浅谈局域网DDOS攻击

随着计算机网络技术的发展，无线局域网成为高速发展的无线通信技术在计算机网络中实现通信移动性、个性化和多媒体应用等。但是，由于无线通信的传播介质是毫无实体保护的空气，无线 发送的数据就有可能到达覆盖范围内的所有终端，或者是预期之外的接收设备，这为黑客等恶意用户提供了更多、更隐蔽的可攻击机会。在目前出现的各种针对无线网络的攻击方式中，分布式 拒绝服务DDoS（DistributedDenialofService）攻击以其隐蔽性好、破坏性强的特点成为了黑客攻击的首选方式。本文将对各种无线网络DDos攻击手段做一概述。 

 

一、DDoS简介

 

DoS（DenialofService）拒绝服务攻击是一种拒绝用户或客户端对特定的系统和网络资源进行访问的技术。其实现可以是利用操作系统或软件的漏洞，也可以在使用非常大数量的合法请求，其 结果都会形成过多的资源消耗或使资源崩溃，以实现对资源的拒绝访问目的。DDoS全名是DistributedDenialofservice(分布式拒绝服务),很多DoS攻击源一起攻击某台服务器就组成了DDoS攻击 。DDoS最早可追溯到1996年初,在中国2002年开始频繁出现,2003年已经初具规模。

 

DDoS攻击手段是在传统的DoS攻击基础之上产生的一类攻击方式。单一的DoS攻击一般是采用一对一方式的，当被攻击目标CPU速度低、内存小或者网络带宽小等各项性能指标不高时,它的效果更 明显。随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存大大增加，同时也出现了千兆级别的网络，这使得DoS攻击的困难程度加大了，由于目标对恶意攻击包的处理能力加强 了不少，假如攻击方每秒钟可以发送3,000个攻击包，但被攻击方的主机与网络带宽每秒钟可以处理10,000个攻击包，这样一来攻击就不会产生什么效果。这时候分布式的拒绝服务攻击手段（DDoS）就出现了。

 

总的来说，可以将一个典型的DDoS攻击的体系结构划分为四个部分：攻击者、主控机、攻击机、受害者。攻击者通过主控机控制大量的攻击机，拥有攻击机的控制权或者是部分的控制权，可以 把相应的DDoS程序上传到这些平台上，这些程序与正常的程序一样运行并等待来自攻击者的指令，通常它还会利用各种手段隐藏自己不被别人发现。在平时，这些机器并没有什么异常，一旦攻 击者连接到它们并发出指令的时候，攻击机就会发起攻击。这种攻击非常隐蔽，因为要想找出真正的攻击者就必须先查出攻击机，然后依据攻击机的日志等文件查找上一级的控制者，一级级直 到找出攻击者为止。攻击者想要快速干净地擦除大量攻击机上记录攻击痕迹的文件(如日志文件)很不容易，但他清除少量主控机的这些记录文件则非常简单，从而避免被发现。黑客利用现在的 高速网络，以及各种操作系统的漏洞和缺陷，同时控制大量的傀儡计算机，然后在同一时间利用傀儡计算机向攻击目标发起攻击，快速消耗目标的带宽和CPU时间，从而对合法用户造成拒绝服 务。由于攻击来自网络上不同地址的大量傀儡计算机，不仅攻击的破坏性很大，而且对攻击的防御和追踪带来了困难。特别是现在的无线网络，由于其固有的协议缺陷和接入点隐蔽等特点，更 容易受到恶意攻击。下面将对各种针对无线网络的DDoS攻击方法做一介绍。

二、无线网络DDoS攻击

 

1、概述

 

随着信息技术的发展，各种网络安全问题也是层出不穷。无线局域网虽然具有易于扩展、使用灵活、经济节约等优点，但是由于其采用射频工作方式，使得WLAN在安全方面显得尤为脆弱。基于 IEEE802.1l的无线网络得到了广泛的应用，但也成为极有吸引力的攻击目标。由于IEEE802.11的WEP加密机制和认证协议存在严重的缺陷，经过大量的研究，产生了一系列的扩展协议，以加强 无线网络的访问控制和机密性。但无线网络由于其开放特性，还是很容易受到攻击，其中，分布式拒绝服务攻击是最难检测和控制的。无线局域网的各个层面都有可能受到DDoS的攻击。

 

2、物理层的DDoS攻击

 

