转载请注明出自linuxeden.comRoc.Ken@2005-10-26cc(ChallengeCollapsar) 攻击简述:攻击者借助代理服务器生成指向受害主机的合法请求,实现DOS,和伪装.有关cc的详细资料它的源码包中有详细的介绍.在这次的测试中,使用了六台匿名代理服务器,对 202.202.202.202 上的测试环境进行攻击,使用的代理服务器；207.68.98.5:8080211.238.165.163:80211.101.6.3:808061.178.185.56:8061.180.161.248:80219.149.233.179:8080—————————————————————–**************** Web attrack **************************—————————————————————–Thread数设置为400；攻击稳定之后，在202.202.202.202建起的连接有420个发起攻击 20秒 之后，系统负载上升到15，后稳在12左右——- 攻击地址 ————————————————-?addr_type=1?addr_type=2=Last%20ICMP————————————————————————202.202.202.202上 top 的典型结果 ——————————12748 root 6 0 4676 4672 4320 S 99.9 0.2 1:18 1 httpd21048 mysql 9 0 25484 24M 1928 S 99.9 1.2 1:03 0 mysqld16356 cax 14 0 2052 2052 828 R 21.4 0.0 0:11 0 top16370 root 9 0 3020 972 748 D 3.3 0.0 0:01 1 snort10 root 9 0 0 0 0 SW 0.4 0.0 0:02 1 kjournald1 root 8 0 504 504 456 S 0.0 0.0 0:04 0 init2 root 9 0 0 0 0 SW 0.0 0.0 0:00 0 keventd———————————————————————–攻击发起者的网络流量（已达到2M电信网络的最大值）—————–(ppp0+sit0+vmnet1+vmnet8+eth0)* input * outputtime kbytes packets Merrs kbytes packets Merrs colls23:18:45 342 1060 0 80 1129 0 023:18:46 316 1047 0 82 1149 0 023:18:47 337 1038 0 77 1104 0 023:18:48 256 937 0 73 1026 0 023:18:49 273 893 0 64 948 0 023:18:50 247 910 0 73 992 0 023:18:51 345 1000 0 68 1062 0 0——————————————————————IDS中基本没有记录,除了源IP地址外,从数据报头看不到明显的特征;从9.80上返回的数据包头部Window字段超过80%的为 0x1920即6432.数据包的数据段内容有:
代码:——- web 攻击时一个完整的连接建立过程,和请求时的数据段———————211.101.6.3:31952 -> 202.202.202.202:8086 TCP TTL:117 TOS:0x0 ID:60213 IpLen:20 DgmLen:48 DF******S* Seq: 0x487F9CDA Ack: 0x0 Win: 0xFFFF TcpLen: 28TCP Options (4) => MSS: 1380 NOP NOP SackOK=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+10/25-23:12:23.151831 0:12:3F:24:C1:84 -> 0:13:1A:4F:81:40 type:0x800 len:0x3E202.202.202.202:8086 -> 211.101.6.3:31952 TCP TTL:64 TOS:0x0 ID:0 IpLen:20 DgmLen:48 DF***A**S* Seq: 0xF5DB9C77 Ack: 0x487F9CDB Win: 0x16D0 TcpLen: 28TCP Options (4) => MSS: 1460 NOP NOP SackOK=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+10/25-23:12:23.185910 0:13:1A:4F:81:40 -> 0:12:3F:24:C1:84 type:0x800 len:0x3C211.101.6.3:31952 -> 202.202.202.202:8086 TCP TTL:117 TOS:0x0 ID:60225 IpLen:20 DgmLen:40 DF***A**** Seq: 0x487F9CDB Ack: 0xF5DB9C78 Win: 0xFFFF TcpLen: 20=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+10/25-23:12:23.187659 0:13:1A:4F:81:40 -> 0:12:3F:24:C1:84 type:0x800 len:0x19E211.101.6.3:31952 -> 202.202.202.202:8086 TCP TTL:117 TOS:0x0 