(d)Dos aanvallen en andere scriptkiddie-attacks

[twixx]

Het moet niet gekker worden, wat lees ik nu op Fok!

Een Britse internetprovider is ten onder gegaan door een aanval van hackers. CloudNine Communications is de eerste ISP die dat overkomt.

Vorige week werden verschillende Britse internetbedrijven van een 'Distributed Denial of Service (DDoS)'- aanval. De bedrijven lagen uren tot dagen plat. Cloudnine kwam tot de conclusie dat de aanvallen, die al maanden geleden zijn begonnen, zoveel schade hebben aangericht dat het bedrijf veel te lang 'offline' zou moeten.

Het bedrijf heeft de politie ingeschakeld, maar doorgaans is het heel moeilijk daders van dergelijke aanvallen te vinden.

Hoe ziek kan je zijn?

Wat is jou mening over dergelijke aanvallen, wat kan en doe je er tegen?

[NightBird]

De mening van de gemiddelde bezoeker hier zal duidelijk zijn: dDoS is kut
Je kan er niets tegen doen .. dat is het rotte er van ..

[Eguan]

Even de discussie wat opvoeren:

Er was toch zo'n chip gemaakt die (d)Dos aanvallen tegen kon houden?

[F_J_K]

Op vrijdag 01 februari 2002 20:05 schreef Eguan het volgende:
Even de discussie wat opvoeren:

Er was toch zo'n chip gemaakt die (d)Dos aanvallen tegen kon houden?

DOS kan worden tegengehouden door alles van het IP van de aanvaller te droppen, maar bij een goede DDOS kan dit niet, omdat het van vele IP's komt;

als ik van 1 miljoen machines vandaan www.tweakers.net opvraag zal de server het niet af kunnen handelen. Het enige wat je zou kunnen doen om de server nog wat te kunnen laten doen is helemaal niet meer reageren op aanvragen voor tweakers.net. Maar dan heeft de DDOS dus gewerkt... (toch?)

[twixx]

Je kunt een dos-attack wel detecteren. Als van 1 host meer dan zoveel packets/seq komen zou je die kunnen droppen. Nu nog apparatuur die dat zosnel kan detecteren?

[HGM]

tja, opzich zouden bedrijven zich eerst moeten afvragen waarom ze het slachtoffer worden, lijkt me.

En wat IMO meer belangrijk is, is dat de politie (of iets in die richting) eens wat actiever en met meer intelligentie zich op Internet moet gaan richten. Als dit nu al mogelijk is, wat moet dat dan in de toekomst wel niet worden??, wanneer iedereen nog snellere PC's en grotere verbindingen heeft??

Ik vraag me trouwens af of je dit soort attacks wel aan scriptkiddie's toe moet blijven schrijven..??

[F_J_K]

Wat mij betreft ligt het probleem minder bij de politie, en meer bij de gebruikers die geen up-to-date virusscanner, vuurmuur en OS hebben, zodat trojaanse paardjes makkelijk binnen komen. Deze paardjes kan je dan weer opdracht geven mee te DOSsen. (Iets te simpel gezegt).

Als iedereen z'n systeem goed dichtspijkerd zal het moeilijk worden om een DDOS uit te voeren in je eentje...

Misschien is het een idee om mensen die geen goede beveiliging hebben te weren van een paar populaire sites.

[HGM]

Op vrijdag 01 februari 2002 20:38 schreef F_J_K het volgende:
iets over updates en virusscanners

Tja, dit zou dan toch eerst onderzocht moeten worden denk ik. Maar een probleem moet je IMO toch bij de wortel aanpakken.

[Verwijderd]

Het grootste probleem op de hoeveelheiddata na is dat het verkeer 9 van de 10 keer ook nog gespoofed is. Zo kun je dus nooit zien waar het vandaan komt of wie er verantwoordelijk is voor de DoS.

Wanneer iedereen die zijn netwerk koppelt aan het internet zijn router zo insteld dat alleen de IP's die hij annouced of de achterliggende AS'en doen doorlaat kun je iig nooit gespoofed verkeer krijgen op internet.

Wanneer er geen gespoofed DoS verkeer het net op komt kun je het eenvoudig localiseren en bestrijden.

De meest effectieve manier om een DoS te stoppen is om de target-IP's tijdelijke te un-announcen, de DoS loopt dan dood op de eerste router en wordt zo dus verspreid en richt nergens subtantiele schade aan.

En natuurlijk zolang mensen hun systemen niet bijhouden is het kinderlijk eenvoudig om een dDoS op te zetten.

[Axel666]

hierbij mijn geratel hier over:

Zover ik weet is de enige manier om dit een beetje tegen te houden op de routers waar het nog geen probleem is de attack pakkets eruit te filteren. Bij icmp pakkets kan dit wel, maar als de attack word gedaan met een ander soort wat je normale clients ook nodig hebben dan heb je toch een probleem, want dan zou het target ook niet berijkbaar zijn, wat de hele bedoeling van de attack is. Hmmz andere manier is door alle packets terug te tracen, ook als ze gespoofed zijn moet dit te doen zijn (moet iedereen waar die dingen langs gaan wel mee werken en je een kijkje op hun routers laten nemen). Op die manier kan je achter de adressen komen waar het vandaan komt.... erhm owja ddos dat kunnen dus makkelijk duizenden machines zijn. Vervolgens moet je dan met alle providers contact op nemen waar die dingen vandaan komen en moeten die weer zorgen dat de clients ermee op houden... juist in het kort: fat chance.

Hmmz target ips unannouncen. ja dan houd de attack idd op, erg jammer dat het doel van de attack dan ook niet te berijken is, heej das juist wat de attacker wilde. Nou dan geef je die toch een ander ip adres... jah dan zal je belager zich daar wel op gaan richten. lijkt mij niet een super oplossing.

