信息安全综合课程设计报告(DDOS检测)

计算机科学与工程学院

课程设计报告

题目全称：基于openssl的ddos攻击检测系统

课程名称：信息安全综合课程设计

指导老师：曾金全职称：

（注：学生姓名填写按学生对该课程设计的贡献及工作量由高到底排列，分数按排名依次递减。序号排位为“1”的学生成绩最高，排位为“10”的学生成绩最低。）

指导老师评语：

签字：

目录

课程设计目的 (4)

课程设计的任务 (4)

摘要 (5)

Abstract (6)

第一章绪论 (7)

1.1 选题背景及意义 (7)

1.2 国内外研究现状 (7)

1.3相关背景知识 (7)

1.3.1DDOS攻击的种类： (7)

1.3.2关于对称加密和非对称加密 (8)

DES TripleDES算法 (9)

RC算法 (9)

1.4主要内容与章节安排 (11)

1.4 本章小结 (11)

第二章需求分析 (11)

2.1 环境需求 (11)

2.2 功能需求 (12)

2.3 性能需求 (13)

2.3.1 界面需求 (13)

2.3.2 响应时间需求 (13)

2.3.3 可靠性需求 (13)

2.3.4 扩展性性需求 (13)

2.4 本章小结 (13)

第三章系统的设计 (13)

3.1 总体设计 (14)

3.2功能模块设计： (14)

3.3 本章小结 (16)

第四章编程实现 (16)

4.1 开发环境介绍 (16)

4.2 主要功能模块的实现 (16)

4.2.1 数据包的抓取 (16)

4.2.2 数据包内容存储至数据库 (17)

4.2.3 将筛选过的IP地址保存至文件中 (18)

4.2.4 RSA密钥和CA证书的生成 (18)

4.2.5 基于OPENSSL加密的服务端 (18)

4.2.6 基于OPENSSL加密的客户端 (19)

4.3 本章小结 (21)

第五章测试成果及展示 (22)

5.1 测试环境 (22)

5.2 测试和结果 (22)

5.3成果展示 (26)

第六章总结与展望 (27)

参考文献 (28)

课程设计目的

课程设计目的

本次课程设计，是基于openssl的DDOS攻击的检测，在这次的课程设计中，我们计划构建一个模型，这个模型由许多个参与方（客户端）和一个集中方组成（服务端），这些参与方，事实上是由一个个网卡组成，他们同时对自己的网关流经的数据进行监听，主要监听内容是在一段时间内，异常流量对某个IP节点进行异常的访问，具体来说就是在极短的时间里，对某个IP地址进行了成百上千次访问，那么我们就认定这个IP地址受到了DDOS攻击。参与方将数据存入自己的数据库，并且将数据与自己的数据库里的进行比对，如果符合某个标准，如：某个IP在10秒内受到了一千次以上的访问，那么，就认定它受到了DDOS攻击，参与方将数据通过加密发送给集中方，以便集中方可以采取有效措施进行应对通过这些模型的模拟，我们希望可以加深对openssl这个软件的理解，并且了解到，书本上的信息安全策略怎么应用到实际的生活中的，而那些抽象的加密方法和证书，又是如何通过编程来实现的。

在这次课程设计中，我们希望可以通过这种方法，发现一个行之有效的道路，来有效的应对DDOS攻击。

课程设计的任务

主要任务有两个：

1.怎么去实现通信

2.如何构建数据库

在实现通信的环节当中，我们是通过两个程序来实现集中方和参与方的相互通信的，并且加入了有关加密的细节，使得这些信息不是透明的，即，参与方用公钥加密这些信息，而集中方则利用私钥解密。功能上要实现的是：通过几个脚本文件里面的openssl命令行的指令，客户端接受服务端发来的信息，解析出哪个IP地址在极短的时间里收到很多次访问，从而发现哪个服务器受到攻击，以便我们采取措施。并且要求性能上，在我们输入信息之后，或者是参与方开始监听之后，我们能及时准确的获得我们想要的信息。