IEEE802.1l协议定义了两种媒体访问控制协议用来实现对无线信道的访问控制。一种采用基于分布式协调功能(DCF：DistributedCoordinationFunction)的竞争模式来实现异步通信方式；另一 种采用基于点协调功能(PCF：PointCo-ordinationFunction)的非竞争模式来实现同步通信方式。目前的802.1l无线设备基本上都是采用DCF方式进行通信。

 

在DCF中802.11采用载波侦听／冲突避免(CSMA/CA：Car-rierSenseMultipleAccesswithCollisionAvoidance)机制进行无线介质共享，它的基本思想是让发送方激发接收方发出一个短帧，使得 接收方附近的站点可以监听到将要进行的传输，从而避免它们在这个期间内向接收站点发送数据。而这一机制的实现是通过物理层的空闲信道评估(CCA：ClearChannelAssessment)程序来完成 的。它通过接收信号能量的强弱来确定信道是否空闲，每当信道由空闲转为忙或由忙转为空闲时，物理层的子层PLCP(PhysicalLayerConvergenceProcedure)都产生一种基元：PHY-CCA。 Indicate(STATE)，

 

STATE为状态变量，当PLCP检测到信道忙时，其值为BUSY，反之，为IDLE。该攻击方法简单但效率很高，不需要特殊的设备与技术。另外，所使用的攻击设备无需高的发射功率，要发现并定位攻击者相当困难。澳大利亚电脑危机紧急响应小组就宣布了一种DDoS攻击，这种攻击就是利用CCA工作机理和802.1l物理层管理实体(PLME：PhysicalLayerManagementEntity)提供的一种测试模式(PLMEDSSSTESMODE)来实施的。它攻击的对象是物理层采用直接序列扩频(DSSS：DirectSequenceSpreadSpectnlm)工作方式的无线设备，包括采用IEEE802.1l、802.1lb和低速(低于 20Mbps)802.11g标准的DSSS无线设备。 

 

3、MAC的DDoS攻击

 

在802．1l网络中，为了解决站点隐藏及报文碰撞等问题，采用了RTS／CTS等通讯控制机制。在WPA中采用消息完整性校验(MIC：MessageIntegrityCode)机制来防范伪造报文，这些机制在提高 网络性能的同时，也带来了新的安全隐患。

 

802.1l协议中，使用CSMA／CA技术来实现多路访问。

 

为了避免一个节点长时间占用信道从而导致其他的节点无法传送数据，要求每个节点在发送完一个MAC层的协议数据单元(MPDU：MACProtocolDataUnit)之后都必须等待一个SIFS(SIFS： ShortInterFrameSpace)时间。基于MAC的拒绝服务攻击其核心思想就是通过修改攻击设备上的通信模块程序，将它的SIFS设得更短，那么在同等发包速率的情况下，攻击者将以很高的概率占有 信道，从而使合法节点的通信推迟进行。

 

CSMA／CA为了解决隐藏节点问题引入了RST／CTS控制机制，它能够为一个节点保留一定时间的信道。想要发送数据的节点首先必须向目的节点发送一个RTS帧，这个RTS帧中包含该节点的ID以及 一个Duration域。Duration域用于告知需要为该节点保留随后数据传输所需要的时间，每个节点上都使用NAV(NAV：NetworkAllocationvector)来度量保留时间值，它的最大值为215-1。只有当 NAV=0时该节点才可以发送数据，而这个值的更新是通过Duration值进行的。目的节点一旦收到某个节点发来的RTS帧，就立即响应一个CTS帧，其中也包含ID、Duration域。在信号覆盖范围内的其他节点通过CTS帧来更新NAV值，这样可以解决由于隐藏节点造成的冲突问题。这种RST／CTS策略很容易引发拒绝服务攻击。如果攻击者不断发送包含较大Duration值的RTS帧，那么，根据CSMA／CA，收到RTS帧的合法节点会以CTS帧进行响应，响应后很快就会放弃对信道的控制。又因为合法节点要等待一个SIFS甚至一个DIFS后才能再次发送数据帧，而攻击者又不断发 送RTS，这样合法节点就很难抢到时隙，再加上这些节点对CTS的传播带来的影响，整个信道基本上将只会被攻击者占用。因此这种攻击会严重降低被攻击WLAN内节点的通信效率。另外，802.11 中的完整性校验值(ICV)的目的是为了保证数据在传输途中不会因为噪声等物理因素导致报文出错，因此采用了相对简单高效的CRC算法。但是攻击者可以通过修改ICV来使之和被篡改过的报文 相吻合，可以说没有任何安全功能。而WPA中的MIC则是为了防止攻击者的篡改而定制的，它利用Michael密钥并通过Michael算法求出一个8字节的消息完整性校验值(MIC)，加在每个数据分组后面。当一个无线客户或AP在一秒钟内收到两个或两个以上的MIC值有误的数据包，WPA认为网络正在受到攻击，随后将采取一系列保护措施，包括中断通信一分钟，更换密钥等，从而给拒绝服 务攻击带来机会。因为，攻击者只需要每秒向目的节点发送至少两个这种MIC值有误的报文，就会使该节点触发MIC错误保护措施，中断通信一分钟。只要网络一恢复正常，攻击者就重复这样的 攻击过程，最终将导致网络陷入瘫痪。 

