2
from scapy.all import *
import dpkt

f1 = open("semAtaque.pcap")
pcap = dpkt.pcap.Reader(f1)
f1.close()

f2 = open("Ataques.pcap")
pcap = dpkt.pcap.Reader(f2)
f2.close()

Tenho duas capturas de tráfego de rede referente a um experimento em laboratório: uma livre de ataques (semAtaque.pcap) e outra com ataques DDoS (Ataques.pcap).

Para verificar se o experimento foi válido, preciso inicialmente constatar se o servidor negou o serviço, quando isso aconteceu e como estava o buffer do servidor durante todo o ataque (Ataques.pcap).

O IP do servidor que sofreu o ataque : 192.168.1.5

Como verificar o estado do buffer do servidor antes e depois do ataque? Como verificar se o servidor negou o serviço e quando ocorreu ?

Observação: o buffer é apenas relativo a conexão (flood) inundando o servidor e paralisando os serviços (DDOS) e não a ataques de buffer overflow!

O servidor (de teste em laboratorio) realmente caiu com o ataque simulado. O que eu gostaria era conseguir exibir o buffer de conexao antes e depois do ataque. Seria possível com Python?

2
  • O que vc quer dizer com buffer ? você está falando de ataques remotos utilizando buffer overflow? ou só conexão (flood) inundando o servidor e paralisando os serviços (DDOS) ?
    – ederwander
    10/03/2017 às 23:37
  • desculpe: buffer relativo a conexao -> flooding!
    – Ed S
    11/03/2017 às 0:07

2 Respostas 2

4

Eu acredito que você está falando de ataques DDOS.

Quando um DDOS acontece o servidor descarta conexões por falta de recursos, o serviço não consegue lidar com tantas conexões simultâneas, geralmente ao analisar um arquivo de sniffer, quando um DDOS acontece, você vai notar um grande volume de conexões em um curto período, se um ataque for distribuído você irá notar IP's diferentes se conectando no mesmo segundo, para cada conexão deve existir pelo menos uma resposta, ou seja isso demonstra uma conversa, comunicação entre o IP de origem e o seu servidor, portanto um ataque DDOS vai ser bem sucedido quando a quantidade de requisições enviadas ultrapassar a capacidade de resposta de um serviço/servidor e isso pode ser observado no sniffer olhando se a quantidade de requisições condiz com as quantidades de respostas que o seu servidor enviou, ou seja se o seu servidor recebeu 500 requisições em um intervalo de 10 segundos ele conseguiu responder essas 500 requisições? você tem que observar se teve a ida e a vinda no sniffer, se não houve resposta ou se o seu servidor respondeu uma quantidade muito menor de requisição do que deveria isso é um grande indício de que o seu serviço está sobrecarregado ou down.

Uma maneira rudimentar de achar o máximo de conexão que o seu servidor aguentou é verificar e contar no sniffer a quantidade de conexões recebidas antes do seu servidor parar de responder ou responder menos do que deveria ...

Abra um loop e comece a contar a partir da linha que começa o flood, incremente a cada par de conexões no .pcap (conexão recebida/conexão respondida), quando você perceber só está recebendo conexões e não tem mais a resposta do seu servidor (seu servidor parou de responder) pare o loop e você terá encontrado o ponto crítico, isso vai te dar um número de conexões que o seu serviço aguentou antes de cair/sobrecarrega.

Ainda sobre essa pergunta:

Como verificar o estado do buffer do servidor antes e depois do ataque?

Não existe como saber o estado do buffer do servidor antes do ataque usando sniffer com exatidão, você pode apenas estimar analisando o sniffer (quantas conexões com resposta do seu servidor ocorreu dentro de um determinado intervalo), cada serviço (ftp, www, dns, email), um engenheiro, admin de redes, etc vai estudar a arquitetura o poder de processamento do server e a rede onde esses serviços rodam e configura dentro de cada serviço a capacidade máxima possível de conexões simultâneas que eles devem aguentar.

Como fora dos laboratórios isso é feito? (vida real man) vou te enviar um exemplo real de onde eu trabalho, é totalmente inviável você manter um sniffer rodando na rede capturando tudo, isso é surreal, como você deve ter percebido isso vai gerar arquivos com uma ordem de grandeza absurdos, identificar ataques assim em tempo real é impraticável, então para cada servidor que roda um serviço eu pego por amostragem a quantidade de conexões simultâneas que o serviço tem a cada intervalo de tempo:

netstat --tcp -n | grep -v "LISTEN" | awk '{print $4}' | grep ":443" | grep  "$ServerIP" | wc -l

Esse comando é executado automaticamente de tempos em tempos(a cada 5 min por exemplo) no server que roda um https(porta 443), ele retorna quantas conexões tem no momento da execução, com isso é possível saber se o serviço está perto do limite de conexões simultâneas configurado e gerar alertas em tempo real acionando os engenheiros de redes e admin's, a cada amostra capturada desse comando eu também vou montando um gráfico que vai conter todo o histórico de quantidade de conexões, depois é só eu escolher o período que eu desejar para ver as conexões da porta https:

inserir a descrição da imagem aqui

Isso é feito para todos os serviços da rede, só mostrei esse para exemplificar!

