CN108900498B - 一种基于bgp网络靶场的调度僵尸机攻击方法 - Google Patents

Abstract

一种基于BGP网络靶场的调度僵尸机攻击方法，本发明涉及调度僵尸机攻击的方法。本发明为了实现在BGP网络靶场上调度僵尸机对虚拟BGP连接进行攻击，并且测试哪些参数能进行有效攻击。技术要点：基于BGP网络靶场给定攻击任务，使用调度僵尸机攻击BGP连接；对单个僵尸机发送流量测试；确定达到最大攻击流量时需要的僵尸机数量；控制BGP链路的带宽；设定BGP连接断开的判断依据；变化BGP链路带宽和攻击流量确定可能达到攻击效果的参数范围；在可能达到攻击效果的参数范围内进行精确测试。使用本发明的攻击方法和有效的攻击参数进行攻击，在2分钟内打断BGP连接的概率在90％以上。

Description

一种基于BGP网络靶场的调度僵尸机攻击方法

技术领域

本发明涉及调度僵尸机攻击的方法。

背景技术

边界网关协议(Border Gateway Protocol,BGP)是运行于TCP上的一种自治域AS(Autonomous System,AS)的路由协议。BGP的主要功能是在域间交换网络可达信息，实现AS级的网络互连，所以BGP是互联网互连的基础。BGP在TCP连接上进行会话，在TCP连接建立之后通过Open包建立BGP对等体之间的连接关系，在连接建立之后周期性的发送Keepalive包保持连接的有效性，在检测到断开情况时发送Notification包断开BGP连接，同时在可达信息发生改变时会在对等体之间发送Update包更新路由信息。

针对TCP的拒绝服务(Denial of Service,DoS)攻击是攻击BGP连接的主要手段，在DoS攻击时发生网络丢包和阻塞，BGP的保持会话Keepalive包无法全部正确送达，会使得AS对等体之间认为BGP连接断开从而发送Notification包断开BGP连接，同时发送Update包告知其他自治域路由信息更新情况。

由于自治域级别的网络只有少数网络供应商具有配置和修改权限，因此在进行BGP网络安全测试时采用搭建虚拟BGP网络拓扑，在虚拟BGP网络上进行攻击实验的形式进行研究。现有技术中没有提出在BGP网络靶场上进行僵尸机调度攻击。

发明内容

本发明提供了一种基于BGP网络靶场的僵尸机调度攻击方法及攻击效果测试方法，以实现在BGP网络靶场上调度僵尸机对虚拟BGP连接进行攻击，并且测试哪些参数能进行有效攻击。

本发明为解决上述技术问题采取的技术方案是：

一种基于BGP网络靶场的调度僵尸机攻击方法，所述攻击方法的实现过程为：

步骤一、基于BGP网络靶场给定攻击任务，使用调度僵尸机攻击BGP连接；

步骤二、使用调度僵尸机的攻击方法对单个(某个)僵尸机发送流量测试，以设定该僵尸机的攻击参数；

步骤三、设定单个僵尸机的攻击参数后，将同主机的多个僵尸机进行同时发送流量测试，以确定达到最大攻击流量时需要的僵尸机数量；

步骤四、使用令牌桶算法控制BGP链路的带宽，待攻击的BGP连接是建立在所述的BGP链路上；

步骤五、设定BGP连接断开的判断依据：

依据BGP协议在断开时会发送Notification包和Update包的原理，在之后的攻击测试同时捕获BGP包，当监听连接有Notification包即认为攻击达到效果；

步骤六、变化BGP链路带宽和攻击流量确定可能达到攻击效果的参数范围：给定欲攻击BGP链路和可调度僵尸机后，按步骤四中方法设定BGP链路带宽，控制攻击时的流量在步骤三得到的最大攻击流量(瓶颈攻击流量)范围内变化，测试可能达到攻击效果的参数范围；

步骤七、然后在可能达到攻击效果的参数范围内进行精确测试：从步骤六中得到可能打断BGP连接的攻击流量和BGP链路带宽参数后，在该范围内进行精确测试，得到具体打断所需时间和参数。

进一步地，在步骤一中，所述调度僵尸机攻击按照如下步骤：选取控制机、时钟同步、设定攻击参数、实际发起攻击。

进一步地，在步骤二中，所述对单个僵尸机发送流量测试包括以下步骤：

1.2设定攻击包类型，组装攻击包，设定发送速率、发送线程数、目的IP地址，目的端口；

1.2测试单个僵尸机的发包速率控制是否达到预期发送效果，且分别测试直连情况和跨路由器连接情况；

1.3在1.2测试成功的基础上变化发包线程数，观察发包流量变化，测试单个僵尸机瓶颈流量所需最合适的线程数；

进一步地，在步骤三中，同主机多个僵尸机发送流量测试的过程为：测试在同一个物理主机上虚拟僵尸机数量变化时汇聚总流量的变化情况，分别测试直连汇聚和跨路由器的情况；得到同一主机上多个虚拟僵尸机的汇聚最大流量，为之后的攻击测试做参考；

