DDos 공격프로그램 [D-1](2/35)

• 디도스란
•  
• Source IP를 변조하거나 실제 IP를 이용하여 UDP/ICMP 패킷을 다량으로 전송하여 네트워크 대역폭을 잠식시켜 DoS 상태를 유발
•  
• Trinoo

 ※ Trinoo라는 DDoS 형태의 UDP Flooding Attack Toolkit이 1996년 미네소타대학에서 발생했으며 솔라리스 2.x 시스템에서 처음 발견되었고 봇넷 Toolkit(Virut, rBot, IRCbot, Netbot Attacker, 풍운 등)으로 봇넷을 구성하여 대량트래픽을발생

 

 UDP 패킷을 이용하여 네트워크/서버를 flooding시키는 툴이며 비교적 정교함이 부족

한 초창기의 DDoS공격 툴이다. 공격자는 master와 daemon을 시스템관리자에게 들키지 않고 보호하

기 위해 패스워드를 설정하였으나 이들사이의 Control messages는 평문으로 통신된다.

 

 

•  TFN 

2) TFN(Tribe Flood Network) : UDP플루딩 뿐 아니라 SYN Flooding, ICMP echo request flood, ICMP

directed broadcast(smurf) DoS 공격도 가능하며, Master-damon사이의 통신은 ICMP echo-reply

packet을 이용하므로 대부분의 방화벽에서 detect 하거나 차단하기 어렵다. (원격파일복사기능),

 

• Stacheldraht

4) Stacheldraht : Trinoo와 원래의 TFN의 결합된 형태에 추가로 대칭키 암호화 및 agent(daemon)의

자동업데이트 기능을 추가하였다.

 

• Teardrop

Fragmentation의 취약점을 이용한 공격 방법입니다. 정상적으로 패킷을 전송할 때 IP Frag 립할 때 오프셋(offset)값을 더하게 됩니다. 하지만 공격자가 오프셋 값을 변형시켜 보내 으켜 붕괴되거나 리부팅이 발생하게 됩니다. 따라서 저장되지 않은 데이터는 손실되게 됩 상(damage)를 주는 공격이 아니고 데이터를 손실시키기 위한 공격입니다. Teardrop을 비 공격 유형은 대부분의 시스템이 패치되어 최근에는 실효성이 없는 공격입니다. 

 

IP Fragmentation(IP 단편화) 과정IP 단편화는 상대적으로 큰 데이터그램을 더 작은 정보 패킷으로 분리하는 과정을 표현합니다

 

네트워크 장치는 MTU(Maximum Transmission Unit) 제한 때문에 큰 데이터그램을 작은 조각으로 나눠야 할 때가 있다. 이때 Fragment Offset 필드가 사용된다.

💾 IPv4 헤더 구조에 포함된 **Fragment Offset(프래그먼트 오프셋)**은 패킷 조각이 원본 데이터의 어디에서 시작되는지를 8바이트 단위로 표시한다.