摘要

课程设计实验的主要目的是，利用openssl协议，来检测DDOS攻击。DDOS攻击是一种重要的网络攻击手段，它的全称是Distributed Denial of service，即分布式拒绝服务攻击。它的作用原理是，利用很多（通常是成千上万）台dos攻击源，在极短的时间里，对一个目标服务器发送数据，从而达到耗尽目标服务器的资源和内存的目的，影响到正常的用户的访问和使用。

DDOS攻击的突出特点是，在很短的时间里，一个IP地址收到很多次访问，那么我们就假定它受到了攻击。

Openssl是一种重要的网络安全协议。囊括了主要的密码算法、常用的密钥和证书封装管理功能以及SSL协议，并提供了丰富的应用程序供测试或其它目的使用。我们利用openssl软件，来产生我们需要的密钥和证书。我们再设定客户端和服务端，客户端去检测自己的网卡所流过的访问，如果客户端监听到某个IP在极短的时间里收到了很多次访问，实现方式是客户端将信息存入数据库，并且提取主要信息。客户端将信息发给服务端，以便服务端采取相应的措施。发送的信息是经过用openssl软件加密过的，参与方用公钥加密，集中方用本身的私钥解密，获得信息。

关键词：openssl，客户端，服务端，ddos，密钥，证书

Abstract

The main purpose of the course design experiment is to detect DDOS attack by using openssl protocol. DDOS attack is a kind of network attacks which is of great importance. Its full name is Distributed Denial of service. In fact, the principle is kind of simple. In order to run out the resources and memory of the target server, many(often thousands) DOS attack source send data to a target server in a very short time. This will definitely affect the using and accessing.

The salient characteristic of DDOS attack is that, an IP address receives a lot of visits in a very short period. In this case we assume that it is under attack.

Openssl is an important kind of network security protocol. It includes cryptographic algorithms, the common key and certificate package management functions as well as the SSL protocol. It also provides a wealth of applications for testing and other purposes. We can produce keys and certificates that we need by using the openssl software. Then we set the client and server. If the client monitors a lot of visits by one particular IP address in a very short time while detecting its NIC, the information will be stored into the database and the main part will be extracted. Later the client will send the information to the server, so that the server can take the proper measures. The information be sent has been encrypted by public key using openssl software. The centralized side can get the information by its own private key.

Key words: openssl client, server, ddos, keys, certificates

第一章绪论

1.1 选题背景及意义

作为一种现今很流行的网络攻击手段，DDOS攻击对现在的网络安全危害特别巨大，而且它的实现又特别的简单，以正常访问作为攻击的渠道，防范起来又特别的困难，所以我们决定利用openssl的监听的功能来实现对ddos攻击的追踪。从而达到提醒被攻击的服务端的目的，以此来实现对ddos攻击的一种遏制。

1.2 国内外研究现状

目前国内外对DDoS攻击也没有一个安全有效的方法，主要还是从防火墙和受攻击之后的分析来着手。我们觉得这些方法都不好，防火墙的话，可能阻止来自不同dos攻击源的攻击，可是也会阻止正常的用户对服务器的访问，得不偿失。而受到攻击之后的分析，主要有分析清秋的日志，解析日志来获取攻击的基本信息，确定关键因素，最后采取采取来源过滤、连接和速率限制，来限制ddos攻击。这个过程耗时很长，又太复杂，也许分析完之后，攻击源已经停止攻击了，所以也不可取。

1.3相关背景知识

1.3.1DDOS攻击的种类：

SYN变种攻击发送伪造源IP的SYN数据包但是数据包不是64字节而是上千字节,这种攻击会造成一些防火墙处理错误导致锁死，消耗服务器CPU内存的同时还会堵塞带宽。

TCP混乱数据包攻击发送伪造源IP的 TCP数据包，TCP头的TCP Flags 部分是混乱的可能是syn ,ack ,syn+ack ,syn+rst等等，会造成一些防火墙处理错误导致锁死，消耗服务器CPU内存的同时还会堵塞带宽。

针对UDP协议攻击很多聊天室，视频音频软件，都是通过UDP数据包传输的，

攻击者针对分析要攻击的网络软件协议，发送和正常数据一样的数据包，这种攻击非常难防护，一般防护墙通过拦截攻击数据包的特征码防护，但是这样会造成正常的数据包也会被拦截.

