冰河ddos压力测试
冰河（Glacier）不是新东西。2002年就有人拿它当远程控制木马，压力后来慢慢被安全圈淡忘。测试直到去年，冰河我看到一个做游戏私服的压力朋友在群里发截图——服务器CPU 100%，带宽跑满，测试防火墙日志里全是冰河来自不同IP的SYN包。他骂了一句：“妈的压力，被人用冰河压了。测试”
冰河压力测试，冰河说白了就是压力利用早期冰河木马变种留下的后门，或者干脆用它的测试通信协议做反射放大。攻击者控制一批“肉鸡”，冰河向目标服务器发送大量伪造源IP的压力请求。服务器回复SYN-ACK，测试但那些IP根本不存在，于是连接队列被塞满，正常用户进不来。这招不新鲜，但冰河的老代码里有些默认端口和弱加密特征，让扫描和利用变得特别顺手。
我去年在一个小IDC机房亲眼见过一次。晚上十一点，运维接到告警，一台跑着某传奇私服的Windows Server 2003突然没响应。他登上交换机看流量，下行不到5Mbps，上行却飙到800Mbps。抓包一看，全是目的端口7626的TCP包——那是冰河默认的控制端口。攻击者没加密，直接发SYN，服务器傻乎乎地回SYN-ACK，然后等不到ACK，继续重试。三分钟，连接表满了。
tcpdump -i eth0 'tcp port 7626 and tcp[tcpflags] & tcp-syn != 0' -nn
# 输出示例：
15:23:41.123456 IP 192.168.1.100.54321 > 10.0.0.5.7626: Flags [S], seq 123456789, win 65535, length 0
15:23:41.123789 IP 10.0.0.5.7626 > 192.168.1.100.54321: Flags [S.], seq 987654321, ack 123456790, win 8192, length 0
# 注意：源IP 192.168.1.100 是伪造的，实际不存在
为什么叫“压力测试”？攻击者自己可不会承认是DDoS。他们管这叫“压测”，好像是在帮你检验服务器抗压能力。挺讽刺的。有个做棋牌App的客户，被压了三天，换了两家高防，最后发现攻击源里混着大量来自某云服务商的廉价VPS。那些VPS上跑着冰河的老版本服务端，密码还是123456。攻击者扫到就直接用。
防御这事，说复杂也复杂，说简单也简单。如果你还在用Windows Server 2003或者XP，赶紧关掉7626端口。组策略里加一条入站规则，或者直接在网卡上过滤。别指望防火墙能全挡，冰河的包长得跟正常TCP握手差不多，只是频率高得离谱。我见过一个偏方：把syn cookies打开，同时把tcp_synack_retries降到1。Linux下改/etc/sysctl.conf，Windows得改注册表。效果立竿见影——服务器不再傻等那些不存在的ACK了。
SYN的源IP分布，如果大量来自同一个C段，或者TTL值异常统一，基本就是冰河。 还有个细节。冰河木马的老版本在发SYN之前，会先发一个0x01字节的探测包。如果你在交换机上做端口镜像，能看到这个特征。但现在的变种早就不发了。所以别指望特征库，得看行为——短时间内大量半开连接，netstat -an | find "SYN_RECEIVED" 能刷屏。那就是了。
最后说个真事。上个月有个学生问我，说他用冰河压了学校机房，被辅导员发现了。我问他为什么。他说想测试一下机房的抗压能力，因为要办电竞比赛。我哭笑不得。冰河这东西，拿来学习TCP协议可以，拿来压测就是玩火。机房那台老服务器，一个SYN洪水就躺了，比赛还怎么办？他后来被记过，服务器也换了Linux。算是花钱买教训。
冰河压力测试不会消失。只要还有老旧系统，还有弱密码，还有懒得打补丁的运维。但你可以做一件事：把7626端口从你的网络里彻底抹掉。别问为什么，照做就行。
本文地址：http://www.79wt.cn/news/1914a1499794.html
版权声明
本文仅代表作者观点，不代表本站立场。
本文系作者授权发表，未经许可，不得转载。