进一步地，在步骤四中，对BGP链路进行流量控制所使用的令牌桶算法是Linux内核Traffic Control中的令牌桶算法。

进一步地，在步骤七中，所述精确测试是指设定带宽和攻击流量后，直至攻击到BGP连接被打断为止，带宽、攻击流量每个参数至少进行10次试验，记录打断所需要的时间。

本发明具有以下有益效果：

本发明提供了一种在BGP网络靶场上进行调度僵尸机攻击方法，该方法基于BGP网络靶场，提供僵尸机攻击方法和调度僵尸机攻击一条指定BGP链路的步骤；对僵尸机流量控制和发送流量瓶颈进行测试；对BGP链路进行带宽控制；设定判定攻击成功依据；参考测试得的流量瓶颈，变化攻击流量和BGP链路带宽进行攻击效果测试。使用本发明的攻击方法和有效的攻击参数进行攻击，在2分钟内打断BGP连接的概率在90％以上。

附图说明

图1是本发明方法的原理示意图，图2是本发明使用调度僵尸机攻击BGP连接的示意图，图3是本发明中单个僵尸机的流量测试示意图，图4是本发明中同主机多个僵尸机的流量测试示意图，图5是令牌桶算法的原理图，图6是可能达到攻击效果的参数范围及在该范围内的精确测试示意图(攻击效果测试示意图)，图7是精确测试的结果图。

具体实施方式：

如图1所示，本实施方式所述的一种基于BGP网络靶场的调度僵尸机攻击方法包括：

1.调度僵尸机攻击，对于已知的僵尸网络和被攻击BGP链路生成一次攻击任务时，包括以下步骤：

1.1调度僵尸机首先要选取出控制机，本发明中选取控制机在每个僵尸机到被攻击路由之后的公共路径上，这样时钟同步时的不同延迟只有每个僵尸机到被攻击路由的部分；

1.2在攻击之前僵尸机与控制机进行时钟同步，每个僵尸机与控制机进行一次通信，计算网络延迟，以保证攻击流量在控制机规定的时间达到最大的攻击峰值；

1.3攻击时，控制机向每个僵尸机发送命令，包括攻击目标、开始时间、攻击流量大小、持续时间等参数；

1.4僵尸机根据之前时钟同步得到的延迟计算出自己实际开始时间，在规定的时间发动攻击，按照攻击参数中设定的持续时间、间隔时间、流量大小等参数对指定目标发送攻击包；

2.单个僵尸机发送流量测试，包括以下步骤：

2.1设定攻击包类型，组装攻击包，设定发送速率、发送线程数、目的IP地址，目的端口等；

2.2测试单个僵尸机的发包速率控制是否达到预期发送效果，且分别测试直连情况和跨路由器连接情况；

2.3在2.2测试成功的基础上变化发包线程数，观察发包流量变化，测试单个僵尸机瓶颈流量所需最合适的线程数；

3.同主机多个僵尸机发送流量测试，测试在同一个物理主机上虚拟僵尸机数量变化时汇聚总流量的变化情况，与2.2一样分别测试直连汇聚和跨路由器的情况。得到同一主机上多个虚拟僵尸机的汇聚最大流量，为之后的攻击测试做参考；

4.链路间带宽控制：

4.1指定需要进行控制带宽的BGP链路；

4.2选定带宽数值(Mb/s)对4.1中链路的所有端口使用令牌桶算法进行带宽限制；

4.3使用带宽测瓶颈测试工具，测试带宽控制是否达到预期效果；

5.设定测试攻击成功判断依据。本发明依据BGP协议在断开时会发送Notification包和Update包的原理，在之后的攻击测试同时捕获BGP包，当监听连接有Notification包即认为攻击达到效果；

6.测试可能达到攻击效果的参数范围，包括以下步骤：

6.1给出攻击链路目标和可调度僵尸机后，在之前的发包瓶颈测试、带宽限制、攻击成功判断依据的前提下，设定参数，生成需要的测试攻击任务，进行攻击测试；

6.2被攻击连接带宽从小到大变化，攻击流量在之前测试的瓶颈值内变化，进行攻击实验，记录被攻击连接的BGP包日志；

6.3每次实验设定最大攻击时间，攻击过程中若BGP连接断开则停止攻击，进行下一次实验，每个参数做十次实验，得到可能打断BGP连接的参数范围，为精确实验提供实验范围；

7.具体参数攻击效果测试，在6.3测试得到的可能打断的带宽和攻击流量参数范围基础上，调整需要测试的攻击任务，对每个能打断BGP连接的攻击参数范围附近进行攻击测试，每个参数进行十次攻击实验，每次实验攻击中记录BGP数据包，直到BGP连接断开为止，记录BGP连接断开所需的时间。