Um Sniffer foi feito para uso pontual e não para ficar capturando tráfego de rede 24x7, quando um alerta desse sistema dispara ai sim todo mundo começa a sniffar a rede procurando qual ou quais IP's estão gerando tráfego incomum.

Lembre-se é relativamente simples analisar, identificar e bloquear ataques quando eles vem de um mesmo IP, mas todo esse seu trabalho (cálculo de entropia, calcular quantas conexões o serviço aguentou antes de parar de responder,etc) cai por terra se for um ataque distribuído (vindo de origens diferentes).

10
  • O servidor (de teste em laboratorio) realmente caiu com o ataque simulado. O que eu gostaria era conseguir exibir o buffer de conexao antes e depois do ataque. Seria possível com Python?
    – Ed S
    11/03/2017 às 0:12
  • a palavra buffer está errada, na verdade isso varia com a capacidade de cada servidor e de cada serviço, você pode ter um servidor quântico que não vai adiantar nada se por exemplo um serviço web (apache) não estiver configurado para receber X conexões simultâneas ...
    – ederwander
    11/03/2017 às 0:16
  • Eu acho q vc tá confundindo a palavra buffer com outra coisa, um ataque DDOS não é como uma variável no pacote tcp/udp que vai enchendo, cada pacote tcp vindo na rede vai ter o mesmo tamanho sempre, o problema é que é enviando tantos ao mesmo tempo que o seu serviço ou servidor começa a responder de maneira precária ...
    – ederwander
    11/03/2017 às 0:20
  • EU deveria ter dito entao: "exibir o numero de conexoes que o servidor estava configurado para receber" e o "numero de conexoes solicitadas ao servidor durante o ataque", certo?
    – Ed S
    11/03/2017 às 0:21
  • isso ai, ou seja não existe um comando que vai te dar essa resposta, cada serviço configurado vai trabalhar para receber as conexões máximas configuradas para o serviço, um email(postifix), um web(apache), um ftp(proftp), um dns(bind), etc, cada serviço destes é plenamente configurável quanto você quer que ele aguente de conexões simultâneas ou seja se você tem um servidor parrudo você pode colocar valores maiores para aguentar mais conexões, se vc tem um servidor da barbie vc pode colocar para ter menos conexões ...
    – ederwander
    11/03/2017 às 0:26
0
from scapy.all import *
from collections import deque

def print_attack_measure(pcap_file):
    plist = rdpcap(pcap_file)
    server_ip = "192.168.1.5"
    n = 300
    d = deque(maxlen=n)

    # If you want source/destination IP addresses
    getsrcdst = lambda x:(x.src,x.dst)
    # If you want MAC addresses
    getmacs   = lambda x:(x.addr1, x.addr2, x.addr3)

    def filterpackets(ip):
        for p in plist:
            try:
                c = getsrcdst(p)
                if(ip in c[0]):
                    # server IP is source IP of packet
                    yield -1
                if(ip in c[1]):
                    # server IP is destination IP of packet
                    yield 1
            except AttributeError:
                pass

print("This prints a measure of packets received to packets sent, using a moving average of %d packets."%(n))
print("0 indicates a perfect balance of sent-received.")
print("+1 indicates all packets are sent to the server.")
print("-1 indicates all packets are sent by the server.")
print("A larger positive number indicates an unresponsive server.")

count = 0
for pack in filterpackets(server_ip):
    d.append(pack)
    count += 1
    if(count>n):
        print("%0.4f"%(sum(d)/(1.0*n)))


print_attack_measure("1.pcap") # sem ataques
print_attack_measure("2.pcap") # com ataques

O presente código é uma tentativa de implemetar a sugestão de @ederwander Infelizmente ainda não funciona. Alguma sugestão?

A função lambda extrai os IPs de origem e destino do pacote.

pacote enviado ao servidor : +1 pacote enviado pelo servidor : -1

O código está em http://pastebin.com/DFEnZzqn

Erro: http://imgur.com/a/KC87V

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .