DDOS
o nome já diz tudo (Distributed Denial of Service), é um ataque distribuído vindo de vários IP's(locais), esse tipo de ataque simplesmente entope um serviço tornando o servidor atacado incapaz de responder requisições, isso só vai acontecer se o poder de envio de requisições dos seus robôs ultrapassarem os limites de processamento do servidor atacado.
Portanto o seu script de teste não pode ser considerado um DDOS
, o seu ataque não é distribuído, só está vindo de um único local...
Como eu sei o intervalo de tempo mínimo que eu tenho que incluir
dentro do while para que meu pc não trave durante o ataque?
Não temos como responder, vai depender do poder de processamento do seu PC
, um ataque distribuído é infinitamente mais eficiente, pois você pode por exemplo "falar" para 1000 robôs zumbis(PC's infectados em diferentes lugares do planeta) enviarem pacotes a cada 30 milissegundos, ou seja um while com um tempo maior que não trave o seu PC seria compensado pela quantidade de zumbis que você tem controle!
Que porta é melhor para o ataque? Eu tentei usar a porta 80, 21, 22,
que eu já vi outros atacando mas não sei direito se tem uma regra que
usam para determina-la ou se são só populares.
Em teoria qualquer porta que o seu alvo destino tenha aberta, cada porta do seu exemplo determina um serviço aberto, porta (80) é atacada quando vc quer tirar um site do ar, porta 21 é atacada quando vc quer parar um serviço FTP, porta (22) quando você quer derrubar o serviço SSH...
Como eu sei que o ataque está funcionando?
Vc vai saber quando a porta que está atacando parar de responder, se estiver atacando a porta 80 e conseguir minar todo o poder de processamento do servidor atacado, ninguém conseguirá acessar o site, simm vc causou uma negação de serviço se isso acontecer ...
Como eu sei por outro computador reconhecer o ataque? E como eu
poderia impedi-lo de outro computador?
Em primeiro lugar somente o "dono" da rede/servidor atacado é capaz de impedir e identificar algo, se o ataque for somente um DOS
, algum PC sozinho enviando requisições dentro de um while
, é relativamente simples conter o ataque de um lobo solitário
, um bom firewall negando todos os pacotes do IP do atacante vai conter o ataque...Mas se o ataque for distribuído a requisição vai vir de muitos IP's diferentes, sniffar a rede e tentar achar quais IP's estão enviando requisições como se não houvesse amanhã é a saída, com os IP's em mãos vc terá q ir bloqueando um por um no seu Firewall, esse tipo de ação é demorada, encontrar todos os atacantes em um ataque distribuído pode levar horas, esse tipo de ataque é realmente complicado de conter por completo...
Segue um exemplo real de ataque acontecendo no meu servidor, foi um SYN-Flood
na minha porta 80
, eu identifiquei o ataque praticamente no mesmo momento que ele começou, eu tenho mecanismos de controle de conexão por socket, possuo alertas automáticos que disparam emails, ligam, enviam SMS, etc, caso determinada porta possua mais conexão do que esperado (meu algoritmo toma decisões baseado na média de acessos que cada porta possui, se esse valor extrapolar os alertas começam a ser enviados), este mesmo algoritmo adiciona o IP do atacante no firewall para ser bloqueado, esse tipo de ataque não vai aparecer nos logs do servidor Web(apache, nginx, etc), quando um ataque desse tipo acontece (SYN flood - inundar a porta com pacotes SYN na tentativa de negar o serviço), quem tiver acesso ao servidor atacado vai conseguir enxergar várias conexões SYN_RCVD
abertas, seja utilizando sniffers ou olhando as estatísticas de acessos na interface do seu servidor, um exemplo real executado no meu servidor no momento do ataque:
netstat -na | grep SYN_RCVD | awk '{print $5}' | cut -d. -f -4 | sort | uniq -c
232 222.93.XXX.XX
O retorno me disse que tinha 232
conexões SYN_RCVD
vindo do IP 222.93.XXX.XX
Segue um Gráfico de monitoramento da porta 80
do meu servidor, fica claro a discrepância de acessos para quando o ataque começou:
O primeiro gráfico mostra um ataque acontecendo, sem script de controle de conexões, repara que por um longo tempo teve por volta de 230
conexões vindo do mesmo IP, o segundo gráfico mostra uma tentativa de ataque, teve um pico de conexão de aproximadamente 38
conexões do mesmo IP, mas o ataque foi contido após esse pico pelo meu algoritmo!
Este é um exemplo prático de como monitoro e tomo uma ação para ataques desta natureza.
Geralmente os DDOS
ou DOS
enviam uma enxurrada de pacotes SYN-ACK
, estes pacotes consomem recursos do servidor atacado, o pacote fica aberto esperando uma resposta até atingir um time-out, ou seja o pacote fica lá ocupando recurso sem nunca existir uma resposta...