ID:60226 IpLen:20 DgmLen:400 DF***AP*** Seq: 0x487F9CDB Ack: 0xF5DB9C78 Win: 0xFFFF TcpLen: 2047 45 54 20 2F 31 37 2F 61 63 69 64 5F 71 72 79 GET ….acid_qry5F 6D 61 69 6E 2E 70 68 70 3F 6E 65 77 3D 31 26 _main.php?new=1&6C 61 79 65 72 34 3D 49 43 4D 50 26 63 61 6C 6C layer4=ICMP&call65 72 3D 6C 61 73 74 5F 69 63 6D 70 26 6E 75 6D er=last_icmp&num5F 72 65 73 75 6C 74 5F 72 6F 77 73 3D 2D 31 26 _result_rows=-1&73 75 62 6D 69 74 3D 4C 61 73 74 25 32 30 49 43 submit=Last%20IC4D 50 20 48 54 54 50 2F 31 2E 30 0D 0A 56 69 61 MP HTTP/1.0..Via3A 20 31 2E 31 20 50 52 4F 58 59 0D 0A 55 73 65 : 1.1 PROXY..Use 202.202.202.202 Raw IP———————————————————————-抓包之后从数据包头部看不到明显的特征.代码——- 攻击 smtp 时一个完整的连接建立过程,和请求时的数据段———————=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+10/26-00:46:33.331445 0:13:1A:4F:81:40 -> 0:12:3F:24:C1:84 type:0x800 len:0x4A211.238.165.163:46854 -> 202.202.202.202:25 TCP TTL:52 TOS:0x0 ID:7533 IpLen:20 DgmLen:60 DF******S* Seq: 0xFD17D0C8 Ack: 0x0 Win: 0x16D0 TcpLen: 40TCP Options (5) => MSS: 1460 SackOK TS: 904613 0 NOP WS: 0=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+10/26-00:46:33.331456 0:12:3F:24:C1:84 -> 0:13:1A:4F:81:40 type:0x800 len:0x4A202.202.202.202:25 -> 211.238.165.163:46854 TCP TTL:64 TOS:0x0 ID:0 IpLen:20 DgmLen:60 DF***A**S* Seq: 0x58577A09 Ack: 0xFD17D0C9 Win: 0x16A0 TcpLen: 40TCP Options (5) => MSS: 1460 SackOK TS: 3657680 904613 NOP WS: 0=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+10/26-00:46:33.545696 0:13:1A:4F:81:40 -> 0:12:3F:24:C1:84 type:0x800 len:0x42211.238.165.163:46854 -> 202.202.202.202:25 TCP TTL:52 TOS:0x0 ID:7534 IpLen:20 DgmLen:52 DF***A**** Seq: 0xFD17D0C9 Ack: 0x58577A0A Win: 0x16D0 TcpLen: 32TCP Options (3) => NOP NOP TS: 904633 3657680=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+10/26-00:46:33.545919 0:12:3F:24:C1:84 -> 0:13:1A:4F:81:40 type:0x800 len:0x80202.202.202.202:25 -> 211.238.165.163:46854 TCP TTL:64 TOS:0x0 ID:46575 IpLen:20 DgmLen:114 DF***AP*** Seq: 0x58577A0A Ack: 0xFD17D0C9 Win: 0x16A0 TcpLen: 32TCP Options (3) => NOP NOP TS: 3657701 90463332 32 30 20 31 32 36 2E 63 6F 6D 20 43 6F 72 65 220 yy410.com po6D 61 69 6C 20 53 4D 54 50 28 41 6E 74 69 20 53 ster SMTP(Anti S70 61 6D 29 20 53 79 73 74 65 6D 20 28 31 32 36 pam) System (41063 6F 6D 5B 30 33 30 39 30 31 5D 29 0D 0A com[030901])..=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+———— End of smtp ——————————————–
有时我们选择改变，并非经过深思熟虑，而更像是听见了天地间冥冥中的呼唤，