实施例：

下面结合具体的实施步骤和实验结果对本发明进行说明。

1.僵尸机调度和攻击方案。

如图2所示，欲攻击的BGP连接为Target Link，发送攻击流量f1,f2,…fn的僵尸机为Bot1,Bot2,…Botn。给僵尸机下达攻击命令的控制机为Controller C。调度僵尸机攻击过程如下：

(1)选取控制机。控制机应该满足每个僵尸机都有到达控制机C的路径，而且每条路径都经过被攻击连接Target Link，经过Target Link之后通过同样的路径Route2…RouteZ到达控制机。这是最优的控制机选取，因为攻击机从被攻击链路到达控制机的路径相同，时钟同步时只需考虑攻击机到被攻击链路的网络延迟。

(2)时钟同步。为了保证僵尸机的攻击流量同时到达被攻击链路，需要进行时钟同步。控制机对每台僵尸机发送时钟同步请求，僵尸机返回其当前时间Tsi，控制机收到Tsi时根据本机当前时间Tri计算时间差Di＝Tri-Tsi，将Di发送给僵尸机，每个僵尸机实际的开始时间bot_start_timei＝strat_time-Di，start_time为控制机发送的开始攻击时间。

(3)环境参数的设定。对于BGP连接之间的BGP协议的keepalive发送间隔、holdtime时间和reconnect时间等参数，以及被攻击链路带宽大小，在攻击之前读取配置文件中设定参数进行设定。

(4)攻击参数的设定。攻击前从配置文件中读取开始时间，攻击流量，持续时间等参数，以此对僵尸机下达攻击指令。

(5)攻击结果的分析。攻击的同时使用tcpdump抓包，待攻击结束后将抓包结果进行分析，将结果存为日志文件。

2.发送流量原理及单个僵尸机测试。单个僵尸机发送攻击包以及测试按照以下步骤：

(1)组装UDP包。以14字节以太网头，20字节IP包头，8字节UDP包头，32字节数据组装UDP包。

(2)使用数据报套接字发包。指定接收方IP地址和端口，开启多个线程，用SOCK_DGRM类型套接字发送UDP包。

(3)设定发包速率大小。设定预期发送流量大小为flow，可以计算出发包速率rate＝(flow*1024*1024)/(8*(42+length))。每个线程中循环发包，设定全局变量记录发包数量，每发送一百个包判断当前速率是否达到设定值rate，达到则此次循环不发送包，未达到则继续发包。

(4)比较实际流量是否达到预期大小。在发送攻击流量时，使用ifstat写所有端口流量日志。分别按图3两个虚框中采用直接发送和跨过一个路由发送的方式。

分别设定发送30Mb/s、50Mb/s、80Mb/s、100Mb/s的流量，用ifstat在接收端口流量日志文件，流量发送控制是否精确。如表1-4所示分别为四种设定攻击流量时的接收端流量日志，可以看到流量设定控制预期效果。跨路由情况下与直接相连相同。

表1是单个僵尸机设定发送30Mb/s时在接收端口的流量日志文件，表2是单个僵尸机设定发送50Mb/s时在接收端口的流量日志文件，表3是单个僵尸机设定发送80Mb/s时在接收端口的流量日志文件，表4是单个僵尸机设定发送100Mb/s时在接收端口的流量日志文件；

(5)测试单个虚拟僵尸机发送流量瓶颈值。从1到8增加线程数量(高于8个线程内存占用过多)，每个线程永真循环发包，与使用ifstat写日志记录不同线程数下最大发包值，如表5-12所示分别为线程从1到8时的ifstat日志文件，得到单个虚拟僵尸机发送最大流量所需的线程数为4。

3.同主机多个僵尸机发送流量测试。如图4所示，有Bot1到Botn多个僵尸主机，流量通过Route1发送到Route2，变化n的大小，同时记录汇聚流量大小。

如下表13所示为结果文件，第一列为僵尸机数量，第二列为僵尸机汇总流量大小，每个结果均为多次测试得到，结果4台僵尸机时候达到瓶颈汇聚流量。

表13

4.BGP链路带宽限制。本发明采用Linux内核Traffic Control中的令牌桶算法。其原理如图5所示，主要有以下要点：

(1)每过1/r秒桶中增加一个令牌；

(2)桶中最多存放b个令牌，如果桶满了，新放入的令牌会被丢弃；

(3)当一个n字节的数据包到达时，消耗n个令牌，然后发送该数据包；

(4)如果桶中可用令牌小于n，则该数据包将被缓存。

(5)缓存区满后，后续的包会被丢弃。

本发明采用集成tc的tcconfig模块，例如控制端口eth1带宽为1Mb/s的命令为tcset--device eth1--rate 1024K，等价于如下的Linux流量控制命令。

