[ddos] discussie en vragen draadje

[Diaboluzzz]

Ik zat me vanochtend een aantal dingen af te vragen, ik denk dat het, mits jullie je een beetje aan de 'regels' houden, een leuk discussie draadje kan worden.

• we praten hier over DDOS in het algemeen, dus niet over GoT (slechts ter illustratie)
• we praten niet over mogelijke daders en er wordt niet gespeculeert.
• lees dit ff -> http://gathering.tweakers.net/forum/list_messages/666608
• er worden _geen_ namen van programma's/trojan's or whatever genoemt, duid ze maar aan met een X oid
• ow ja, vragen om een ddos handleiding zal ook niet op prijs gesteld worden, dus geen links aub.

_{als Britney denkt dat er nog wat mist, be my guest to edit my post}

---

- "OK, wat is een DDOS attack eigenlijk?"
dat kun je hier lezen -> http://grc.com/dos/drdos.htm
En dat komt er op neer dat er via ontelbaar veel pc's requests worden gedaan naar een webserver oid.
De machine komt om in de requests en zal uiteindelijk crashen.

-"Hoe kan ik mezelf beschermen tegen mensen die mijn pc willen gebruiken voor een ddos attack?"

simpel, zorg dat je je pc regelmatig scanned met een antivirus programma, met ad-aware en installeer een goeie firewall.
Een ddos attack gaat zoals gezegd via vele pc's die op afstand aangestuurd worden, dit gaat door middel van een Trojan Horse.
Een trojan horse zet op jou pc een poort open waardoor de aanvaller toegang kan krijgen tot jou pc en vervolgens een ddos attack kan uitvoeren of jou pc kan 'hacken'.

---

Zo nu we weten wat een ddos is en hoe het werkt, (voor degenen die dat nog niet wisten), kunnen we nu beginnen met de discussie.

Zo vraag ik me af:
Hoe kan het dat een Ddos attack uitgevoert kan worden?
Je moet dus beschikken over een heleboel machines, maar hoe kom je aan deze machines, dat 1 op de 10 pc's over een Trojan beschikt kan ik me nog indenken maar hoe kun je erachter komen dat die pc een trojan heeft waar jij wat mee kan?

zal het mogelijk zijn om het gehele girale bank verkeer plat te leggen met zo'n ddos attack, ik bedoel 850 mbit is wel erg veel.
Is tweakers.net gewoon bagger qua security of is het gewoon echt een ramp dat ddos ?

Is er uberhaupt wel een manier om een Ddos effectief te kunnen weren ?

stelling:

Ddos is een effectieve manier van iemand lamleggen omdat de bron technisch en juridisch niet te achterhalen is, dit is dan ook de voornaamste reden dat ddos in de toekomst veel meer gaat voorkomen, het is nu nog redelijk onbekent maar zodra de scriptkiddies door krijgen hoe het werkt zal dit een groot probleem voor het internet verkeer vormen.

_{heb je bovenstaande ook echt gelezen ...}

[NEK]

Hoe kan dan in godsnaam een site zoals tweakers.net geraakt worden door een DDos attack? Zij zijn toch echt op de hoogte van de allerlaatste ontwikkelingen op het gebied van bescherming?

[Sen]

Hoe krijgen ze al die pc's bijmekaar om een dos uit te voeren?

Heel simpel eigenlijk. Er komt een exploit uit. Die wordt dan aan mensen gegeven om te laten zien wat ze kunnen. Maar nou zijn er crackers die om die exploit weer een scriptje schrijft die automatisch een range af gaan om te kijken of de exploit daar van toepassing kan zijn.

Als de exploit van toepassing is hackt het script de computer automatisch en meld het zich aan bij een irc server.

Vandaar werkt de dos aanval.

Die scriptjes die dus geschreven zijn door de cracker die automatisch alles uitzoekt en alles hackt. Worden weer doorgegeven aan andere "scriptkiddie's" waar ze met een paar variable aangepast hebben hun eigen dosnet hebben.

[ Voor 22% gewijzigd door Sen op 09-12-2002 16:05 ]

[Diaboluzzz]

Vast wel, maar er zijn nog geen echt effectieve manieren tegen een ddos attack, enigste wat je kan doen is de attacker laten denken dat je server down is door de packets binnen te houden ipv te replyen.

maar goed dit draadje is dus _niet_ toegespitst op tweakers.net..