4、网络层的DDoS攻击

 

针对网络层的攻击也是一种很有威胁的攻击手段，下面列出几种常见的攻击方法：

 

(1）非法节点成为路由节点。它们丢失一定数量的数据包，使得连接质量下降。如果在传输层采用TCP协议将产生更大的影响。例如：黑洞攻击(偷偷地将所有到达信息全部丢弃)；灰洞攻击(有 选择地丢弃其中一部分信息，如转发路由协议包而丢失数据包)。针对这两种攻击，斯坦福大学的Mani等人提出了一种看门狗和选路人算法。看门狗是指数据包的发送者将数据包发出去之后还 要监视他的下一跳节点，如果下一跳节点没有对包进行了转发，这说明那个节点可能存在问题。而选路人作为一种响应办法，它评定每一条路的信任等级，使数据包尽量避免经过那些可能存在 非法节点的路径。结合看门狗和选路人算法能够很好地避免非法节点成为路由节点。此外，为了鼓励空闲的正常节点多转发数据包，Buttyan和Hubaux将经济学中的思想引入了无线局域网中， 他们提出了虚拟货币的概念，并把它作为转发数据包的报酬。

 

(2）非法节点传输虚假的路由信息或者重播过时的路由信息，这样将导致路由失败从而影响传输的性能。虫洞攻击(WormholeAttack)和回路攻击是这种类型攻击的典型代表。虫洞攻击的原理是 在无线局域网中通过有线或者长距离的无线手段建立一条不正常的链路。通过链路的建立来欺骗路由协议，从而造成虚假的路由信息。

 

(3)通过IP欺骗来隐藏攻击者的真实位置以及利用节点可移动性使攻击源迅速转移，从而使得攻击源的追踪变得异常困难。对于在无线局域网中的DDoS攻击源追踪的研究在一定的程度上可以借 鉴有线网络的DDoS攻击源追踪技术,但是两者之间还是有很多的区别。我们可以将有线网络中的攻击源追踪技术PPM(采样标记法)、ITrace(ICMP报文定位法)移植到无线局域网中，并且已经有人 通过实验证明攻击源追踪技术的使用效果与攻击源追踪技术、网络的路由协议以及无线局域网的规模都有一定的联系。

 

5、传输层、应用层等上层网络结构的DDoS攻击

 

在无线局域网中的传输层、应用层等上层结构与有线网络同等网络层次具有相同的特征，因此在无线局域中针对上层网络的DDoS攻击与有线网络中的DDoS攻击基本上一样。其中，TCPSYN洪泛、 TCPRST洪泛攻击就是典型的针对上层网络攻击。此外，有线网络中抵御DDoS攻击的防御方法同样适用于无线局域网。研究表明，在有线网络中DDoS攻击的攻击对象主要集中在网络层以及传输层 等上层协议。但是无线局域网中节点的物理层、MAC层、网络层、传输层等上层网络都成为DDoS攻击的攻击对象。因此，针对无线局域网中DDoS攻击的防御显得尤为重要。

 

6、不完善的认证机制引发的DDoS攻击

 

IEEE802.11标准提供两种类型的认证：开放系统认证和共享密钥认证。开放系统认证就本质而言是一个空的认证过程，共享密钥认证给予一个预先共享的密钥，用WEP协议对客户进行认证：AP 发送一个质问串，并要求客户对其进行加密后返回，如果客户的响应被验证成功，则该客户通过验证。这一认证协议有着诸多公开化的缺陷，攻击者可以利用这些缺陷对网络实施攻击。

 

三、结束语

 

本文主要介绍了DDoS在无线局域网中各层的攻击方式，对各种攻击方式的原理和攻击方法均做了较为详细的描述。DDoS攻击对于无线网络来说比有线网络更难防御，所以对各种无线网 络DDoS攻击手段的研究是很有意义的