זהירות, אתה מושבת! DOS - חלק ב'

בחלק הקודם דיברנו על תקיפות DOS, ציינו מיהם הקורבנות של תקיפות מהסוג הזה, כיצד ההתקפות נמדדות ומהו הפוטנציאל שלהן לפגוע באתרים. בחלק זה נציג את הדרכים השונות לביצוע מתקפה וניתן דוגמאות לכלים ואתרים טיפוסיים בהם תוקפים עושים שימוש.

‍

סוגי התקפות

התקפות DOS יבוצעו בכמה צורות: צורה אחת היא כנגד האפליקציה, כלומר, התוקף יבדוק את האפליקציה שעל השרת ואז ינסה לתקוף אותה על מנת שתקרוס. לדוגמה, התוקף רוצה להשבית אתר וורדפרס ומבחין כי אזור התגובות של הכתבות אינו מוגן, התוקף יכתוב סקריפט שכותב “תוכן” (במקסימום תווים), לוחץ על פרסום והסקריפט מבצע את זה כל שניה, מכמה מחשבים שונים .

באופן זה התוקף מעמיס על מערכת הוורדפרס שכותבת את התגובה למסד הנתונים ויכול לגרום לקריסת האתר.

‍

Botnets

botnets הוא מערך תוכנות הנמצא על מחשבים רבים המחוברים ברשת זה לזה. תקיפה מסוג זה יכולה להתבצע כאשר תוקף מייצר אתר פיקטיבי אשר טוען שהתוכנה שתורידו תתקין ברקע תוכנה שמייעלת את מהירות המחשב.

משתמשים נכנסים לאתר מורידים את התוכנה ומתקינים אותה כאשר במציאות התוכנה לא מבצעת כלל ייעול זיכרון אלא צירפה את המחשב של אותו משתמש כ- Botnet, טכניקות אחרות הם הורדת ווירוסים ו-Malwareים כאלו ואחרים.

ברגע שאותו מחשב או שרת נהפכים ל- Botnet הם נשלטים על ידי שרת C&C או בקיצור Command & Control . שרת זה שייך לתוקף והוא מנהל את שרת ה- C&C ובכך שולט באותם מחשבים \ שרתים.

מחשבים ושרתים אלו נקראים לרוב Zombies והסיבה היא כי המשתמשים אינם מודעים לכך שהמחשב שלהם משמש לביצוע מתקפות DOS ושיש אפילו “תוכנה זדונית” במחשב.

תארו לכם שאלפים או עשרות אלפי של מחשבים כאלו מבצעים כניסה לאתר אחד קטן (בלוג למשל). עצם הכניסות לאתר בלבד יכולות להפיל אותו.

צורה נוספת לשימוש ב- Botnet היא רשתות Peer2Peer, שכן זו רשת מבוזרת עם משתמשים אשר משתפים קבצים, מתכתבים ביניהם (IRC) . התוקף יכול להשתמש בחולשות המערכת ולבקש ממשתמשי ה- Peer2Peer לתקוף מטרה מסוימת וכך למעשה הוא אינו אוסף Botnet על ידי Malware אלא משתמש ברשתות מסוג זה על מנת לבצע התקפה גדולה יותר.

‍

Http Flood Attack

כל בקשה אשר הפרוטוקול שלה הוא Http ניתן לנסות לבצע בה התקפת DOS. לדוגמה, כמות אדירה של מחשבים (משתמשים) מנסים לגשת לאותו האתר, מכמות הבקשות השרת עלול לקרוס.

צורה נוספת - באתר קיים מנגנון איטי יותר שהתוקף הבחין בו (יצירת דו”ח, שליחת הודעה וכו’), התוקף יכול לבצע כמות גדולה של בקשות כאלו על מנת ששירות ה- SQL או שירות ה- PHP יקרוס.

אם באתר יש טופס לשליחת מיילים, שכן SMTP הוא שירות איטי יותר וגוזל משאבים רבים יותר, יכול התוקף (אם הטופס לא מוגן) לשלוח כמות אדירות של מיילים ובכך לגרום לקריסת השרת.

אופציה נוספת היא הורדה של המון קבצים מהשרת (כבדים ככל הניתן) על מנת להאט את רוחב הפס אל השרת ולגרום לשירותיו להיות לא זמינים.

על מנת לבחון תקיפה כזו, נשתמש ב- Fiddler Web Debuger להורדה מכאן

הפעלתי את התוכנה, ניגשתי לאתר שלי בדפדפן ואז הקשתי Shift + R

התוכנה שואלת כמה פעמים לבקש את האתר ב- http - הקשתי 20 וניתן להקיש 10,000 וכך לגרום ל- DOS פשוט בו הבקשה לאתר בוצעה 10,000 פעמים ולהאט את האתר. כמובן שזה תלוי ברוחב הפס של השרת , זיכרון וכוח עיבוד.