Hmmz enige wat je een beetje er egen kan doen is er voor zorgen dat je provider (er vanuit gaande dat die de attack wel aan kan) een slimme vuur muur er neer zet die kan zien welke packets van de attack zijn en welke niet. Voorbeeld: een ack packet moet iedere pc sturen om een tcp connectie op te bouwen, zo'n vuurmuur zal kijken hoeveel ack packets er van een ip adres af komen zijn dit er 2 iedere 5 seconden dan is het een gewone client zijn dit er meer dan 20 dan word de client geblocked. (ok was maar een voorbeeld let niet op de values)

Erhm maar wat als het programma dat word gebruikt om te flooden meerdere type packets gebruikt en ook nogeens het spoofed ip adres random verandert iedere 10 secs? nou ik heb nog niet zo'n proggie gezien, maar het zal vast wel bestaan en dan ben je vlink de ***

Hier even een intressant artiekeltje van zo'n voorval, hoe onze vriend van shields up door iemand van 13 met een groot flood net onder vuur werd genomen.

http://grc.com/dos/grcdos.htm

erhm over de vraag moeten we dit af blijven schrijven op script kiddies etc: ja ik denk in elk geval de nutteloze attacks wel, als je neonazies-r-us.com runt kan ik me nog wel indenken dat het door een pro gedaan word, maar daar gaan we even niet van uit. Zoals je ziet in ons voorbeeld was de reden compleet bullsh*t en word dit inderdaad door de zogenaamde "scriptkiddies" gedaan. Het leuke ervan is zoals je ook kan lezen, dat er toch weinig voor hun op het spel staat mochten ze gepakt worden. Voor echte organisaties/hackers is dit niet zo en zullen ze echt wel een goede(of slechte) reden hebben (nutcases en terroristen even buiten beschouwing )

Spoofed traffic op inet voorkomen zoals al gezegt, zou in elk geval helpen bij het blocken van zulke attacks en het er achter komen waar het vandaan komt, maar de dader heb je dan nog niet....

Ze zouden er gewoon een lekkere zware straf op moeten zetten, de stoel ofzo dan zullen mensen wel 2 keer denken voordat ze zoiets doen. Jammer dat het wel erg makkelijk zou zijn om iemand te framen

[mr_daTA]

Misschien dat je dit ook interessant vindt.

Is van een surfnetbijeenkomst.
http://www.surfnet.nl/bijeenkomsten/cert/thomas/home.html

[twixx]

Nu ook een heel artikel op de t.net frontpage: DDoS aanvallen zorgen voor faillissement door Gabi Gaasenbeek.

[Wilke]

Op vrijdag 01 februari 2002 20:28 schreef HGM het volgende:
tja, opzich zouden bedrijven zich eerst moeten afvragen waarom ze het slachtoffer worden, lijkt me.

Op zich waar, maar heel vaak is er geen duidelijk aanwijsbare reden. En tja, vijanden zul je altijd wel hebben, daar zit niet het echt probleem. Het probleem is alleen dat het zo makkelijk is (relatief gezien) om een DDoS uit te voeren - de pakkans is klein, de schade groot, en er is geen grote hoeveelheid kennis voor nodig.

Vergelijk het met het opblazen van brievenbussen rond oud&nieuw: het is makkelijk, de pakkans is klein, op dezelfde manier 'leuk' (haha) als het uitvoeren van een DDoS, en tja, het gebeurt echt niet omdat men nou specifiek een hekel heeft aan de PTT/tegenwoordig TPG.

Het is meer een kwestie van mogelijkheid/niet nadenken/'stoer' doen (niet mijn idee van stoer zijn, om een DDoS uit te voeren of een brievenbus op te blazen, maar ja, het gebeurt toch dus zal het wel een kick geven ofzo )

[SuBLiMiTeD]

Op dit moment is het gewoon een feit dat wanneer een aantal (ingehuurde) script kiddies als doel hebben een site (of router) te DDos-en je er gewoon niets aan kan doen....

Ik zat net even een beetje te dromen en kwam op een grappig idee... Ik ben benieuwd wat jullie er van vinden en denken of dit scenario op een of andere manier mogelijk is:

DDossen is eigenlijk een vorm van 'oorlog voeren' waarbij al je packetjes je munitie is...
Je schiet net zo lang met zo veel mogelijk aanvallers (zombies) tot de boel kapot is..

Bij een oorlog kan je je meestal verdedigen (muur bouwen, bunkers, enz). Bij een Ddos gaat dat echter grotendeels (afgezien van Firewal) niet op, aangezien een firewall ook makelijk 'down' te halen is als je maar genoeg pakketjes stuurt..


Maar!
Zou je niet een vorm van Lucht afweer systeem kunnen opzetten...?
Hiermee bedoel ik het volgende:

Zodra je een Ddos detecteerd laat je een applicatie alle IP adressen verzamelen van de zombies waar de aanvallen vandaan komen. Deze applicatie stuurt (middels een isdn lijntje) alle IP nummers door naar een organisatie welke meteen een COUNTERSTRIKE uitvoerd op deze zombies (ook middels een DDos)...
Zo leg je een voor een alle zombies plat en is je aanval voorbij.....

Deze organisatie zou natuurlijk een groot bedrijf kunnen zijn, maar net zo makkelijk ook in de vorm van de bekende

Iedereen een appje op ze computer welke meehelpt aan een Ddos zodra dit nodig is.
Deze app zou dan natuurlijk wel middels bv. een PKI (Public Key Infrastructure) opgezet moeten worden zodat alleen een onafhankelijke organisatie het commando om te vuren kan geven .....

Ik zie zelf 2 problemen bij dit (lange) verhaaltje:

- Hoeveel IP adressen van zombies kan je verzamelen als je aangevallen wordt?

- Hoe voorkom je dat er misbruik gemaakt wordt van deze Counterstrike service.. (gewoon voor de lol het IP adres van je buurman aan de organisatie doormailen) (112 wordt ook nog 1000000 x per jaar voor niets gebelt, en dat alleen in Nederland).

Dat wat betreft deze 'brainwave' ......

[Verwijderd]

Kan iemand mij ff een beetje uitleggen wat 'n dDoS attack zoal voorstelt?

[Verwijderd]

Op maandag 04 februari 2002 16:28 schreef SuBLiMiTeD het volgende:
Op dit moment is het gewoon een feit dat wanneer een aantal (ingehuurde) script kiddies als doel hebben een site (of router) te DDos-en je er gewoon niets aan kan doen....