针对WEB Server的多连接攻击通过控制大量肉鸡同时连接访问网站，造成网站无法处理瘫痪，这种攻击和正常访问网站是一样的，只是瞬间访问量增加几十倍甚至上百倍，有些防火墙可以通过限制每个连接过来的IP连接数来防护，但是这样会造成正常用户稍微多打开几次网站也会被封。

针对WEB Server的变种攻击通过控制大量肉鸡同时连接访问网站，一点连接建立就不断开，一直发送发送一些特殊的GET访问请求造成网站数据库或者某些页面耗费大量的CPU,这样通过限制每个连接过来的IP连接数进行防护的方法就失效了，因为每个肉鸡可能只建立一个或者只建立少量的连接。这种攻击非常难防护，后面给大家介绍防火墙的解决方案.

针对WEB Server的变种攻击通过控制大量肉鸡同时连接网站端口，但是不发送GET请求而是乱七八糟的字符，大部分防火墙分析攻击数据包前三个字节是GET 字符然后来进行http协议的分析，这种攻击，不发送GET请求就可以绕过防火墙到达服务器，一般服务器都是共享带宽的，带宽不会超过10M,所以大量的肉鸡攻击数据包就会把这台服务器的共享带宽堵塞造成服务器瘫痪，这种攻击也非常难防护，因为如果只简单的拦截客户端发送过来没有GET字符的数据包，会错误的封锁很多正常的数据包造成正常用户无法访问，后面给大家介绍防火墙的解决方案.

针对游戏服务器的攻击因为游戏服务器非常多，这里介绍最早也是影响最大的传奇游戏，传奇游戏分为登陆注册端口7000,人物选择端口7100，以及游戏运行端口7200,7300,7400等,因为游戏自己的协议设计的非常复杂，所以攻击的种类也花样倍出，大概有几十种之多，而且还在不断的发现新的攻击种类，这里介绍目前最普遍的假人攻击，假人攻击是通过肉鸡模拟游戏客户端进行自动注册、登陆、建立人物、进入游戏活动从数据协议层面模拟正常的游戏玩家，很难从游戏数据包来分析出哪些是攻击哪些是正常玩家。

1.3.2关于对称加密和非对称加密

对称加密算法是应用较早的加密算法，技术成熟。在对称加密算法中，数据发信方将明文（原始数据）和加密密钥一起经过特殊加密算法处理后，使其变成复

杂的加密密文发送出去。收信方收到密文后，若想解读原文，则需要使用加密用过的密钥及相同算法的逆算法对密文进行解密，才能使其恢复成可读明文。在对称加密算法中，使用的密钥只有一个，发收信双方都使用这个密钥对数据进行加密和解密，这就要求解密方事先必须知道加密密钥。

主要对称加密算法：

DES TripleDES算法

DES算法把64位的明文输入块变为数据长度为64位的密文输出块，其中8位为奇偶校验位，另外56位作为密码的长度。首先，DES把输入的64位数据块按位重新组合，并把输出分为L0、R0两部分，每部分各长32位，并进行前后置换，最终由L0输出左32位，R0输出右32位，根据这个法则经过16次迭代运算后，得到L16、R16，将此作为输入，进行与初始置换相反的

逆置换，即得到密文输出。

RC算法

RC4算法的原理是“搅乱”，它包括初始化算法和伪随机子密码生成算法两大部分，在初始化的过程中，密钥的主要功能是将一个256字节的初始数簇进行随机搅乱，不同的数簇在经过伪随机子密码生成算法的处理后可以得到不同的子密钥序列，将得到的子密钥序列和明文进行异或运算（XOR）后，得到密文。