[DinX]

NEK schreef op 09 december 2002 @ 16:01:
Hoe kan dan in godsnaam een site zoals tweakers.net geraakt worden door een DDos attack? Zij zijn toch echt op de hoogte van de allerlaatste ontwikkelingen op het gebied van bescherming?

lees goed, het is geen lek bij tweakers (in dit geval). Het zijn een hoop pc's bij mensen thuis, shell providers,... die een lek hebben. Hierop wordt een client geinstalleerd.
Nu verbind de starter van de DDOS even met al die clients en start daar een flood. Heel veel clients samen is een grote dos.
daarom heet het Distributed dos.

Hier kan niks tegenop. Al die clients gaan rotzooi verzenden naar die server, waardoor z'n hele lijn vol zit daarmee en geen andere requests meer kan aannemen. Meestal gaat z'n server dan ook over z'n nek

[sh4d0wman]

hier nog een document over een Distributed Reflection Denial of Service Attack. Veel info en leuk om te lezen!
http://www.dsinet.org/tex...Denial%20of%20Service.pdf

even een klein stukje er uit gequote:
"Perhaps the most startling aspect of this attack was that the apparent source was
hundreds of the Internet's "core routers", web servers belonging to yahoo.com, and even a machine with an IP resolving to "gary7.nsa.gov". We appeared to be under attack by hundreds of very powerful and well-connected machines."

[ Voor 47% gewijzigd door sh4d0wman op 09-12-2002 16:07 ]

[Verwijderd]

ik zie het nut niet echt van dit...
maar tegen een ddos kan je in prinicpe niets doen... je inet verbinding wordt gewoon volgepropt met data (vaak valid request) en dat wordt gewoon naar je toegestuurd.

verder een trojan luistert naar een bepaalde port (27xxx is een bekende), waarop je dus kan connecten...
naar mijn idee wordt dit voornamelijk door scriptkiddies gedaan... (alhoewel die komen misschien niet op het idee om de dns root servers te ddos-en zoals laatst...)

[TheGhost]

NEK schreef op 09 December 2002 @ 16:01:
Hoe kan dan in godsnaam een site zoals tweakers.net geraakt worden door een DDos attack? Zij zijn toch echt op de hoogte van de allerlaatste ontwikkelingen op het gebied van bescherming?

vraag 1: wordt een paar posts boven deze al beantwoord.
vraag 2: de t.net crew zal ongetwijfeld op de hoogte zijn van de allerlaatste ontwikkelingen, maar zijn deze ontwikkelingen ook betaalbaar voor een site als deze(die het voornamelijk van sponsering moet hebben)
en dan nog: je kunt je niet echt beschermen tegen DDos attacks. Je kan de boel misschien tegenhouden zodat je server up blijft maar dan zit je verbinding nog overvol zodat je nog niet bereikbaar bent voor je bezoekers. een DDos attack is gewoon (nog) niet te stoppen. er zal altijd schade worden ondervonden in de vorm van een overvolle dataverbinding. zelf DDos-sen naar de afzender van al die pakketjes gaat ook niet omdat de pc van de werkelijke dader (waarschijnlijk) niet eens mee doet met de aanval en je op die manier dus een ander onschuldig persoon iets aandoet wat jou is aangedaan. dat KAN en MAG simpelweg niet.

[The-Source]

zal het mogelijk zijn om het gehele girale bank verkeer plat te leggen met zo'n ddos attack, ik bedoel 850 mbit is wel erg veel

Als al jouw comps een datanet aansluiting (staat los van internet) dan zou je dat heeeel misschien kunnen ja.
Voor de rest is 99% van elke pc die mee doet aan een DDoS aanval een zo geheette zombie.
Die zombie blijft constant in een (beveiligd) irc kanaal wachten tot dat er een command komt in de vorm van een berichtje.
Dat bericht kan voor een aantal specifieke zombies zijn maar ook voor allemaal.
En de instructie zijn afhankelijk van de creativiteit van de maker.

[Diaboluzzz]

lowrider schreef op 09 December 2002 @ 16:12:
[...]


vraag 1: wordt een paar posts boven deze al beantwoord.
vraag 2: de t.net crew zal ongetwijfeld op de hoogte zijn van de allerlaatste ontwikkelingen, maar zijn deze ontwikkelingen ook betaalbaar voor een site als deze(die het voornamelijk van sponsering moet hebben)
en dan nog: je kunt je niet echt beschermen tegen DDos attacks. Je kan de boel misschien tegenhouden zodat je server up blijft maar dan zit je verbinding nog overvol zodat je nog niet bereikbaar bent voor je bezoekers. een DDos attack is gewoon (nog) niet te stoppen. er zal altijd schade worden ondervonden in de vorm van een overvolle dataverbinding. zelf DDos-sen naar de afzender van al die pakketjes gaat ook niet omdat de pc van de werkelijke dader (waarschijnlijk) niet eens mee doet met de aanval en je op die manier dus een ander onschuldig persoon iets aandoet wat jou is aangedaan. dat KAN en MAG simpelweg niet.