Ik had zat net even een beetje te brainstormen en kwam op een grappig idee... Ik ben benieuwd wat jullie er van vinden en denken of dit scenario mogelijk is:

DDossen is eigenlijk een vorm van 'oorlog voeren' waarbij al je packetjes je munitie is...
Je schiet net zo lang met zo veel mogelijk aanvallers (zombies) tot de boel kapot is..

Bij een oorlog kan je je meestal verdedigen (muur bouwen, bunkers, enz). Bij een Ddos gaat dat echter grotendeels (afgezien van Firewal) niet op, aangezien een firewall ook makelijk 'down' te halen is als je maar genoeg pakketjes stuurt..


Maar!
Zou je niet een vorm van Lucht afweer systeem kunnen opzetten...?
Hiermee bedoel ik het volgende:

Zodra je een Ddos detecteerd laat je een applicatie alle IP adressen verzamelen van de zombies waar de aanvallen vandaan komen. Deze applicatie stuurt (middels een isdn lijntje) alle IP nummers door naar een organisatie welke meteen een COUNTERSTRIKE uitvoerd op deze zombies (ook middels een DDos)...
Zo leg je een voor een alle zombies plat en is je aanval voorbij.....

Deze organisatie zou natuurlijk een groot bedrijf kunnen zijn, maar net zo makkelijk ook in de vorm van de bekende

Iedereen een appje op ze computer welke meehelpt aan een Ddos zodra dit nodig is.
Deze app zou dan natuurlijk wel middels bv. een PKI (Public Key Infrastructure) opgezet moeten worden zodat alleen een onafhankelijke organisatie het commando om te vuren kan geven .....

Ik zie zelf 2 problemen bij dit (lange) verhaaltje:

- Hoeveel IP adressen van zombies kan je verzamelen als je aangevallen wordt?

- Hoe voorkom je dat er misbruik gemaakt wordt van deze Counterstrike service.. (gewoon voor de lol het IP adres van je buurman aan de organisatie doormailen) (112 wordt ook nog 1000000 x per jaar voor niets gebelt, en dat alleen in Nederland).

Dat wat betreft deze 'brainwave' ......

haha jou "oplossing" zorgt alleen maar dat je lijn nog voller komt te zitten, je server het nog drukker krijgt en alles nog sneller over zijn nek gaat...

overigens is een ddos attack meestal met valid request iets wat een firewall dus gewoon doorlaat...

[Verwijderd]

Op maandag 04 februari 2002 16:33 schreef Tweak-Metallica het volgende:
Kan iemand mij ff een beetje uitleggen wat 'n dDoS attack zoal voorstelt?

Een dDoS is een Distributed Denial of Service attack, dit houd in dat er door gebruik van verschillende servers van over de hele wereld een service, servers of netwerk platgelegd probeert te worden.

En DoS is niet bedoeld om een systeem te penetreren maar domweg op te laten houden met functioneren. Dit kan weer op 2 verschillende manieren: service laten overbelasten (inetd DoS bv.) of de uplinks vollaten lopen.

Zoals eerder gezegd in dit topic is er niet veel kennis voor nodig om een DoS of service attack te beginnen maar het kan desondanks een grote impact hebben op het slachtoffer. Deze 2 factoren (weinig kennis, groot impact) maken dDoS gevreesd en verafschuwt.

[silentsnow]

en je hebt natuurlijk ook nog Teardrops. Dat is toch iets nieuws?

[Verwijderd]

Op maandag 04 februari 2002 16:28 schreef SuBLiMiTeD het volgende:
Zou je niet een vorm van Lucht afweer systeem kunnen opzetten...?

Hehe ik jouw IP spoofen of nog beter: dat van de Wimlex en maxima chat... on my command unleash hell..

Zolang er gespoofed verkeer rondwaart op internet is deze optie een no-go, en daarbij is niemand gebaat bij dit soort counter-measures. Beter zou zijn om diegene vanwaar de DoS komt af te sluiten van het internet totdat ie de bron gelokaliseerd en geelimineerd heeft.

[JoY]

Beter zou zijn om diegene vanwaar de DoS komt af te sluiten van het internet totdat ie de bron gelokaliseerd en geelimineerd heeft.

Is dat net zoiets als : en nou je mond dicht en dooreten !!

[serkoon]

Op maandag 04 februari 2002 17:12 schreef JoY het volgende:

[..]

Is dat net zoiets als : en nou je mond dicht en dooreten !!

Ja. *big shock*

[F_J_K]

Op maandag 04 februari 2002 16:49 schreef sproggle het volgende:

[..]

Hehe ik jouw IP spoofen of nog beter: dat van de Wimlex en maxima chat... on my command unleash hell..

Zolang er gespoofed verkeer rondwaart op internet is deze optie een no-go, en daarbij is niemand gebaat bij dit soort counter-measures. Beter zou zijn om diegene vanwaar de DoS komt af te sluiten van het internet totdat ie de bron gelokaliseerd en geelimineerd heeft.

Sluit je nu degene af wiens IP gespoofed is? Dan heb je niet eens veel machines nodig om de dDOS'sen, een of twee machines met gespoofde IP van je echte doelwit is genoeg...

Ennuh, hoe kan iemand met een afgesloten IP z'n systeem beveiligen als hij geen patches kan downloaden?

Ik vind dat we gewoon met elkaar af moeten spreken aardig voor elkaar te zijn en het niet doen!!

[Axel666]

Op maandag 04 februari 2002 16:47 schreef silentsnow het volgende:
en je hebt natuurlijk ook nog Teardrops. Dat is toch iets nieuws?
[/quote]

nieuw? nah volgens mij bestonden smurf land tear en zelfs new tear al in 1996.. kan ik me herinneren

[Mark]

Op maandag 04 februari 2002 17:28 schreef Axel666 het volgende:
nieuw? nah volgens mij bestonden smurf land tear en zelfs new tear al in 1996.. kan ik me herinneren

Teardrops, bonk, land, enz zijn inderdaad al oud. Deze maken gebruik van een bug in de IP stack (meestal van MS systemen). Hierdoor crasht het systeem direct. Gelukkig hebben leveranciers deze bugs al jaren geleden opgelost en dit soort praktijken nu redelijk onschuldig.

