高并发udp服务器器总被udp攻击

来源：蜘蛛抓取(WebSpider) 时间：2016-02-21 00:51 标签： udp代理服务器
利用UDP19端口实施DOS攻击的真实案例
&&&&&& 昨天在一个用户现场发现了一个利用UDP19端口对互联网受害者主机进行DOS攻击的真实案例。这个情况是我第一次见到，个人认为对以后遇到此类情况的兄弟具有参考价值。有必要做一个简单的分析记录。
&&&&&& 在此次的分析过程中，我主要通过wireshark来抓取相关数据报文的。
数据包分析
1，我们首先通过wireshark的“Summary”功能，查看网络流量统计情况，如下图所示：&
我们发现服务器区域的流量较大，平均每秒10M左右的流量，这个流量相对于用户整个30M的互联网出口带宽而言，已经算相当大的流量了。
2，我们再通过wireshark的“Protocal Hierarchy”功能，查看这么大的流量在各个协议之间的分布情况，如下图：&
我们看到UDP和IP分片的报文流量占据了总流量的92%以上，而业务应用所使用的TCP流量仅有7.24%！这意味着绝大部分的流量都是垃圾流量，那么这些垃圾流量到底是什么呢？
3，我们接下来分析这些占总流量92%以上的UDP报文和IP分片报文到底是用来干什么的。我们通过wireshark的数据包查看UDP报文都是UDP19端口交互的报文，如下图：&
&我们使用wireshark的“Follow UDP Stream”功能，将其中任意一个UDP19端口交互的报文进行重组还原，如下图所示：&
我们可清晰看到这个UDP19端口交互的内容都是明显填充的内容。
4，UDP19端口是用来做什么的呢？我们百度一下，摘录了百度百科中对UDP19端口的相关描述如下：
“端口：19
服务：Character Generator
说明：这是一种仅仅发送字符的服务。UDP版本将会在收到UDP包后回应含有垃圾字符的包。TCP连接时会发送含有垃圾字符的数据流直到连接关闭。HACKER利用IP欺骗可以发动DoS攻击。伪造两个chargen服务器之间的UDP包。同样Fraggle DoS攻击向目标地址的这个端口广播一个带有伪造受害者IP的数据包，受害者为了回应这些数据而过载。”
（该段百度百科描述的原始链接为：
5，我们了解了这个UDP19端口的上述信息，那么用户目前遇到的情况是否正是黑客利用其对外进行DOS攻击呢？我们来一起验证一下。
我们通过抓包发现，跟服务器192.168.1.8的UDP端口交互的主机主要有37.17.173.32、88.190.35.204、97.86.229.87、71.61.231.170、等，我们分别来看一下这些IP与192.168.1.8交互报文的解码：&
明显发现，这些报文的TTL都是236，这基本可判定这些报文应该都来自于同一物理位置的机器，换句话说，这些报文都是一台机器伪造的IP报文！
6，至此，我们基本可以将此次异常的原因定位为黑客利用服务器开启的UDP19端口，伪造源IP为互联网某受害者服务器的IP地址向192.168.1.8服务器的UDP19端口发送报文，服务器在收到这个报文后会向互联网受害者服务器IP送填充任意字符的报文，导致受害者服务器带宽被占满，从而达到对受害者服务器DOS攻击的效果，其工作机制大致如下图所示：
更进一步的分析
我们分析清楚了异常的原因，但是UDP19端口并不是服务器的对外提供业务的端口，为什么服务器会开启UDP19端口呢？我们在服务器上通过“netstat –ano”命令，查看UDP19端口是由什么进程开启的，如下图所示：