由于RC4算法加密采用的是异或方式，所以，一旦子密钥序列出现了重复，密文就有可能被破解，但是目前还没有发现密钥长度达到128位的RC4有重复的可能性，所以，RC4也是目前最安全的加密算法之一。

非对称加密：

需要两个密钥：公开密钥（publickey）和私有密钥（privatekey）。公开密钥与私有密钥是一对，如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法。非对称加密算法实现机密信息交换的基本过程是：甲方生成一对密钥并将其中的一把作为公用密钥向其它方公开；得到该公用密钥的乙方使用该密钥对机密信息进行加密后再发送给甲方；甲方再用自己保存的另一把专用密钥对加密后的信息进行解密。

另一方面，甲方可以使用自己的私密钥对机密信息进行加密后再发送给乙方；乙方再用甲方的公钥对加密后的信息进行解密。

主要非对称加密算法：

RSA算法：

RSA算法是一种非对称密码算法，所谓非对称，就是指该算法需要一对密钥，使用其中一个加密，则需要用另一个才能解密。

RSA的算法涉及三个参数，n、e1、e2。

其中，n是两个大质数p、q的积，n的二进制表示时所占用的位数，就是所谓的密钥长度。

e1和e2是一对相关的值，e1可以任意取，但要求e1与(p-1)*(q-1)互质；再选择e2，要求(e2*e1)mod((p-1)*(q-1))=1。

(n及e1),(n及e2)就是密钥对。

RSA加解密的算法完全相同,设A为明文，B为密文，则：A=B^e1 mod n；B=A^e2 mod n；

e1和e2可以互换使用，即：

A=B^e2 mod n；B=A^e1 mod n;

ElGamal算法：

ElGamal算法既能用于数据加密也能用于数字签名，其安全性依赖于计算有限域上离散对数这一难题。

密钥对产生办法。首先选择一个素数p，两个随机数, g 和x，g, x < p, 计算y = g^x ( mod p )，则其公钥为y, g 和p。私钥是x。g和p可由一组用户共享。

ElGamal用于数字签名。被签信息为M，首先选择一个随机数k, k与 p - 1互质，计算

a = g^k ( mod p )

再用扩展 Euclidean 算法对下面方程求解b：

M = xa + kb ( mod p - 1 )

签名就是( a, b )。随机数k须丢弃。

验证时要验证下式：

y^a * a^b ( mod p ) = g^M ( mod p )

同时一定要检验是否满足1<= a < p。否则签名容易伪造。

ElGamal用于加密。被加密信息为M，首先选择一个随机数k，k与p - 1互质，计算

a = g^k ( mod p )

b = y^k M ( mod p )

( a, b )为密文，是明文的两倍长。解密时计算

M = b / a^x ( mod p )

ElGamal签名的安全性依赖于乘法群(IFp)* 上的离散对数计算。素数p必须足够大，且p-1至少包含一个大素数

1.4主要内容与章节安排

本篇论文主要分为绪论，课程设计的需求分析，系统的设计，编程实现，测试及成果展示，总结与展望等主要内容。

1.4 本章小结

本篇论文主要的目的是实现利用openssl程序来实现对ddos攻击的追踪和防范，利用openssl产生的密钥和证书，来规范客户端的行为，然后对服务端进行监听，分析服务端发送的数据，与数据库里的信息比较，从而达到我们想要实现的目的

第二章需求分析

2.1 环境需求

操作系统：linux系统

CPU：P4 1.8GHz

内存：1G以上

2.2 功能需求

通过几个脚本文件里面的openssl命令行的指令，客户端接受服务端发来的信息，解析出哪个IP地址在极短的时间里收到很多次访问，从而发现哪个服务器受

到攻击，以便我们采取措施。

2.3 性能需求

2.3.1 界面需求

界面、版面形象清新悦目、布局合理,字号大小适宜、字体选择合理，前后一致，美观大方；动与静搭配恰当,动静效果好；色彩和谐自然,与主题内容相协调。

2.3.2 响应时间需求

当客户端开始监听的时候，客户端（参与方）应该及时将信息快速，准确的发送到服务端（集中方），一般情况下，响应时间应该不超过我们所使用的加密算法的发送一个数据单元的测试时间。应该避免长时间的等待或者无响应的情况发送。