Helaas kunnen we dat nog steeds niet zeggen van DDoS attacks.

Een oplossing zou zijn om zo snel mogelijk over te gaan op IPv6 welke beter beveiligd is tegen zaken als spoofing. Natuurlijk is het weer een kwestie van tijd voordat hier weer methodes voor gevonden zijn om toch te kunnen spoofen.

Ik heb zo'n donkerbruin vermoeden dat we voorlopig nog wel te maken zullen hebben met DDoS attacks, of er moeten corerouters komen die zo snel zijn dat ze de routes waar vandaan de packets komen meteen kunnen droppen. Als je dit soort routers opstelt in alle internet exchanges ben je een heel eind volgens mij.

Tot de tijd dat er iemand genoeg bandbreedte heeft om een gehele Internet Exchange plat te leggen natuurlijk....

[Verwijderd]

Op maandag 04 februari 2002 18:15 schreef Mark het volgende:
Een oplossing zou zijn om zo snel mogelijk over te gaan op IPv6 welke beter beveiligd is tegen zaken als spoofing. Natuurlijk is het weer een kwestie van tijd voordat hier weer methodes voor gevonden zijn om toch te kunnen spoofen.

Als iedereen zijn netwerk apparatuur goed zou configureren zou spoofen ook niet mogelijk zijn.

[happy3736]

het verbaast me dat chello nog geen slachtoffer is
al die klanten zijn echt wel ontevreden ( ik ook )

maarja hoe kan je dossen als je geeneens op i-net kan komen

[Mark]

Op maandag 04 februari 2002 18:26 schreef sproggle het volgende:

[..]

Als iedereen zijn netwerk apparatuur goed zou configureren zou spoofen ook niet mogelijk zijn.

Zelfde idee als dit: Als iedereen lief was voor elkaar was er nooit oorlog....

Not done dus. Aangezien er nog bergen n00b sysadmins hun werk mogen doen zal dit dus nooit gebeuren.

[Verwijderd]

Op maandag 04 februari 2002 18:28 schreef happy3736 het volgende:
het verbaast me dat chello nog geen slachtoffer is
al die klanten zijn echt wel ontevreden ( ik ook )

maarja hoe kan je dossen als je geeneens op i-net kan komen

Plz, ik wil dit topic even op niveau houden.. dus reply alleen als je denkt toegevoegde waarde te hebben.. 'mmkay?

[Verwijderd]

Op maandag 04 februari 2002 18:30 schreef Mark het volgende:

[..]

Zelfde idee als dit: Als iedereen lief was voor elkaar was er nooit oorlog....

Not done dus. Aangezien er nog bergen n00b sysadmins hun werk mogen doen zal dit dus nooit gebeuren.

Hoe n00b moet je zijn om 192.168.x.x adressen door je router het net op te laten gaan? Dan ben je IMHO beyond-n00b

[serkoon]

Op maandag 04 februari 2002 18:32 schreef sproggle het volgende:

[..]

Hoe n00b moet je zijn om 192.168.x.x adressen door je router het net op te laten gaan? Dan ben je IMHO beyond-n00b

20:06:36.413034 127.0.0.1 > 217.122.x.x: icmp: echo request

Sjah.. surfnet filtert niet, $universiteit filtert niet, @home filtert niet en serkoontje kan spoofen

Oftewel: zelfs op grote netwerken waar je toch de boel wel voor elkaar zou moeten hebben is de boel niet zo dicht als je wel zou willen...

IPv6 doet daar niet veel aan af, tenzij de routers standaard raar verkeer tegenhouden. Maar dat kan net zo goed nog met IPv4. Enige verschil is dat het met ipv6 hierarchisch opgebouwd zal worden dat itt hoe de IP-space nu verdeeld wordt.

[Axel666]

erhm correct me if I'm wrong, maar ookal zijn die routertjes goed geconfigd dan kan je toch altijd nog een adres spoofen dat op hetzelfde netwerk zit?

voorbeeld je hebt ip 24.31.93.11 subnet 255.255.255.0
je router zo zo ingestelt dattie spoofen mot voorkomen. Dan is het toch altijd nog mogelijk om bv adres 24.31.93.243 te spoofen?? ok je kan het dan beperken tot van welk netwerk het komt maar de daad werkelijke dader is nogsteeds heel moelijk te vinden.

[SuBLiMiTeD]

Op maandag 04 februari 2002 16:44 schreef betweter het volgende:

[..]

haha jou "oplossing" zorgt alleen maar dat je lijn nog voller komt te zitten, je server het nog drukker krijgt en alles nog sneller over zijn nek gaat...

Dat lijkt me wel meevallen. Een simpel Appje dat IP adressen uit de header trekt en deze verzameld in een text file en vervolgens doormail, daar wordt je PC echt nie veel trager van (mits goed geprogrameerd).

overigens is een ddos attack meestal met valid request iets wat een firewall dus gewoon doorlaat...

Maar je firewall kan je WEL prima gebruiken als een beperkt 'pantser' voor een aanval. Zo kan je bepaalde request blokken (bijvoorbeeld naar je Web server) door IP Packet en/of Content filtering toe te passen...
Alleen lost het natuurlijk niet het probleem op, omdat je de aanval alleen maar iets verder van je interne netwerk afhoud en je 'ophaalbrug' (router/firewall) de dupe wordt.

[Verwijderd]

Op maandag 04 februari 2002 21:03 schreef Axel666 het volgende:
voorbeeld je hebt ip 24.31.93.11 subnet 255.255.255.0
je router zo zo ingestelt dattie spoofen mot voorkomen. Dan is het toch altijd nog mogelijk om bv adres 24.31.93.243 te spoofen?? ok je kan het dan beperken tot van welk netwerk het komt maar de daad werkelijke dader is nogsteeds heel moelijk te vinden.

Dan komt het op VLANning aan, iedere server of iedere klant stop je in z'n eigen vlan. En daarbij heb je in de MRTG gouw genoeg gezien wie er aan het DoSSen is geslagen.

[jep]

Denk ik verkeerd als ik zeg dat ze als de vuurdozen maar zwaar (lees krachtig) genoeg zijn, ze het wel tegen kunnen houden? De verbinding zit dan nog wel vol, maar los van dat.