אם נריץ את אותה התקפה משרת חזק עם רוחב פס גדול נוכל להאט אתרים קטנים מאוד.

התקפות נוספות יכולות להגיע מ- Post או Get בפורוטוקול http

‍

SYN Flood

תחילה צריך לחזור על Three way Handshake, בצורה פשוטה לאלו שלא זוכרים

בשכבה 4 ה Transport Layer, קיים מנגנון זה על מנת ליזום חיבור בין 2 מחשבים

‍

‍

זה שרוצה ליזום את החיבור שלוח Syn ברגע שהשרת מקבל Syn השולח SYN+Ack ואז היוזם שולח חזרה ACK.

כאשר רוצים ליצור Syn Flood אנחנו נשתמש בחצי ,Syn זאת אומרת:

התוקף ישלח SYN, השרת ישלח SYN + ACK ואז התוקף לא ישלח כלום…

השרת ממתין לתגובה אבל כלום לא קורה, והתקשורת בניהם נשארת פתוחה.

‍

‍

צורה נוספת היא ביצוע של Spoof Source Address, התוקף מזייף את ה- ZSource Address ב TCP וכך כאשר הוא שולח לשרת את ה Syn Flood, השרת שולח את ה SYN + ACK לשרת \ מחשב אחר, כך התוקף נשאר “אנונימי” ובדרך מעמיס שרת אחר בכך שהשרת האחר מקבל SYN + ACK מהשרת אליו שלח התוקף את הבקשה.

‍

UDP Attack

בגלל ש-UDP  לא משתמש בלחיצת יד משולשת, ניתן גם כאן לזייף את ה Source IP ועל ידי כך שהוא פרוטוקול לא אמין ניתן לשלוח הודעות רבות בפורטים שונים הפועלים בUDP בצורה מהירה יותר.

‍

ICMP Attack

הוא פרוטוקול בשם ICMP או יותר מוכר לכם מPing, הוא פרוטוקול המשתמש ב Echo Request ו -Echo Replay בהתאמה בפינג.

ניתן לזייף את ה- Source IP ובכך ברגע ששלחתם Echo Request ה- Echo Reply ישלח למחשב אחר לחלוטין.

תקיפה זו נקראת Smurf Attack.

בצורה זו ניתן לשלוח נאמר ל- 100 שרתים ברשת Echo Request כאשר ה- Source IP הוא שרת מסוים אותו התוקף רוצה להפיל.

באותו הרגע 100 בקשות של Echo Reply יגיעו לאותו השרת והוא עלול לקרוס (כמובן שצריך יותר מ100 מחשבים)

‍

‍

צורה זו של התקפה נקראת גם Amplifications attack שכן אנחנו שולחים Ping להמון שרתים  אבל ה- Source שלנו מזוייף וכל השרתים מחזירים תשובה לשרת אחר אותו אנו רוצים לתקוף.

התקפה נוספת היא Ping Of Death במצב זה מערכות ישנות שתומכות בהטמעה ישנה של TCP תומכות בעצם באפשרות של שליחת Ping אשר גדול מ- 64 ביט כך למעשה גורם ל- Overflow וגורם לקריסה של המערכת. נכון להיום כמעט ואין מערכות ישנות כאלו שניתן לבצע עליהם DOS שכזה

‍

Amplifications Attack

אחת ההתקפות הידועות שבוצעו בצורה זו היא התקפת DNS, התוקף שולח “שאילתת DNS” אל שרת DNS ואומר לו “תן לי את כל ה Zone שלך” אבל התוקף זייף את ה Source Address והכתובת IP של Source היא של המטרה של התוקף, כך שהתגובה הגדולה שמגיעה משרת הDNS מגיעה אל המטרה.

המטרה שמקבלת את התגובה הזו משרת הDNS לא יודעת שתוקף מבצע זאת כי הוא מקבל את הDNS משרת לגטימי.

