Giới thiệu công cụ DDOSIM

[hungp]

Chào cả nhà! Hôm nay mình xin giới thiệu với mọi người một công cụ giúp ta mô phỏng và thử nghiệm một cuộc tấn công DDoS.

Giới thiệu công cụ DDOSIM​

​

DDOSIM là gi? ​

DDOSIM (DDoS Simulator) là tên gọi một công cụ viết bằng C++ được sử dụng để mô phỏng và thử nghiệm một cuộc tấn công DDoS vào một máy chủ để xem khả năng xử lý của máy chủ khi bị tấn công DDoS. DDoSim sẽ mô phỏng một số máy zombie (có địa chỉ IP ngẫu nhiên) tạo ra các kết nối TCP đến máy nạn nhân.
Một số tính năng chính:
- Cho phép tấn công DDoS với các truy vấn HTTP hợp lệ.
- Cho phép tấn công DDoS với các truy vấn HTTP không hợp lệ.
- Cho phép tấn công DDoS đến các máy chủ SMTP (Simple Mail Transfer Protocol).
- Tấn công bằng hình thức tràn ngập các kết nối TCP trên các cổng ngẫu nhiên.

Hướng dẫn sử dụng​

Cấu trúc lệnh:
./ddosim -d -p -i

Một số tùy chọn cơ bản:

• Usage: ./ddosim
• [-d]: IP mục tiêu.
• [-p]: Cổng mục tiêu.
• [-k NET]: Các IP nguồn lớp C (ví dụ 10.4.4.0).
• [-i IFNAME]: Tên của giao diện kết nối mạng (interface).
• [-c COUNT]: Số lượng yêu cầu cài đặt kết nối.
• [-w DELAY]:Quy định thời gian trễ giữa các gói tin SYN (mili giây).
• [-r TYPE]: Chọn kiểu request: HTTP_VALID, HTTP_INVALID, SMTP_EHLO.
• [-t NRTHREADS]: Số luồng sử dụng khi gửi các gói tin ( mặc định là 1).
• [-h]: trợ giúp xem lệnh.
• [-n]: Không giả mạo địa chỉ nguồn.

Ví dụ sử dụng​

Ở đây mình thử nghiệm công cụ bằng cách dựng một website trên nền tảng CentOS với ip: 192.168.244.132 và sử dụng công cụ wireshark để bắt các gói tin được tạo ra bởi công cụ DDoSim.

- Thiết lập 10 kết nối TCP từ các địa chỉ IP ngẫu nhiênđến máy chủ và gửi các yêu cầu HTTP không hợp lệ:

Kết quả khi bắt gói tin bằng wireshark:

​

Vậy với kiểu thử nghiệm này có thể giúp ta đánh giá về hiệu năng mà website có thể đáp ứng được bằng cách tăng dần số lượng kết nối để xem đến khi nào website không đáp ứng được. Từ đó có những điều chỉnh phù hợp về việc cân bằng tải cho website.
- Thiết lập các kết nối vô hạn từ một địa chỉ IP giả m ạo đến máy chủ SMTP và gửi yêu cầu EHLO:

​

Kết quả khi bắt gói tin bằng wireshark:

​

Ở đây mình đã dựng một server mail sử dụng giao thức SMTP và thử nghiệm tấn công vào đấy trong 10s. Dùng wireshark bắt gói tin trong vòng 10s thì được 42223 gói tin TCP kết nối tới mục tiêu. Từ cách thử nghiệm này mọi người có thể xác định được mail server của mình sẽ có khả năng chịu tải như thế nào với một số lượng kết nối như vậy trong một khoảng thời gian bao lâu.

- Thiết lập các kết nối vô hạn với yêu cầu HTTP không hợp lệ tốc độ nhanh tới máy chủ:

​

Kết quả khi bắt gói tin bằng wireshark:

​

Mọi người có thể thấy trường hợp này cũng tạo ngẫu nhiên các địa chỉ IP tấn công tới mục tiêu và với các HTTP không hợp lệ. Và mình đã thử test trong 10s công cụ này có thể tạo ta 74797 gói tin TCP. Việc test như vậy có thể giúp mọi người biết được website của mình chịu được số lượng kết nối TCP là bao nhiêu trong một số giây nhất định.

- Thiết lập kết nối TCP vô hạn (mà không gửi một yêu cầu ở tầng 7 trong mô hình OSI) từ địa chỉ cục bộ đến một máy chủ POP3:

Kết quả khi bắt bằng gói tin wireshark:

​

Ở đây mình đã dựng một server mail sử dụng giao thức POP3 và thử nghiệm tấn công vào đấy trong 10s. Công cụ này đã tạo ra các ip ngẫu nhiên để kết nối tới mục tiêu và trong vòng 10s đã tạo ra được 2030 gói tin TCP tới máy chủ POP3. So sánh việc thử nghiệm máy chủ POP3 với SMTP ở trên thì ta nhận thấy số lượng gói tin tạo ta ở POP3 ít hơn khoảng 5 lần/10s so với máy chủ SMTP, còn kích thước gói tin thì giống nhau.

So sánh với công cụ LOIC, XOIC​

Mọi người có thể đọc lại 2 bài này theo link dưới đây. Ở đây mình đưa ra một số so sánh về tính năng giữa 3 công cụ.
LOIC: https://whitehat.vn/threads/9506-Gioi-thieu-cong-cu-DoS-LOIC.html
XOIC: https://whitehat.vn/threads/9803-Gioi-thieu-cong-cu-XOIC.html

���

Giống nhau​	​
- Cho phép tấn công theo kiểu TCP và HTTP, UDP. - Mô phỏng cuộc thử nghiệm tấn công DDoS/DoS. - Cho phép xác định trước số lượng gói tin tạo ra.
Khác nhau​
DDoSim	- Cho phép tùy chọn tấn công vào các loại máy chủ email sử dụng kiểu SMTP, POP3. - Cho phép tạo ra các IP ngẫu nhiên kết nối tới mục tiêu.
LOIC	- Cho phép thay đổi thread, tốc độ tấn công và message vào một mục tiêu.
XOIC	- Cho phép thử nghiệm với loại gói tin ICMP - Cho phép thử nghiệm với 3 chế độ: Test Mode, SEMDA MESSAGE, MAKE A DoS.

Mọi người có thể tham khảo thêm và download link dưới đây:
Link video:

Link download: http://ddosim.sourceforge.net/