Als firewalls alles blocken en niet crashen dan zijn we toch een een stuk verder?

[TumbleCow]

Misschien ga ik nu wat ver, maar ik denk dat zelfs de structuur van windows een van de oorzaken is van de grote hoeveelheden slagende dDos-en.

Het is overbekend dat er in windows nogal wat ernstige security-leaks zitten waarbinnen trojans binnengesmokkeld kunnen worden, en wat erger is:

Normaalgesproken heeft een windows-user altijd volledige rechten, deze rechten houden o.a. in dat het mogelijk is om het proggie te starten vanuit alle andere users. Een andere vervelende eigenschap van 'superusers' is dat die toegang hebben tot raw_socks (iig onder winxp). Laat raw_socks nou NET heel geschikt zijn om mooie DoS-pakketjes mee te fabriceren.

*nix-en hebben natuurlijk ook wel raw_socks, maar dan ook echt alleen maar voor de superuser of root, en als het goed is gaat een gebruiker echt niet surfen / mail lezen / vage proggies openen onder dat account.
Verder hebben users vaak nauwelijks rechten tot executables, waardoor het voor evt. trojans erg lastig wordt om zichzelf mee te laden @ boottime.

[Verwijderd]

wHiTeRaZoR: Met andere woorden, onder windows is de gebruiker het allergrootste gevaar niet het OS zelf. Dat zie je ook wel aan de 'exploits' voor windows, die spelen niet in op buffer overflows maar op ontwetendheid en nieuwschierigheid.

[Verwijderd]

Op maandag 04 februari 2002 16:28 schreef SuBLiMiTeD het volgende:
Op dit moment is het gewoon een feit dat wanneer een aantal (ingehuurde) script kiddies als doel hebben een site (of router) te DDos-en je er gewoon niets aan kan doen....

Ik zat net even een beetje te dromen en kwam op een grappig idee... Ik ben benieuwd wat jullie er van vinden en denken of dit scenario op een of andere manier mogelijk is:

DDossen is eigenlijk een vorm van 'oorlog voeren' waarbij al je packetjes je munitie is...
Je schiet net zo lang met zo veel mogelijk aanvallers (zombies) tot de boel kapot is..

Bij een oorlog kan je je meestal verdedigen (muur bouwen, bunkers, enz). Bij een Ddos gaat dat echter grotendeels (afgezien van Firewal) niet op, aangezien een firewall ook makelijk 'down' te halen is als je maar genoeg pakketjes stuurt..


Maar!
Zou je niet een vorm van Lucht afweer systeem kunnen opzetten...?
Hiermee bedoel ik het volgende:

Zodra je een Ddos detecteerd laat je een applicatie alle IP adressen verzamelen van de zombies waar de aanvallen vandaan komen. Deze applicatie stuurt (middels een isdn lijntje) alle IP nummers door naar een organisatie welke meteen een COUNTERSTRIKE uitvoerd op deze zombies (ook middels een DDos)...
Zo leg je een voor een alle zombies plat en is je aanval voorbij.....

Deze organisatie zou natuurlijk een groot bedrijf kunnen zijn, maar net zo makkelijk ook in de vorm van de bekende

Iedereen een appje op ze computer welke meehelpt aan een Ddos zodra dit nodig is.
Deze app zou dan natuurlijk wel middels bv. een PKI (Public Key Infrastructure) opgezet moeten worden zodat alleen een onafhankelijke organisatie het commando om te vuren kan geven .....

Ik zie zelf 2 problemen bij dit (lange) verhaaltje:

- Hoeveel IP adressen van zombies kan je verzamelen als je aangevallen wordt?

- Hoe voorkom je dat er misbruik gemaakt wordt van deze Counterstrike service.. (gewoon voor de lol het IP adres van je buurman aan de organisatie doormailen) (112 wordt ook nog 1000000 x per jaar voor niets gebelt, en dat alleen in Nederland).

Dat wat betreft deze 'brainwave' ......

het eerst wat mensen dan gaan doen is die "centrale organisatie" DDoSsen om vervolgens hun echte target te pakken.

tevens is dit een awful waste of bandwith. maarja, dat zijn DDoS attacks ook.

[Mark]

Op dinsdag 05 februari 2002 00:01 schreef wHiTeRaZoR een heel verhaal

Tsja, goede theorie, maar in de praktijk gaat dit niet op. Aangezien een goed DDoS net dient te bestaan uit een groot aantal hosts op ook nog eens redelijke verbindingen zijn de meeste DDoS clients dus toch *nix systemen. Vooral systemen op uni's e.d. zijn zeer gewilt.

Vergeet niet dat de gemiddelde Windows user een dial-up/kabel/ADSL user is die zijn PC uit zet als hij hem niet gebruikt. Dit zijn dus users die voor de echte DDoS'er niet interresant is.

Op IRC-net lopen mensen rond met een DDoS netwerk (stachel, trin00, etc) welke bestaat uit honderden hosts. Laat nu meer toevallig als 95% van deze machines *nix hosts zijn. Veel van deze machines zijn trouwens Solaris bakken welke nu ook niet echt zo'n schoon verleden (en heden) hebben wat betreft veiligheid.
Laat deze machines nu ook nog eens heel veel op uni's staan...

Verder denk ik dat er tegenwoordig veel te veel n00b (daar gaan we weer) sysadmins zijn die ooit het woord linux gehoord hebben en tevens gehoord hebben dat linux zo veilig is dat je er niets aan hoeft te doen (dit is een mythe welke nog steeds word verkondigd door veel linux aanhangers). Dus installeren ze ergens Redhat x op en kijken er een half jaar niet meer naar om.
Rara, wat is er in dat half jaar gebeurd met hun linuxdoosje.....

[TumbleCow]

Op dinsdag 05 februari 2002 00:12 schreef sproggle het volgende:
wHiTeRaZoR: Met andere woorden, onder windows is de gebruiker het allergrootste gevaar niet het OS zelf. Dat zie je ook wel aan de 'exploits' voor windows, die spelen niet in op buffer overflows maar op ontwetendheid en nieuwschierigheid.

