TCP SYN Flooding

Najpierw RFC 4987

Rozpoznanie

Hping ma opcję -i (interval), która określa jak często mają być generowane i wysyłane pakiety.

-i X
X to sekundy albo uX mikrosekundy, czyli 1/1000000s.

Ale ale, czytamy dokładnie: "Wait the specified number of seconds or  micro  seconds  between sending  each  packet".


Czyli to odstęp wyrażony w s. albo μs.

--fast    
             Alias for -i u10000. Hping will send 10 packets for second.

--faster
              Alias  for -i u1. Faster then --fast ;) (but not as fast as your
              computer can send packets due to the signal-driven design).

 --flood
              Sent packets as fast as possible, without taking care to show
              incoming replies.  This is ways faster  than  to  specify  the
              -i  u0 option.


Hy jeżeli 1μs to 1 000 000 część sekundy, a odstęp między pakietami wynoś 10 000 to czemu wychodzi 10 pakietów?

1 000 000 / 10 000 = 100 a nie dziesięć.

Sprawdziłem opcję --fast i rzeczywiście wysyła dokładnie 10 pakietów na sekundę, a przecież 10 000 x 10 to 100 000 a nie milion! Chyba wynika to z tego, że wysłanie jednego pakietu zajmuje karcie 10 mikrosekund (100/10) i wtedy rzeczywiście wychodzi 10 pakietów. W takim razie 1 000 000 / 10 mówi nam, że karta może wysłać maksymalnie 100 000 pakietów - teoretycznie.

Walimy

35263÷9,569=3685,129062598 pakietów na sekundę.

Na Debianie, na Windows XP na port SMB system stopował całkowicie.

Tcpdump

fedora1 port > 4700  --SYN--> 192.168.42.1:22 // chcę pogadać
192.168.42.1:22  --SYN-ACK--> fedora1 port > 4700 // OK
fedora1 port > 4700  --RST--> 192.168.42.1:22 // a już mi się nie chcę :)

Nawiązane połączenia