Nee en dus is Ddos de nummer 1 vijand van internet verkeer in de toekomst.
iedereen kan dan met brute force een grote firma platleggen zonder dat het achterhaalbaar is wie de bron was.

edit: reply op bovenstaande:
Dus een ddos attack is te voorkomen als je irc zal afschermen tegen bepaalde bots of chan messages ?

[ Voor 6% gewijzigd door Diaboluzzz op 09-12-2002 16:18 ]

[Verwijderd]

Zover ik weet zijn er ook een aantal simpele manieren om te DDOS-en. Kheb bijvoorbeeld al eens gehoord van een simpele DDOS bot. Zou me nog nix verbazen als het zo was.
Nooit gebruikt en nooit naar gekeken. Leek me wel aardig om te vermelden.

[sh4d0wman]

als men mijn documentje had doorgelezen kon je zien dat zombies niet altijd nodig zijn fijne gedachte??

hier een stukje waar het in terug te vinden is.
situatie: GRC.com word aangevallen door legitieme servers (bv. yahoo enzo)

There was no way that all, or probably any, of those hundreds of routers had been compromised or infected by any sort of Zombie. I realized that they were just ordinary, innocent, TCP servers doing their jobs. They were sending SYN/ACK packets to grc.com in the well-meaning belief that WE wanted to open a TCP connection with their built-in BGP servers.
In other words, a malicious hacker located somewhere else on the Internet, was SYNFLOODING INTERNET ROUTERS with TCP connection-requesting SYN packets. Those SYNpackets carried the fraudulent (spoofed) source IP belonging to grc.com. Therefore, therouters believed that the SYN packets were coming from us, and they were replying withSYN/ACK packets as the second phase of the standard TCP three-way connection handshake.

[QBiT]

Is het niet zo dat de nieuwste router tegewoordig DDOS attacks kunnen detecten ? Volgensmij wel. Dan is de volgende logische vraag : waarom is die bescherming niet aangebracht bij de routers van Trueserve ? Dat toch niet het minste hosting bedrijf is

edit : ze hebben daar 2 Juniper M20 routers. Even de specs opzoeken.

[ Voor 13% gewijzigd door QBiT op 09-12-2002 18:19 ]

[Verwijderd]

online webbased ddos tooltjes mogen ook niet gepost worden denk ik?

edit:
toch maar even iets nuttigs toevoegen:

QBiT schreef op 09 December 2002 @ 18:00:
Is het niet zo dat de nieuwste router tegewoordig DDOS attacks kunnen detecten ? Volgensmij wel. Dan is de volgende logische vraag : waarom is die bescherming niet aangebracht bij de routers van Trueserve ? Dat toch niet het minste hosting bedrijf is

Routers die dit kunnen detecteren en afsluiten beginnen net een beetje beschikbaar te worden, ik heb laatst nog iets gelezen over 2 nieuwe cisco-routers die dat kunnen... verder is het haast niet te betalen omdat het een hele nieuwe techniek is... die BTW ook nog half in ontwikkeling is

en een paar posts hierboven valt ook te lezen dat en waarom het heel moeilijk is tegen ddos's te beschermen. en ook al zou het lukken, en je houd ook nog bandbreedte over, dan heb je een dikke kans dat je ook andere zaken wegfiltert. en schiet je er weer geen donder mee op

[ Voor 99% gewijzigd door Verwijderd op 09-12-2002 18:16 ]

[kamerplant]

Diaboluzzz schreef op 09 december 2002 @ 15:56:
Is er uberhaupt wel een manier om een Ddos effectief te kunnen weren ?

Mja, microsoft schijnt meerdere verbindingen te hebben. Als er één wordt geDDoSsed gaat de website gewoon op verbinding 2. Je moet dan wel een héél groot zombienetwerk hebben om zo'n site dan compleet plat te leggen.
Maarja, dat kost geld. Microsoft heeft dat meer dan genoeg, Tweakers.net niet.
Voor de rest is er niks aan te doen. Vandaar dat het zo enorm lame dus is. De reactie op webwereld.nl vond ik ook wel erg goed:

De 'hacker' mag ook wel internet-vandaal worden genoemd

En tegen vandalisme is ook niet bijzonder veel te doen.. (om iedere hoek een politie agent zetten is natuurlijk ook onbetaalbaar)

stelling:

Ddos is een effectieve manier van iemand lamleggen omdat de bron technisch en juridisch niet te achterhalen is, dit is dan ook de voornaamste reden dat ddos in de toekomst veel meer gaat voorkomen, het is nu nog redelijk onbekent maar zodra de scriptkiddies door krijgen hoe het werkt zal dit een groot probleem voor het internet verkeer vormen.