Gedeeltelijk waar. Maar ook hierbij valt het op dat het ontwerp van het os niet echt meewerkt.
De gemiddelde linux-distro is 'out-of-the-box' iig al veiliger dan windows, en dus ook een stuk lastiger om zo maar ff een dDoS programma binnen te smokkelen, ook zonder medeweten van de gebruiker.

Verder is het systeem zo opgezet dat een fout van een gebruiker inderdaad 'fataal' kan zijn voor het systeem, aangezien de user standaard volledige rechten heeft.
Een vaag programmatje in een mailtje openen onder linux heeft een stuk minder gevolgen, aangezien de user dan alleen z'n eigen files kan aantasten.

[TumbleCow]

Op dinsdag 05 februari 2002 00:36 schreef Mark het volgende:

[..]

Tsja, goede theorie, maar in de praktijk gaat dit niet op. Aangezien een goed DDoS net dient te bestaan uit een groot aantal hosts op ook nog eens redelijke verbindingen zijn de meeste DDoS clients dus toch *nix systemen. Vooral systemen op uni's e.d. zijn zeer gewilt.

Vergeet niet dat de gemiddelde Windows user een dial-up/kabel/ADSL user is die zijn PC uit zet als hij hem niet gebruikt. Dit zijn dus users die voor de echte DDoS'er niet interresant is.

Op IRC-net lopen mensen rond met een DDoS netwerk (stachel, trin00, etc) welke bestaat uit honderden hosts. Laat nu meer toevallig als 95% van deze machines *nix hosts zijn. Veel van deze machines zijn trouwens Solaris bakken welke nu ook niet echt zo'n schoon verleden (en heden) hebben wat betreft veiligheid.
Laat deze machines nu ook nog eens heel veel op uni's staan...

Verder denk ik dat er tegenwoordig veel te veel n00b (daar gaan we weer) sysadmins zijn die ooit het woord linux gehoord hebben en tevens gehoord hebben dat linux zo veilig is dat je er niets aan hoeft te doen (dit is een mythe welke nog steeds word verkondigd door veel linux aanhangers). Dus installeren ze ergens Redhat x op en kijken er een half jaar niet meer naar om.
Rara, wat is er in dat half jaar gebeurd met hun linuxdoosje.....

Ik moet eerlijk zijn dat dat gegevens zijn waar ik niet over beschik, als iemand inderdaad ergens cijfers kan krijgen over de os-verdeling van de gemiddelde DoS-hosts dan zie ik die graag. Een aantal aannamens of gegevens zonder bron zijn van weinig waarde in een discussie.

Verder is het zeker zo dat er een hoop noob-admin redhat linux installeren. (wat dan toevallig ook meteen de onveiligste distro die er is is.) Maar dat soort systemen zullen over het algemeen ook geen 100mbit connectie hebben.

[Mark]

oo

Op dinsdag 05 februari 2002 14:33 schreef wHiTeRaZoR het volgende:

[..]

Ik moet eerlijk zijn dat dat gegevens zijn waar ik niet over beschik, als iemand inderdaad ergens cijfers kan krijgen over de os-verdeling van de gemiddelde DoS-hosts dan zie ik die graag. Een aantal aannamens of gegevens zonder bron zijn van weinig waarde in een discussie.

Verder is het zeker zo dat er een hoop noob-admin redhat linux installeren. (wat dan toevallig ook meteen de onveiligste distro die er is is.) Maar dat soort systemen zullen over het algemeen ook geen 100mbit connectie hebben.

Ik denk dat je je over het laatste helaas vergist. Ik kom met redelijk wat grote hosters regelmatig in contact en hoor de laatste jaren er heel veel klagen over de systemen die mensen bij hun in de colo plaatsen. Het aantal geroote systemen neemt gewoon steeds meer toe.
Het is zelfs een tijd zo erg geweest dat WideXS alle systemen welke bij hun in de colo stonden ging scannen met nessus om zo mensen te waarschuwen welke lekke services draaide.
Ik heb de eerste reports hieruit gezien en het was echt diep treurig. Meer als 25% had bijvoorbeeld telnetd nog open staan en meer als 25% gebruikte een lekke wu-ftpd.

Verder zijn er nog steeds mensen die weten dat SSH1 niet veilig is en dit nog doodleuk aan hebben staan op hun server (lees dit maar eens).

[serkoon]

Op dinsdag 05 februari 2002 16:35 schreef Mark het volgende:

Verder zijn er nog steeds mensen die weten dat SSH1 niet veilig is en dit nog doodleuk aan hebben staan op hun server (lees dit maar eens).

Hier haal je twee dingen door elkaar. SSH1 als protocol heeft zo zijn nadelen (Man In The Middle attacks bijv). Da's 1. Ten tweede is er nu een jaar terug de CRC-bug gevonden die voorkwam bij bepaalde implementaties van SSH1, waardoor root-rechten te verkrijgen waren.

Deze tweede onveiligheid is dus niet inherent aan het SSH1 protocol maar is simpelweg een remote-root bug.

[xychix]

Ik zou ook graag uitgelegd krijgen hoe een DDoS nou precies in zijn werk gaat!

ik ken alleen de variant dat jij met een spoofed ip(ip van slachtoffer) ping verkeer genereerd naar een broadcast adres van een zo groot mogelijk remote netwerk (of liefst meerdere netwerken)

als jij zelf een rechtstreekse ddos wilt doen moet jou bandbreedte toch echt groter zijn dan die van het slachtoffer. dat gaat dus "bijna" nooit lukken.

als jij zelf vanaf meerdere machines wilt aanvallen (dus niet de broadcast manier maar met de hand) dan zul je eerst 10 tallen machines in je macht moeten krijgen (lees hacken) dat lijkt me dan ook geen makkelijk scriptkiddie werk meer ?

welke opties bestaan er nog meer ???

[Verwijderd]

Op woensdag 06 februari 2002 12:47 schreef xychix het volgende:
..dan zul je eerst 10 tallen machines in je macht moeten krijgen (lees hacken) dat lijkt me dan ook geen makkelijk scriptkiddie werk meer ?

Dit is juist sciptkiddie werk bij uitstek, ooit van een auto-rooter gehoord?