2.3.3 可靠性需求

服务端和客户端应该保证在正常情况下不当机，保证在使用的情况下，正确的显示其内容。

2.3.4 扩展性性需求

该模型应该能体现出扩展性的要求，以便将来扩展性的需求。

2.4 本章小结

通过对需求的分析，我们可以看出，这个模型的主要作用是利用网卡的监控作用，在假设一点条件的前提下，来分析哪些站点可能遭受了攻击。

第三章系统的设计

3.1 总体设计

该程序的主要作用是根据流经网卡的流量，解析出哪些IP在极短的时间里受到了一定数量的访问，我们把它假定为DDoS攻击。参与方将数据传输给集中方，使其可以采取措施，避免攻击。

3.2功能模块设计：

本设计主要有三部分组成：，密钥生成，数据库和通信。将其作为脚本文件执行，写入.sh文件，分为以下几步：

1.1make_key.sh

为生成密钥和数字证书环节,由两行代码组成：

openssl genrsa -out privatekey.pem 2048

openssl req -new -x509 -key privatekey.pem -out cacert.pem -days 1088

2．2compile_database.sh

编译两个有关数据库操作的程序

g++ $(mysql_config --cflags) database.cpp -o database $(mysql_config --libs)

g++ $(mysql_config --cflags) fetch.c -o fetch $(mysql_config --libs) 3．3compile_openssl.sh

编译通过openssl通信的客户端和服务端

gcc -o client client.c -I/usr/local/ssl/include -L/usr/local/ssl/lib -lssl -lcrypto -ldl

gcc -o server server.c -I/usr/local/ssl/include -L/usr/local/ssl/lib

-lssl -lcrypto –ldl

4．4testserver.sh

测试服务端

./server 5888 1 127.0.0.1 cacert.pem privatekey.pem

5. 5testclient.sh

测试客户端

./client 127.0.0.1 5888

3.3 本章小结

对于一个我们需要完成的模型和程序，设计阶段是非常重要的，我们通过讨论，理清了主要模块和实现的方法，因为是在Linux下运行的程序，大家对于陌生的操作系统不是很熟悉，就更要事先想好，以免出现不必要的错误。

其次要理清程序的主要功能，我们要实现的是根据网卡的流量来测定哪些IP 在某些时间受到不正常的访问，然后将其信息记录下来，发送给集中方，使其采取有效措施。

明确了这些，才能更好的进行下一步的工作。

第四章编程实现

4.1 开发环境介绍

Linux(Ubuntu 12.04)

Openssl库 Mysql库 Wireshark GCC

4.2 主要功能模块的实现

4.2.1 数据包的抓取

通过Wireshark监听某网卡，此处选择无线网卡，即流过本机无线网卡的数据包都能被截获到。

此处将文件保存成纯文本格式，方便下一步进行。

4.2.2 数据包内容存储至数据库

此功能对应源码database.cpp 。

主要完成将上一步截取到的数据包以自定义的格式保存至数据库openssl中的表package和表pt中。

主要函数如下：

void get_field(char *buf,char *id,char *time,char *source,char *destination,char *protocol)

功能：从wireshark数据包文件中读取一条记录

参数说明：

buf:从wireshark数据包文件中读取的一条记录

id: wireshark数据包文件中的序列id

time: 获取buf记录中的时间，并通过这个参数返回

source: 获取buf记录中的源地址，并通过这个参数返回

destination: 获取buf记录中的目的地址，并通过这个参数返回

protocol: 获取buf记录中的协议类型，并通过这个参数返回

int insert_(char *id,char *time,char *source,char *destination,char *protocol)

