataques. Recentemente foi encontrada versões de ferramentas DDoS para ambientes Windows, tornando qualquer usuário da Internet um potencial cliente. Geralmente os clientes invadidos são escolhidos em função de sua capacidade de comunicação. Quanto maior a conexão de rede, maior será o volume de pacotes gerados na vítima. Isto faz com que os grandes provedores de acesso sejam um alvo preferencial para servir de cliente. Como os sistemas comprometidos estão sob controle externo, existe uma grande dificuldade do administrator do site atacado responder ao DDoS. A melhor maneira de evitar ataques deste tipo é impedir que se tenha acesso aos servidores e clientes. As recomendações daqueles que já sofreram este tipo de ataque são: Impedir a instalação da ferramenta que realize o DDoS. Conheça as deficiências do seu sistema operacional (Unix, Windows etc.); Já existem algumas scanners que identificam ferramentas DDoS e alertam aos administradores; Verificar os log's; Desativar serviços que não sejam utilizados; Manter procedimentos de resposta aos ataques; Utilizar ferramentas de IDS (Intrision Detection System) que tenham a capacidade de identificar a comunicação entre servidores e clientes; Filtrar certos tipos de pacotes, principalmente com IP forjado. Estamos assistindo apenas ao começo de uma série de ataques que devem crescer em número e poder de ação. Cabe aos responsáveis pela segurança, estar atualizado sobre as novas modalidades de ataques e como responder a eles. Este artigo foi escrito por Luiz Paulo Maia e pode ser contatado pelo email: lpmaia@training.com.br Referências: CERT, Tips in Denial of Service http://www.cert.org/tech_tips/denial_of_service.html CERT Advisory CA-99-17, Denial-of-Service Tools. http://www.cert.org/advisories/CA-99...ice-tools.html CERT Incident Note IN-99-07, Distributed Denial of Service Tools. http://www.cert.org/incident_notes/IN-99-07.html Results of the Distributed-Systems Intruder Tools Workshop, CERT, Nov. 1999. http://www.cert.org/reports/dsit_workshop.pdf CERT Advisory CA-2000-01, Denial-of-Service Developments http://www.cert.org/advisories/CA-2000-01.html NATIONAL INFRASTRUCTURE PROTECTION CENTER, TRINOO/Tribal Flood Net/tfn2k. http://www.fbi.gov/nipc/trinoo.htm The "stacheldraht" distributed denial of service attack tool David Dittrich, University of Washington, Dez, 1999. http://staff.washington.edu/dittrich...draht.analysis Index of Distributed Attack Tools http://packetstorm.securify.com/distributed/ Denial of Service Attack using the trin00 and Tribe Flood Network programs ISS Security Alert, Dez., 1999. http://xforce.iss.net/alerts/advise40.php3 CERT Security Improvement Modules http://www.cert.org/security-improvement/ http://www.training.com.br/lpmaia/artigo_ddos.htm
�ltima edi��o por ManagerONE : 20/09/2006 �s 14:20
14 Re: DoS - Esclarecimentos
Originalmente enviado por ManagerONE
Al�m do TCP SYN Attack, existem v�rios outros ataques conhecidos do tipo DoS, como UDF Flood Attack, Smurfing e Fragging. Existe uma s�rie de utilit�rios dispon�veis na Internet que facilitam estes ataques, tornado-os bastante simples de serem implementados, inclusive por amadores. Um ataque Distributed DoS nada mais � que um ataque DoS em larga escala, utilizando uma dezena, centena ou milhares de sistemas ao mesmo tempo no ataque de um ou mais alvos. Este tipo de ataque � considerado como sendo de alto risco e de dif�cil defesa. So a agradecer oo ManagerOne por mais uma explana��o aos usuarios do forum, porem nao seria UDP flood?
Responder com cita��o 20/09/2006
9 Re: DoS - Esclarecimentos
So a agradecer oo ManagerOne por mais uma explana��o aos usuarios do forum, porem nao seria UDP flood?
Sim seria, estou editando e corrigindo o pr�prio post.
15 Re: DoS - Esclarecimentos
Exploit em GZIP pode levar a DoS e acesso ao sistema
http://www.istf.com.br/vb/showthread.php?p=36521
Sobre os ataques DOS -por favor leia Ol� ManagerONE, � um prazer poder "falar" com voc�, uma pessoa que demonstra ter um conhecimento bastante desenvolvido no mundo da inform�tica.