[jep]

Op woensdag 06 februari 2002 12:47 schreef xychix het volgende:
Ik zou ook graag uitgelegd krijgen hoe een DDoS nou precies in zijn werk gaat!

ik ken alleen de variant dat jij met een spoofed ip(ip van slachtoffer) ping verkeer genereerd naar een broadcast adres van een zo groot mogelijk remote netwerk (of liefst meerdere netwerken)

als jij zelf een rechtstreekse ddos wilt doen moet jou bandbreedte toch echt groter zijn dan die van het slachtoffer. dat gaat dus "bijna" nooit lukken.

Als je 2 bakken met een 100MBit internet link in je macht krijgt ben je er in principe al. Zo simpel gaat 't..

[n4m3l355]

dos attacks zijn natuurlijk niet zo fraai maar we zouden ipv de "script kiddies" natuurlijk ook eens microsoft weer eens op z'n vingers kunnen tikken.. de reden dat het aantal dos attack toeneemt is omdat microsoft full raw sockets in win2k & xp heeft geimplanteerd terwijl dit helemaal niet nodig is.. maar dit maakt wel de steeds meer toenemende win2k/xp bakkies tot dos nodes.
dit was eerst alleen mogelijk met unix/linux bakken


daarbuiten dos attacks mag natuurlijk wel zo simpel klinken maar vanuit 1 computertje stelt het niets voor en doet het ook weinig schade het mooie van al die xp/win2k nodes is dat je met een goeie sweep al die bakkies zover krijgt om een dos attack uit te voeren

---
microsoft is hier trouwens van op de hoogte gesteld maar weigert zoals gewoonlijk weer er iets aan te doen

[F_J_K]

Op woensdag 06 februari 2002 20:05 schreef n4m3l355 het volgende:
de reden dat het aantal dos attack toeneemt is omdat microsoft full raw sockets in win2k & xp heeft geimplanteerd terwijl dit helemaal niet nodig is..

Wat veranderd dit aan dDOSsen? In de regel gebruik je niet je eigen systeem hiervoor, en dus is het niet zo'n ramp als het IP adres bekend gemaakt wordt, toch?

[Verwijderd]

Iedere ISP en ASP moet zijn netwerk zowel inkomend en uitgaand beschermen dus geen enkele bak mag niet meer voor een firewall komen te staan.

Dus customer (server of inbel adsl klant) -- firewall die dDOS tegenhoud -- router -- internet -- router andere isp -- firewall sDOS bestand -- andere server

ed ed ed...

als ze dat nou eens wettelijk verplichten dan heb je een stuk minder rotzooi!

Transparante zooi dan wel Zodat de klant er ook geen last van heeft. En geeft een kut script kiddie (dat zijn meestal van die hele maffe jochies with no life @ all) dan ook niet de kans om andere delen van het internet te verzadigen

[twixx]

NewAgePerformance aan wat voor apparatuur denk je dan? Ik lees op de PDF van netscreen dat er hardware in zit die dergelijke floats kan herkennen, maar werkt het ook? En HOE werkt het?

Anyway wel 'jammer' dat de ISP (en dus indirect de klant) moet betalen voor deze 'protectie'. De klant zal voor 10,- minder kiezen gok ik. Zijn dergelijke 'attacks' in IPv6 nog mogelijk?

[xychix]

Op woensdag 06 februari 2002 14:03 schreef sproggle het volgende:

[..]

Dit is juist sciptkiddie werk bij uitstek, ooit van een auto-rooter gehoord?

nee! verklaart u nader.

een programma dat je draait dat je root acces geeft op een aantal bakken.. haha die is goed.

[Vorkie]

je bent zielig eigenlijk als je dDos gebruikt. maar oke

doen omdat je het leuk vind f^## off ga dan met je gameboy spelen ofzow! ts

en 13 jaar, die GRC heeft aangevallen, wat moet daar van worden? Niet hé nee oke

[serkoon]

<autorooter>

Op donderdag 07 februari 2002 07:30 schreef xychix het volgende:

nee! verklaart u nader.

een programma dat je draait dat je root acces geeft op een aantal bakken.. haha die is goed.

Inderdaad.

Het enige wat zo'n ding doet is een range scannen op vulnerabilities, exploits draaien, rootkit installeren. Volledig automatisch, zelfs de meest idiote scriptkiddie kan het gebruiken. Een beetje scriptkiddie doet zo enkele tientallen dozen per dag.

[serkoon]

<foute nick detected>

Op woensdag 06 februari 2002 20:05 schreef n4m3l355 het volgende:
dos attacks zijn natuurlijk niet zo fraai maar we zouden ipv de "script kiddies" natuurlijk ook eens microsoft weer eens op z'n vingers kunnen tikken.. de reden dat het aantal dos attack toeneemt is omdat microsoft full raw sockets in win2k & xp heeft geimplanteerd terwijl dit helemaal niet nodig is.. maar dit maakt wel de steeds meer toenemende win2k/xp bakkies tot dos nodes.
dit was eerst alleen mogelijk met unix/linux bakken

Hoezo napraten van een of ander malloot die een of andere mallotige site grc.com schijnt te hebben? Dat MS er nu nog eens achter komt dat er ook zoiets bestaat als raw sockets is triest. Dat ze raw sockets implementeren is alleen maar toe te juichen.

Het boeit ook niet eens:
1) Meeste spoofing gebeurt op laatste octet, waardoor het netwerk en vrij simpel de host te vinden zijn
2) Spoofing is ook zonder raw sockets best mogelijk onder NT.

daarbuiten dos attacks mag natuurlijk wel zo simpel klinken maar vanuit 1 computertje stelt het niets voor en doet het ook weinig schade het mooie van al die xp/win2k nodes is dat je met een goeie sweep al die bakkies zover krijgt om een dos attack uit te voeren

En dat is met *nix niet zo? Zoveel cluelesser dan veel *nix admins zijn windows gebruikers niet hoor. Het grootste gedeelte van gehackte bakken is pure cluelessness.

microsoft is hier trouwens van op de hoogte gesteld maar weigert zoals gewoonlijk weer er iets aan te doen

Hoezo 'op de hoogte gesteld'? Die lui weten echt wel dat je door raw sockets volledige controle krijgt over de inhoud van packets die je uitstuurd. Dat brengt risico's met zich mee, maar dat is een non-issue. Unixen doen al tijdstijden aan raw sockets. Daar zeurt men toch ook niet over?