功能说明：将wireshark中的一条记录插入到数据库中

参数说明：

id : 序列id time: 时间

source：源地址destination：目的地址

protocol：协议类型

int insert(char *sr,int tc)

功能说明：将一个源地址，及其出现的次数插入到数据库中

参数说明：

sr: 源地址tc：上述源地址出现的次数

4.2.3 将筛选过的IP地址保存至文件中

此功能对应源码fetch.c 文件。

主要完成将数据库openssl中表pt的内容，即筛选过出现次数大于某一项数的目的地IP地址，保存至文件result中。

主要函数如下：

void my_select(int num, FILE *fd)

两个参数分别指示筛选出大于num次的IP地址，num是个阈值。Fd则为输出文件描述符，即我们规定的result文件。

首先连接数据库openssl,执行sql语句select destination from pt where ct >num 将执行得到的结果进行数字字符转换，写入文件result中，方便下一步读取。

4.2.4 RSA密钥和CA证书的生成

安装OPENSSL库以后，只要执行两行口令即可。

openssl genrsa -out privatekey.pem 2048

即为生成2048位的RSA密钥，名为privatekey.pem

openssl req -new -x509 -key privatekey.pem -out cacert.pem -days 1088 通过之前生成的RSA密钥privatekey.pem，生成名为cacert.pem的CA证书，其中只需按照说明逐步配置即可。

4.2.5 基于OPENSSL加密的服务端

此模块对应源码server.c。

模拟集中方，主要通过私钥对参与方发来的数据进行解密，完成秘密通信。

此模块主要应用了OPENSSL库中的函数，达到了通过私钥和CA证书的加解密传输通信。

主要函数如下：

/* SSL 库初始化*/

SSL_library_init();

/* 载入所有SSL 算法*/

OpenSSL_add_all_algorithms();

/* 载入所有SSL 错误消息*/

SSL_load_error_strings();

/* 以SSL V2 和V3 标准兼容方式产生一个SSL_CTX ，即SSL Content T ext */

ctx = SSL_CTX_new(SSLv23_server_method());

/* 载入用户的数字证书（为参量argv[4]，即之前生成的cacert.pem），此证书用来发送给客户端。证书里包含有公钥*/

SSL_CTX_use_certificate_file(ctx, argv[4], SSL_FILETYPE_PEM)

/* 载入用户私钥(为参量argv[5]，即之前生成的privatekey.pem*/

SSL_CTX_use_PrivateKey_file(ctx, argv[5], SSL_FILETYPE_PEM)

/* 检查用户私钥是否正确*/

SSL_CTX_check_private_key(ctx)

/* 开启一个socket 监听*/

sockfd = socket(PF_INET, SOCK_STREAM, 0)

/* 等待客户端连上来*/

accept(sockfd, (struct sockaddr *) &their_addr,&len)

/* 基于ctx 产生一个新的SSL */

ssl = SSL_new(ctx);

/* 将连接用户的socket 加入到SSL */

SSL_set_fd(ssl, new_fd);

/* 建立SSL 连接*/

SSL_accept(ssl)

/* 发送buf中的消息给客户端*/

SSL_write(ssl, buf, strlen(buf));

/* 关闭SSL 连接*/

SSL_shutdown(ssl);

/* 释放SSL */

SSL_free(ssl);

/* 关闭名为new_fd的socket */

close(new_fd);

/* 关闭监听的socket */

close(sockfd);

/* 释放CTX */

SSL_CTX_free(ctx);

4.2.6 基于OPENSSL加密的客户端

此模块对应于源码client.c

模拟参与方，主要完成将result文件中的内容通过加密方式传输至集中方，完成秘密通信。

主要函数如下：

//打开可能是正遭受DDOS攻击的主机IP信息文件

fdin = fopen("/home/peter/openssl/result","r+");

/* SSL 库初始化，同Server.c

SSL_library_init();