&由上图我们知道该端口由进程ID号为1432的进程开启，查看任务管理器，得知该进程为简单TCPIP服务，进程名为tcpsvcs.exe，该进程是微软Windows网络组件的一部分。这个系统进程用于计算机使用专用的TCP/IP网络服务，例如DHCP，简单TCP和打印服务。
通过百度搜索tcpsvcs.exe、UDP19端口等关键字，如下图所示：&
我们发现曾有人遇到过这种问题，当事人反馈“win2003 sp2 近来发现tcpsvcs.exe上传速度太猛了，最高时有2m，都差不多占了全部带宽了…….总是国外IP连接19端口,IP禁了几十个,还是不断有新的” （原始链接为：），这说明我们的用户并不是唯一一个遇到这种情况的：黑客利用服务器对外开放的UDP19端口，伪造受害者IP向服务器发送报文，服务器在收到报文后，会向受害者IP发送填充的字符报文，这些报文大部分都是大报文，需要分为多个分片报文，这会产生较大的网络流量，消耗服务器和互联网受害者的网络带宽资源。
您对本文的评分:
当前平均分: 8.4(18 次打分)
相关日志：
版权所有：《》 => 《》
本文地址：
除非注明，文章均为 《》 原创，欢迎转载！转载请注明本文地址，谢谢。
每个人的生命都是通向自我的征途，是对一条道路的尝试，是一条小径的悄然召唤。觉醒的人只有一项任务：找到自我，固守自我，沿着自己的路向前走，不管它通向哪里。 ——赫尔曼·黑塞 20:02
我始终相信，开始在内心生活得更严肃的人，也会在外表上开始生活得更朴素。在一个奢华浪费的年代，我希望能向世界表明，人类真正需要的的东西是非常之微少的。 ——《真实的高贵》 18:25
做产品以获得大众认可为标准，做技术以获得同行认可为标准。——tombkeeper 12:18
文化其实体现在一个人如何对待他人、对待自己、如何对待自己所处的自然环境。在一个文化厚实深沉的社会里，人懂得尊重自己——他不苟且，因为不苟且所以有品位；人懂得尊重别人——他不霸道，因为不霸道所以有道德；人懂得尊重自然——他不掠夺，因为不掠夺所以有永续的智能。——龙应台 18:48
无论国家有多少帮扶政策或有多少利好，对于创始人来说，依靠市场和团队、让产品说话是创业公司不倒的关键，任何外在的力量与内生的力量相比都微不足道。去试错并走出泥潭、去经受发不出工资的压力、去为如何走下一步挣扎、去为淘汰你跟不上的战友而煎熬等等，这些都是创业者必过的门槛。——王利芬 17:23linux 服务器被UDP攻击怎么办?_百度知道
linux 服务器被UDP攻击怎么办?
提问者采纳
。iptables写规则拒绝掉所有来攻击的ip就行。服务器还是不要太暴力的拒绝掉所有的udp包
我禁止掉了所有端口 ，只开放了 80 22 ，现在攻击停掉了是攻击的人不攻击了？ 还是我设置的这个生效 。
其他类似问题
为您推荐：
udp攻击的相关知识
等待您来回答
下载知道APP
随时随地咨询
出门在外也不愁比特客户端
您的位置：
详解大数据
详解大数据
详解大数据
详解大数据
服务器被DDoS攻击的症状浅析
关键字：DDoS攻击
　　的攻击分为四类，cc攻击、syn攻击、udp攻击、tcp洪水攻击。那么当被攻击时会出现哪些症状呢，我们是如何来判断服务器是否被攻击，属于哪种攻击类型？
　　第一种类型：CC类攻击
　　A.网站出现service unavailable提示
　　B.CPU占用率很高
　　C.网络连接状态：netstat Cna,若观察到大量的ESTABLISHED的连接状态 单个IP高达几十条甚至上百条
　　D.外部无法打开网站,软重启后短期内恢复正常,几分钟后又无法访问。
　　第二种类型：SYN类攻击
　　A.CPU占用很高