[Verwijderd]

Er zijn meer linux en bsd bakken gehackt dan windows servers. Dat is ook vrijwel logisch een slechte unix admin word 9 van de 10 keer ook gehackt En tja dat er wormen zijn die IIS gek maken. Ok cool progje, maar daar voer je geen dDOS mee uit. Er word meer van af gare linux bakken een dos uitgevoerd dan vanuit windoos bakken.

[x-wolf]

Op donderdag 07 februari 2002 11:11 schreef NewAgePerformance het volgende:
Er zijn meer linux en bsd bakken gehackt dan windows servers. Dat is ook vrijwel logisch een slechte unix admin word 9 van de 10 keer ook gehackt En tja dat er wormen zijn die IIS gek maken. Ok cool progje, maar daar voer je geen dDOS mee uit. Er word meer van af gare linux bakken een dos uitgevoerd dan vanuit windoos bakken.

Zijn dit hard te maken waarheden of is dit alleen maar wat jij denkt? In dat laatste geval kan er wel weer eens een stevige linux/windows flamewar losbarsten.

* x-wolf denkt het laatste, hij gaat lekker achterover zitten en wacht op de flamewar

[9nevermind9]

linux of windows maakt niks uit. Als je een ddos aanval op een comp uitoefend van meerdere machines dan moet en windows en linux en een of andere chip eerst nog zegen van nee die mag niet door maar ondertussen is die wel even bezig geweest en dan krijg je direct al de 2e aanval en daar moet die weer nee tegen zeggen zo gaat dat door en als je maar genoeg computers gebruikt is het systeem binnen de kortste keren plat. Dus het maakt niet uit of je windows of linux gebruikt dus daar zal ook wel geen flamewar over uitbarsten. En dat er meer linux bakken voor gebruikt worden is ook niet waar die worden procentueel evenveel gebruikt voor ddos aanvallen maar er zijn meer computers met windows dus daar zullen wel meer aanvallen vanaf plaats vinden.

[Verwijderd]

Op donderdag 07 februari 2002 11:19 schreef x-wolf het volgende:

[..]

Zijn dit hard te maken waarheden of is dit alleen maar wat jij denkt? In dat laatste geval kan er wel weer eens een stevige linux/windows flamewar losbarsten.

* x-wolf denkt het laatste, hij gaat lekker achterover zitten en wacht op de flamewar

Puur uit ervaring, heb bij verschillende ISP's gewerkt en dan kwam er weer een clubje wat dacht te kunnen hosten en tof met een linuxje kwam en hoppa gehackt en daar gingen ze weer.

En ja met NT heb ik daar weinig problemen gezien, want meestal diegene die met NT beginnen te hosten nemen dat serieuzer. Of tenminste uit eigen ervaring.

Nog wel even zeggen dat ik een echte BSD/Linux Freak ben

[Mark]

Op donderdag 07 februari 2002 11:19 schreef x-wolf het volgende:

[..]

Zijn dit hard te maken waarheden of is dit alleen maar wat jij denkt? In dat laatste geval kan er wel weer eens een stevige linux/windows flamewar losbarsten.

* x-wolf denkt het laatste, hij gaat lekker achterover zitten en wacht op de flamewar

Ik ben ook een fanatiek unices aanhanger (werk zelf met Linux, BSD-en, AIX en HP-UX), maar weet uit ervaring dat het merendeel linux/slownaris bakken zijn die voor zoiets gebruikt worden. Vergeet niet dat de meeste Windows dozen (die voor een DDoS interresant zijn) bij de grote ISP's staan die ook echt wel beheerders hebben die weten waar ze het over hebben. Mensen die een Windows doos aan een ADSL/kabel aansluiting hebben zijn nou net niet zo idiaal om als DDoS host te gebruiken.
Aangezien het merendeel van de servers welke door kleine ISP's en ASP's gebruikt word Linux (of BSD) achtige machines zijn is daar ook veel meer te halen.

Verder is de hele discussie over Raw sockets een boel geblaat, deze zitten in de verschillende unices varianten al eeuwen (beetje overdreven) en zijn helemaal niet noodzakelijk voor een DDoS attack. Ik ga toch ook niet de universiteit van Berkely aanklagen dat zij raw sockets in de BSD IP-stack hebben gestopt ??? Of Sun, Novell, IBM, HP, enz ????

[Verwijderd]

Gaat een script dat het ip van een server veranderd tijdens een ddos helpen? Of stroomt z'n ISP dan toch vol zodat de server nog geen verbinding krijgt?

[F_J_K]

Op vrijdag 08 februari 2002 10:51 schreef Dobie het volgende:
Gaat een script dat het ip van een server veranderd tijdens een ddos helpen? Of stroomt z'n ISP dan toch vol zodat de server nog geen verbinding krijgt?

Als je het IP van een server veranderd, zal niemand het meer kunnen vinden (of je moet alle DNS servers meteen updaten, maar dan zal de aanvaller je weer kunnen vinden...)

[Flyduck]

Ddos attacks zullen meestal gericht zijn tegen een hostname ipv een direct IP adres. Dus wat ik zou doen in zo een geval is een DNS wijziging doorvoeren waarna de betreffende hostname verwijst naar een IP adres van de site van het whitehouse.gov. Dan komt het amerikaanse leger in actie en die hebben echt wel de kennis om zo een attack op te lossen.

[Verwijderd]

Op vrijdag 08 februari 2002 11:25 schreef Flyduck het volgende:
Ddos attacks zullen meestal gericht zijn tegen een hostname ipv een direct IP adres. Dus wat ik zou doen in zo een geval is een DNS wijziging doorvoeren waarna de betreffende hostname verwijst naar een IP adres van de site van het whitehouse.gov. Dan komt het amerikaanse leger in actie en die hebben echt wel de kennis om zo een attack op te lossen.

en anders de overreddings kracht of de middelen wel

btw whitehous.gov is multi-homed