熱點推薦:
您现在的位置: 電腦知識網 >> 網絡技術 >> 正文

面對“Trinoo攻擊”,應該如何抵御?

2013-09-12 17:25:45  來源: 網絡技術 
Trinoo使用“Master”程序對實際實施攻擊的“代理”程序實現自動控制,讓代理程序用UDP信息包沖擊網絡,從而對目標進行攻擊。抵御策略如下:
1.在Master程序與代理程序的所有通信中,Trinoo都使用了UDP協議。入侵檢測軟件能夠尋找使用UDP協議的數據流。
2.Trinoo Master程序的監聽端口是27655,攻擊者一般借助Telnet通過TCP連接到Master程序所在計算機。入侵檢測軟件能夠搜索到使用TCP並連接到端口27655的數據流。
3.所有從Master程序到代理程序的通信都包含字符串“l44”,並且被引導到代理的UDP端口27444。入侵檢測軟件檢查到UDP端口27444的連接,如果有包含字符串l44的信息包被發送過去,那麼接受這個信息包的計算機可能就是DDoS代理。
4.Master和代理之間通信受到口令的保護,但是口令不是以加密格式發送的,因此它可以被“嗅探”到並被檢測出來。而一旦一個代理被准確地識別出來,Trinoo網絡就可以按照如下步驟被拆除:
在代理Daemon上使用“strings”命令,將Master的IP地址暴露出來。與所有作為Trinoo Master的機器管理者聯系,通知他們這一事件。在Master計算機上,識別含有代理IP地址列表的文件(默認名“...”),得到這些計算機的IP地址列表。tw.WINGwIT.coM向代理發送一個偽造“Trinoo”命令來禁止代理。
通過crontab 文件(在UNIX系統中)的一個條目,代理可以有規律地重新啟動。因此,代理計算機需要被反復地關閉,直到代理系統的管理者修復了crontab文件為止。
最後檢查Master程序的活動TCP連接,這能顯示攻擊者與Trinoo Master程序之間存在的實時連接。
 
From:http://tw.wingwit.com/Article/Network/201309/3792.html
    推薦文章
    Copyright © 2005-2013 電腦知識網 Computer Knowledge   All rights reserved.