Eu estive lendo a not�cia, ou melhor dizendo, o texto que voc� colocou no ISTF, onde abordava o ataque DOS, mas preciso tirar algumas d�vidas com voc� e pe�o: por favor, n�o me trate mal como muitas pessoas aqui j� fizeram.Vou come�ar:
-O ataque ao qual voc� falou est� ou � feito atrav�s do prompt do DOS ?
-SE for, como isso pode ser feito?
-Meus amigos afirman que ataque e invas�es por meio do ms DOS utilizando ftp n�o s�o mais poss�veis.Isso � verdade ?
Por favor, se poss�vel eu gostaria de ter respostas, pois isso � de grande import�ncia para min.
Mas, afinal de contas, o que vem a ser um ataque de "nega��o de servi�o"? vamos fazer um analogia simples sobre ataques DOS, nas noites de natal e ano novo, quando milhares de pessoas decidem simultaneamente, cumprimentar � meia noite parentes e amigos, que encontram-se no Brasil e no exterior. Uns 5 minutos posteriores a virada do ano e na noite de natal provavelmente, voc� n�o conseguira completar a sua liga��o, pois as linhas telef�nicas estar�o saturadas, causando a indisponibilidade dos servi�os prestados pela companhia telef�nica.
� basicamente isso um ataque do tipo DOS(denial of service), seguindo esta linha de racioc�nio os ataques DDOS(distributed denial of service) s�o a uni�o entre nega��o de servi�o e intrus�o distribu�da.
Os personagens do ataque
Ao longo deste ataque o(s) atacante(s) usam m�ster, agente, cliente e daemom, para coordenar o ataque.
Atacante -> Quem comanda o ataque.
Master -> A m�quina que comanda os agentes e recebe as instru��es para realizar ataque.
Agente -> A m�quina que iniciara o ataque contra a(s) vitima(s).
Cliente -> Aplica��o instalada no master, que envia os comandos ao daemon.
Daemon -> Aplica��o que roda no agente, recebe e executa os comandos enviados pelo cliente.
V�tima -> Como pr�prio nome j� diz vitima � quem sofrer� o ataque, sendo infestada por uma quantidade gigantesca de pacotes, o que ira ocasionar congestionamento e a indisponibilidade dos servi�os oferecidos por ela.
As tr�s principais fases do ataque
1� fase: intrus�o em massa. nesta fase do ataque o atacante escolhe as vitimas(geralmente conex�es de banda larga), e faz um superscan de vulnerabilidades nelas, apos encontradas as vulnerabilidades, � criado uma lista com os IP's dessas m�quinas que foram invadidas e comprometidas, para serem usadas no ataque.
2� fase: instala��o das ferramentas DDOS, escolha dos masters e agentes. Ap�s invadida as m�quinas e instalados os programas DDOS � a hora de selecionar a fun��o de cada m�quina no ataque. A escolha sobre qual m�quina ser� usada como master e agente depender� do atacante. O perfil dos masters e agente depender� do atacante, mais geralmente o perfil dos masters e agente s�o m�quinas poucos manuseadas e pouco monitoradas pelo seu administrador j� os agentes s�o m�quinas r�pidas, � nos agentes que ser�o instalados o daemon DDOS que anunciara sua presen�a aos masters e ficara esperando os comandos, da� come�a a ser organizado o ataque, � instalado rootkits para tentar ocultar o comprometimento das m�quinas.
3� fase: iniciando o ataque. O atacante agora s� precisa controlar seu ou seus agentes e "mandarem" atacar o(s) IP(s) da(s) v�tima(s), por um per�odo de tempo determinado pelo atacante.
A figura mostrada abaixo ilustra um exemplo b�sico de ataque DDOS.
As ferramentas DDOS
Bom j� sabemos como � feito o ataque em si, mais faltou explicar o principal quais as ferramentas s�o usadas neste tipo de ataque e como detectar um ataque DDOS. a figura abaixo mostra algumas ferramentas:
Fabi Trank Shaft TFN Stacheldraht TFN2K Blitznet TRIN00 Visando sempre disseminar o conhecimento, veremos um pouco sobre as principais ferramentas usadas nestes tipos de ataque como trin00, stacheldraht, tfn e tfn2k.