如表14所示为使用iperf3验证流量控制成功的结果。

表14

5.如表15和16所示为BGP连接断开时捕获到的Notification包和Update包，之后的攻击测试实验即以捕获到Notification包为判断攻击成功的依据。

表15

表16

6.如图6所示，以之前步骤测得的每个僵尸主机开启4个线程，使用4个僵尸主机的实验拓扑，链路带宽从10Mb/s到100Mb/s进行变化，攻击流量从40Mb/s变化到之前测试的瓶颈汇聚流量260Mb/s，进行攻击测试。每个参数进行十次实验，每次实验时设定最大攻击时间为两小时，两小时内若BGP连接断开则计数加1，进行下一次实验，超过两小时则直接进行下一次实验。

如表17-20所示带宽为10Mb/s、20Mb/s、40Mb/s和60Mb/s时的实验结果，带宽大于60Mb/s时与60Mb/s的实验结果相同。故只有10Mb/s、20Mb/s和40Mb/s有被打断的可能。

7.在上一步得到指导实验参数范围后，在能够打断BGP连接的参数范围内进行实验，每组参数进行十次攻击实验，每次实验攻击中记录BGP数据包，直到BGP连接断开为止，记录BGP连接断开所需的时间。如图7所示为实验结果记录。该结果说明测试得能打断的BGP链路带宽为10Mb/s、20Mb/s、40Mb/s。其中10Mb/s时可以用100Mb/s攻击流量打断，其他带宽只能用大于140Mb/s的攻击流量。大部分成功攻击参数下可以在120s内打断BGP连接。

Claims (4)

1.一种基于BGP网络靶场的调度僵尸机攻击方法，其特征在于：所述攻击方法的实现过程为：

步骤一、基于BGP网络靶场给定攻击任务，使用调度僵尸机攻击BGP连接；

所述调度僵尸机攻击按照如下步骤：选取控制机、时钟同步、设定攻击参数、实际发起攻击；

步骤二、使用调度僵尸机的攻击方法对单个僵尸机发送流量测试，以设定该僵尸机的攻击参数；

所述对单个僵尸机发送流量测试包括以下步骤：

1.1设定攻击包类型，组装攻击包，设定发送速率、发送线程数、目的IP地址，目的端口；

1.2测试单个僵尸机的发包速率控制是否达到预期发送效果，且分别测试直连情况和跨路由器连接情况；

1.3在1.2测试成功的基础上变化发包线程数，观察发包流量变化，测试单个僵尸机瓶颈流量所需最合适的线程数；

步骤三、设定单个僵尸机的攻击参数后，将同主机的多个僵尸机进行同时发送流量测试，以确定达到最大攻击流量时需要的僵尸机数量；

步骤四、使用令牌桶算法控制BGP链路的带宽，待攻击的BGP连接是建立在所述的BGP链路上；

步骤五、设定BGP连接断开的判断依据：

依据BGP协议在断开时会发送Notification包和Update包的原理，在之后的攻击测试同时捕获BGP包，当监听连接有Notification包即认为攻击达到效果；

步骤六、变化BGP链路带宽和攻击流量确定可能达到攻击效果的BGP链路带宽和攻击流量范围：给定欲攻击BGP链路和可调度僵尸机后，按步骤四中方法设定BGP链路带宽，控制攻击时的流量在步骤三得到的最大攻击流量范围内变化，测试可能达到攻击效果的BGP链路带宽和攻击流量范围；

步骤七、然后在可能达到攻击效果的BGP链路带宽和攻击流量范围内进行精确测试：从步骤六中得到可能打断BGP连接的攻击流量和BGP链路带宽范围后，在该范围内进行精确测试，得到具体打断所需时间和BGP链路带宽和攻击流量范围。

2.根据权利要求1所述的一种基于BGP网络靶场的调度僵尸机攻击方法，其特征在于：在步骤三中，同主机多个僵尸机发送流量测试的过程为：测试在同一个物理主机上虚拟僵尸机数量变化时汇聚总流量的变化情况，分别测试直连汇聚和跨路由器的情况；得到同一主机上多个虚拟僵尸机的汇聚最大流量，为之后的攻击测试做参考。

3.根据权利要求2所述的一种基于BGP网络靶场的调度僵尸机攻击方法，其特征在于：在步骤四中，对BGP链路进行流量控制所使用的令牌桶算法是Linux内核Traffic Control中的令牌桶算法。

4.根据权利要求2或3所述的一种基于BGP网络靶场的调度僵尸机攻击方法，其特征在于：在步骤七中，所述精确测试是指设定BGP链路带宽和攻击流量后，直至攻击到BGP连接被打断为止，BGP链路带宽、攻击流量每个参数至少进行10次试验，记录打断所需要的时间。

Images