Personen die op hun eigen systeem een zombie hebben en daarmee dDoSsen mogen IMO ook gerust meebetalan aan de schade. Het is gewoon hun schuld. Dat ze niet weten dat ze zo'n zombie hadden, is lekker hun eigen schuld. Na al die virussen van de afgelopen jaren hebben gehad, al die publiciteit ervoor, moeten mensen het nu zo langzamerhand toch wel een keertje weten dat je een goede virusscaner moet installeren en niet zomaar alles moet openen, lijkt me. Zo niet: Dan leren ze het op deze harde manier wel.

Als dat nou serieus wordt gedaan, moet het dDoSen inclusief virusworms toch echt wel een keertje stoppen.

[Resistor]

Vraag: Als een server binnen een paar seconden allemaal de zelfde requests krijgt, zouden ze dan een limiet kunnen stellen aan het aantal de zelfde requests tegelijk, zodat hij tijdelijk even wordt afgesloten van die bepaalde request, of maar een paar requests tegelijk kan afhandelen.
bv. 100.000 ping requests, zoveel kan nooit, ik weet dat ik per seconde gemiddeld maar 1000 requests te verwerken krijg, ik laat de 1e 2000 door, omdat 1000 een gemiddelde is, en de rest block ik.

[cybermans]

je blockt ze maar ze worden nog steeds gestuurd en zo slipt wel je verbinding dicht. Want de gemiddelde router zal op een gegeven moment met een volle buffer zitten en dan gaat deze droppen. Dit kunnen dus heel goed legale aan vragen zijn.

[QBiT]

cybermans schreef op 09 December 2002 @ 19:27:
je blockt ze maar ze worden nog steeds gestuurd en zo slipt wel je verbinding dicht. Want de gemiddelde router zal op een gegeven moment met een volle buffer zitten en dan gaat deze droppen. Dit kunnen dus heel goed legale aan vragen zijn.

Dat vraag ik me dus af. volgensmij zijn de requests die gestuurd worden met een ddos vrijwel identiek. ze komen wel van een andere host. Maar over enkele jaren zullen de meeste core routers in staat zijn dit te blocken. Dus dan hebben we er geen last meer van, totdat ze weer wat nieuws bedenken.

edit : decrypt, EvI! kijken hoe lang het duurt voordat iemand het door heeft ....

[ Voor 7% gewijzigd door QBiT op 09-12-2002 20:17 ]

[Verwijderd]

Ddos attack vindt ik zo kinder achtig, gewoon server en ontel baar clients van een Program X installeren op snelle servers en runnen die handel dan gaat server van zelf down

[Verwijderd]

PS. is portsentry niet iets voor op de tweakers servers ;-) bij meer dan x aantal requests van zelfde host komt host in .deny no more ddos

[Verwijderd]

Verwijderd schreef op 10 December 2002 @ 11:13:
PS. is portsentry niet iets voor op de tweakers servers ;-) bij meer dan x aantal requests van zelfde host komt host in .deny no more ddos

lees de draad voordat je blaat...

er staat hier boven al een keer of 3 dat er niet een kant-en-klaar oplossing voor is. ook staat er duidelijk uitgelegd waarom jou portsentry oplossing niet gaat werken

ohja:

[ Voor 14% gewijzigd door Verwijderd op 10-12-2002 11:44 . Reden: typos en hintje ]

[Verwijderd]

ahum, ok inderdaad ik blaat, maar stel er zijn 100 clients die atacken, zijn maar 100 ip nummers , portsentry ziet dus dat deze ip's ddossen en zet ze in deny list waardoor er geen requests meer worden geaccpeteerd, ( alleen huidige bekende vorm van ddos )

ps new cos van cisco geeft ook oplossing op router niveau maar wordt connectie wel 30 % langzamer ( ivm filtering op packet niveau ) maar ddos wordt vrijwel onmogelijk

[Verwijderd]

tja, maar je kan die pakketjes wel versturen, en dus krijgt die server het ook druk met denieen van die attacks.....