בצורה זו, אחת או כמה בקשות כאלו לא באמת יאטו משמעותית את השרת אותו התוקף רוצה להפיל,

אבל אם לתוקף יש Botnets שלכל Botnet יש רוחב פס של 1Gbps וכל אחד מהבוטנט משתמש בכל התעבורה שיש לו יש סה”כ 3Gbps תעבורה אשר נשלחת לשרתי ה-DNS ולכל שרת DNS יש תעבורה גם של 1GBPS נגיע ל 24Gbps של תעבורה לשניה אחת

1Gbps Botnet -> 8 DNS server (with 1Gbps) = 8Gbps

3xBotnets = 3Gbps -> Factor (8) = 24Gbps Attack

‍

‍

בעבר היו הרבה שרתים עם SNMP ותוקפים השתמשו בשירות זה על מנת לבצע שאילתות SNMP Read בכדי לבצע Amplifications Attack

גם פרוטוקול ה NTP וגם פרוטוקול ה SSDP, לשלושתם גם מכנה משותף, שניהם משתמשים ב UDP

‍

Slowloris

משמעות השם הוא Slow & Low הכוונה היא להתקפה בסדר גודל נמוך שתייצר איטיות במערכת הנתקפת.

צורת ההתקפה (רשמתי קצת בשורות למעלה) מתבצעת בצורה בה התוקף שולח בקשת Http מבלי לשלוח “סיום שיחה” כך שהשרת ווב המקבל את הבקשה משאיר את השיחה פתוחה ומשאיר את המשאבים שהקצה לה פתוחים מבלי שהשיחה נסגרת וכך השרת ממתין וממתין להמשך או לסיום השיחה.

התוקף שולח Uncomplete GET Request מסוג Http אל המטרה ושולח שוב ושוב כך שכל השיחות האלו נשארות פתוחות לאורך זמן (יש TTL אך הוא ארוך)

התוקף שולח כמות גדולה של “שיחות” מסוג זה כך שהשרת פותח המון שיחות אבל לא סוגר אותם ובכך מעמיס עליו ומקשה עליו לתת שירות למשתמשים לגיטימיים במערכת.

על מנת להשתמש ב- Slowloris נפתח את Kali ונוריד אותו

apt-get install slowhttptest

כאשר למתקפת Slowloris

slowhttptest -c 1000 -H -g -o my_header_stats -i 10 -r 200 -t GET -u https://host.example.com/index.html -x 24 -p 3

slowhttptest – התוכנה עצמה

-c 1000 – יצור 1000 חיבורים בו זמנית

-H – התקפה מסוג סלואולוריס בה ישלחו בקשות לרשת באופן חלקי מסוג Http

-g – -o יוצרים את הגרף ואת השם

my_header_stats – השם של הגרף

-i 10 כל כותרת תיווצר אחרי 10 שניות

-r 200 מהירות החיבורים שייצרו הם 200 לשנייה אחת

-t GET – אין צורך להסביר…

-u https://host.example.com/index.html כתובת האתר

-x 24 -p 3 טווח הכותרת

ניתן להשתמש בהתקפות נוספות כמו

-B ישלח HTTP בקשות לא שלמות כHTTP Message Bodies

R- ישלח malicious Range Request header data

ניתן לבצע את ההתקפה בכמה צורות, ניתן לקרוא הרחבה כאן

‍

LOIC – כלי לביצוע תקיפות

LOIC - קיצור של Low Orbit Ion Cannon היא תוכנה לביצוע התקפת DOS  שנמצאת בשימוש על ידי הרבה קבוצות אקטיביסטיות, וכל אחת משתמשת בו בצורה קצת שונה.

הקבוצות קוראות בפייסבוק ובטוויטר למשתמשים שאין להם ידע בהתקפות DOS להוריד את התוכנה ולטרגט אתר שאותה הקבוצה מעוניינת לתקוף והשימוש של התוכנה הוא התקפה מסוג SYN Flood או HTTP Request או אפילו UDP

‍

‍

התוקפים יכולים אפילו לשלוח JS LOIC זה אומר שאפילו לא צריך להתקין את התוכנה, כמו האתר הזה שמבצע התקפת HTTP Request

אם תלחצו על F12 תוכלו להבחין בבקשות HTTP לאותו אתר שהזנתם.

‍

‍

אתרים

האתר XYZBooster למשל ,הוא אתר שמספק תמורת כסף התקפות DOS לפי נפח וזמן התקפה

‍

‍

אתר אחר שבודק שאכן האתר הוא שלכם על ידי שליחת מייל למנהל האתר ואימות הדומיין הוא https://loader.io. בעלות מסוימת הוא ייתן לך דוחות, התקפה לפי זמן ולפי גודל התעבורה, כאשר  הייחוד שלו הוא בכך שהוא בודק שאכן האתר שאתם מתקיפים הוא שלכם.

כך תוכלו לבצע התקפת DOS יזומה ולבדוק עד כמה השרתים שלכם עמידים מול התקפת  DOS.

‍

מאת: טל בן שושן, יועץ לאבטחת מידע