Est� ferramenta foi desenvolvida em junho de 1990 e � usada para iniciar ataques DOS coordenados UDP. A estrutura de uma rede trin00 � formada por poucos masters e muitos agentes, a conex�o com os masters � estabelecida no protocolo TCP na porta 27655. logo depois de realizada a conex�o � pedida uma senha(que geralmente � "betaalmostdone"), os masters e os agentes se comunicam atrav�s de pacotes UDP na porta 27444 ou via TCP na porta 1524 � necess�rio uma senha para usar os comandos a senha default � "144adsl" e s� seram executados comandos com a substring "144". Assim que um daemon � ativado, ele automaticamente anuncia sua presen�a na rede enviando uma mensagem ("*hello*") aos masters que tem uma lista dos IP's dos agentes ativos. geralmente a aplica��o cliente que roda no master tem nome de master.c e os daemons geralmente tem o nome de ns, http, rpc, trin00, trinix, etc. Lembrando que os nomes podem ser facilmente modificados. OBS: tanto o cliente quanto o daemon podem ser iniciados sem privil�gios de root(superusu�rio).
O TFN ou trible flood network pode coordenar ataques a uma ou mais v�timas e pode ser iniciado de varias m�quinas ao mesmo tempo e podem gerar varios tipos de ataques como UDP flood, SYN flood, ICMP flood e Smurf/faggle. � poss�vel forjar o endere�o de origem dos pacotes enviados as v�timas, o que torna muito dif�cil para as v�timas identificar o atacante, a conex�o de um master TFN � feita atrav�s de linha de comandos executadas pela aplica��o cliente, a sua conex�o entre o atacante e o cliente pode ser estabelecida por m�todos de conex�o bem conhecidas como telnet, rsh, etc e n�o � necess�rio nenhum tipo de autentica��o o interessante nesse tipo de ataque � que algumas vers�es s�o usadas criptografias(do tipo blowfish) para ocultar o conte�do da lista dos IP's por�m n�o existe comunica��o TCP ou UDP entre os clientes e os daemons, a comunica��o � feita atrav�s de pacotes ICMP_ECHORELPY e os programas precisam ser executados com privil�gios de usu�rio root.
� uma vers�o mais sofisticada do seu antecessor o TFN e tamb�m dispara ataques dos tipos UDP flood, TCP flood, ICMP flood ou Smurf/faggle e os daemos podem ser instru�dos a alternarem aleatoriamente entre estes tipos de ataques. A comunica��o com o master pode ser feita atrav�s de pacotes TCP, UDP, ICMP ou aleatoriamente e entre os tr�s, os pacotes s�o criptografados usando o algoritmo CAST. A grande inova��o do TFN2K em rela��o ao seu antecessor e o fato desta ferramenta ser completamente "silenciosa", pois n�o existe ACK da recep��o dos comandos a comunica��o � unidirecional, os sistemas mais atacados s�o m�quinas Linux e Solaris, mais os c�digos fonte dessa ferramenta s�o abertos o que torna dif�cil sua identifica��o.
Esta poderosa ferramenta combina basicamente aspectos das ferramentas trin00 e TFN, com uma criptografia na comunica��o entre o atacante e seus masters e atualizando automaticamente os seus agentes. um aspecto muito interessante � que a atualiza��o dos bin�rios dos daemon executados nos agentes pode ser realizada instruindo os daemon a apagarem sua pr�pria imagem e substitu�-la por uma outra c�pia.
A comunica��o ocorre via servi�o rpc na porta 5146(porta TCP), os programas clientes desta ferramenta geralmente recebem o nome de mserv e os daemons laf, td, etc e ambos devem ser executados com privil�gios de usu�rios root. A conex�o � feita pela por telnet, mais nesta criptografados e se conecta na porta 16660 porta TCP.
So uma coisinha tambem... DOS <> DOS ..... Ou seja.....
Existe um S.O da microsoft chamado de DOS e existem ataques do tipo Dos DDos que significam Denial of service e Distribuited Denil of service.
E ainda pra acrescentar ao post do managerone temos ai tambem as ferramentas C4 (synflood) e udp.pl (script em perl para DOS sobre o protocolo UDP.)