[Verwijderd]

Verwijderd schreef op 10 december 2002 @ 13:14:
ahum, ok inderdaad ik blaat, maar stel er zijn 100 clients die atacken, zijn maar 100 ip nummers , portsentry ziet dus dat deze ip's ddossen en zet ze in deny list waardoor er geen requests meer worden geaccpeteerd, ( alleen huidige bekende vorm van ddos )

maar laat het er nou eens geen 100 maar 100.000 zijn. Dan moet je server 100.000 lines die aan bepaalde criteria voldoen in de hosts.deny gaan zetten, en ook dat gebruikt processor/geheugenpower dus kan worden misbruikt (Denial Of Service = DOS). en daar gaan je server het ook druk mee krijgen. Vervolgens gaat (zoals hierboven beschreven) je server bij elke request van een van die hosts checken of ie voor komt in de lijst met 100.000 hosts er in (zoek zoek...gebruikt ook weer geheugen en processor) en zo ja dan dropt ie de packet... hetgeen IMHO meer van je server vraagt dan het simpel toestaan hiervan ... tenzij het een attack op een zware service is ofzo, maar vaak is het heel simpel echo/syn/ack/nack etc.

en ja, cisco die heeft er een half-werkende (in de kinderschoenen staande) oplossing voor, voor heel veel EYPO's ($$$).

[pagani]

Is er eigenlijk geen mogelijkheid om het ip van de ddos-er te ahcterhalen en vervolgens alle requests naar dat ip te bouncen

[Verwijderd]

Vaak zijn de source-ip's gespoofed, dus dan gaat dat niet op. Dit brengt je echter wel bij het volgende punt: slecht filteren door isp's.
Op het moment dat alle ips's hun routers zo zouden configureren dat pakketen met een ander source adres als iets uit hun eigen subnet niet worden doorgelaten, kun je de problemen volgens mij veel beter indammen

[pagani]

edit:
Was al verholpen

Ik denk dat de ISP's bang zijn om zulke 'remmende' maatregelen tenemen, het netwerk zal er stukken langzamer door worden

[ Voor 82% gewijzigd door pagani op 10-12-2002 16:01 ]

[Verwijderd]

johnnyv.nl schreef op 10 December 2002 @ 16:00:

edit:
Was al verholpen

Ik denk dat de ISP's bang zijn om zulke 'remmende' maatregelen tenemen, het netwerk zal er stukken langzamer door worden

Volgens mij heeft het meer met kostenbesparingen te maken. Ze hebben gewoon geen zin/geld/tijd om er aan te beginnnen

[Diaboluzzz]

Verwijderd schreef op 10 december 2002 @ 16:16:
[...]


Volgens mij heeft het meer met kostenbesparingen te maken. Ze hebben gewoon geen zin/geld/tijd om er aan te beginnnen

ik denk sowieso dat het niet haalbaar zal zijn, de kosten zullen idd erg hoog liggen en de functionaliteit zal afnemen.

Ook iets als portsentry zal niet werken, je blocked immers pc's van nietswetende users.

Ik denk dat je de oplossing bij de bron moet zoeken, gewoon net zoals een beetje ISP een relay check doet voor je mailserver, zo ook checken op verdachte open poorten en aan de hand daarvan een mailtje sturen met risico's van gevaarlijke open poorten.
Tja dit zal idd ook een enorme hoop dataverkeer extra opleveren, ik denk dat het resultaat dit wel kan weerleggen.

[QBiT]

Verwijderd schreef op 10 december 2002 @ 15:57:
Vaak zijn de source-ip's gespoofed, dus dan gaat dat niet op. Dit brengt je echter wel bij het volgende punt: slecht filteren door isp's.
Op het moment dat alle ips's hun routers zo zouden configureren dat pakketen met een ander source adres als iets uit hun eigen subnet niet worden doorgelaten, kun je de problemen volgens mij veel beter indammen

Dat providers alleen hun eigen ips toe laten gebeurd wel degelijk. Maar dat is niet de oplossing. dan spoof je gewoon vrolijk een ander ip uit de zelfde range, of je spoofed helemaal niet. De aanvallende computer is toch niet de pc van de cracker.

offtopic:
Decrypt, ik ken jou ! lan bij tresco ....

[ Voor 7% gewijzigd door QBiT op 10-12-2002 19:21 ]

[Verwijderd]

aangezien dit topic al bij een jaar oud is vroeg ik me af of er nou nieuwe ontwikkelingen zijn en ik vind het wel een intersante discassie, dus vandaar KICK