　　B.网络连接状态：netstat Cna,若观察到大量的SYN_RECEIVED的连接状态
　　第三种类型：UDP类攻击
　　A.观察网卡状况 每秒接受大量的数据包
　　B.网络状态：netstat Cna TCP信息正常
　　第四种类型：TCP洪水攻击
　　A.CPU占用很高
　　B.netstat Cna,若观察到大量的ESTABLISHED的连接状态 单个IP高达几十条甚至上百条
　　上述所讲到的判断分析，让我们能准确的判断存在的问题是什么，怎么第一时间来解决问题。让我们能更好的维护我们的网站安全。
[ 责任编辑：小石潭记 ]
新经济、新业态环境下，数据量呈…
甲骨文的云战略已经完成第一阶段…
软件信息化周刊
比特软件信息化周刊提供以数据库、操作系统和管理软件为重点的全面软件信息化产业热点、应用方案推荐、实用技巧分享等。以最新的软件资讯，最新的软件技巧，最新的软件与服务业内动态来为IT用户找到软捷径。
商务办公周刊
比特商务周刊是一个及行业资讯、深度分析、企业导购等为一体的综合性周刊。其中，与中国计量科学研究院合力打造的比特实验室可以为商业用户提供最权威的采购指南。是企业用户不可缺少的智选周刊！
比特网络周刊向企业网管员以及网络技术和产品使用者提供关于网络产业动态、技术热点、组网、建网、网络管理、网络运维等最新技术和实用技巧，帮助网管答疑解惑，成为网管好帮手。
服务器周刊
比特服务器周刊作为比特网的重点频道之一，主要关注x86服务器，RISC架构服务器以及高性能计算机行业的产品及发展动态。通过最独到的编辑观点和业界动态分析，让您第一时间了解服务器行业的趋势。
比特存储周刊长期以来，为读者提供企业存储领域高质量的原创内容，及时、全面的资讯、技术、方案以及案例文章，力求成为业界领先的存储媒体。比特存储周刊始终致力于用户的企业信息化建设、存储业务、数据保护与容灾构建以及数据管理部署等方面服务。
比特安全周刊通过专业的信息安全内容建设，为企业级用户打造最具商业价值的信息沟通平台，并为安全厂商提供多层面、多维度的媒体宣传手段。与其他同类网站信息安全内容相比，比特安全周刊运作模式更加独立，对信息安全界的动态新闻更新更快。
新闻中心热点推荐
新闻中心以独特视角精选一周内最具影响力的行业重大事件或圈内精彩故事，为企业级用户打造重点突出，可读性强，商业价值高的信息共享平台；同时为互联网、IT业界及通信厂商提供一条精准快捷，渗透力强，覆盖面广的媒体传播途径。
云计算周刊
比特云计算周刊关注云计算产业热点技术应用与趋势发展，全方位报道云计算领域最新动态。为用户与企业架设起沟通交流平台。包括IaaS、PaaS、SaaS各种不同的服务类型以及相关的安全与管理内容介绍。
CIO俱乐部周刊
比特CIO俱乐部周刊以大量高端CIO沙龙或专题研讨会以及对明星CIO的深入采访为依托，汇聚中国500强CIO的集体智慧。旨为中国杰出的CIO提供一个良好的互融互通 、促进交流的平台，并持续提供丰富的资讯和服务，探讨信息化建设，推动中国信息化发展引领CIO未来职业发展。
IT专家新闻邮件长期以来，以定向、分众、整合的商业模式，为企业IT专业人士以及IT系统采购决策者提供高质量的原创内容，包括IT新闻、评论、专家答疑、技巧和白皮书。此外，IT专家网还为读者提供包括咨询、社区、论坛、线下会议、读者沙龙等多种服务。
X周刊是一份IT人的技术娱乐周刊，给用户实时传递I最新T资讯、IT段子、技术技巧、畅销书籍，同时用户还能参与我们推荐的互动游戏，给广大的IT技术人士忙碌工作之余带来轻松休闲一刻。
微信扫一扫
关注Chinabyte

我要回帖

更多关于 udp代理服务器 的文章

 

随机推荐