冰盾DDoS破解版

冰盾DDoS防火墙是一款防御ddos攻击的安全软件，近日，我司研发部门发布了冰盾DDoS防火墙2018 V16.8 版，新版在原有基础上做了不少的更新，不过需要指出的是仅适用于32位的Win2003操作系统。

产品简介

冰盾防火墙来自IT技术世界一流的美国硅谷，由华人留学生Mr.Bingle Wang和Mr.Buick Zhang设计开发，采用国际领先的生物基因鉴别技术智能识别各种DDOS攻击和黑客入侵行为，防火墙采用微内核技术实现，工作在系统的最底层，充分发挥CPU的效能，仅耗费少许内存即获得惊人的处理效能。经高强度攻防试验测试表明：在抗DDOS攻击方面，工作于100M网卡冰盾约可抵御每秒25万个SYN包攻击，工作于1000M网卡冰盾约可抵御160万个SYN攻击包；在防黑客入侵方面，冰盾可智能识别Port扫描、Unicode恶意编码、SQL注入攻击、Trojan木马上传、Exploit漏洞利用等2000多种黑客入侵行为并自动阻止。

冰盾DDoS破解版特色功能

● 阻止DOS攻击

TearDrop、Land、Jolt、IGMP Nuker、Boink、Smurf、Bonk、BigPing、OOB等数百种。

● 抵御DDOS攻击

SYN/ACK Flood、UDPFlood、ICMP Flood、TCP Flood等所有流行的DDOS攻击。

● 拒绝TCP全连接攻击

自动阻断某一IP对服务器特定端口的大量TCP全连接资源耗尽攻击。

● 防止脚本攻击

专业防范ASP、php、PERL、JSP等脚本程序的洪水式Flood调用导致数据库和WEB崩溃的拒绝服务攻击。

● 对付DDOS工具

XDOS、HGOD、SYNKILLER、CC、GZDOS、PKDOS、JDOS、KKDOS、SUPERDDOS、FATBOY、SYNKFW等数十种。

● 超强Web过滤

过滤URL关键字、Unicode恶意编码、脚本木马、防止木马上传等。

● 侦测黑客入侵

智能检测Port扫描、SQL注入、密码猜测、Expolit利用等2000多种黑客入侵行为并阻断。

【冰盾问答】

■ 冰盾有什么特点?

答：与一般防火墙不同，冰盾是专门为抵御DDOS洪水攻击和防止黑客入侵而设计的专业级防火墙。

■ 冰盾保护哪类服务器?

答：IDC托管机房、网吧、虚拟主机、游戏站、聊天站、音乐站、电影站、电子商务站、企业站、私服等。

■ 冰盾有IP地址绑定限制吗?

答：完全没有限制！您可根据自己的需要随意更换服务器主机的IP地址，前提是不可更换主板、硬盘和网卡。

■ 冰盾抗攻击能力怎样?

答：理想条件下，100M环境可抵御25万SYN攻击包，在1000M环境可抵御160万SYN攻击包。

■ 冰盾性能如何?

答：采用NDIS地层驱动编程，微内核MicroKernel及主动ActiveDefense防御技术实现，占用CPU极低，并且对应用完全透明。

■ 冰盾稳定性呢?

答：已成功安装在数百家网站的服务器主机，在100万级页面浏览的网站稳定运行数月未出现异常。

■ 冰盾能防黑吗?

答：优于同类抗DDOS防火墙,冰盾具备专业级入侵侦测功能,可智能检测2000多种黑客动作。

【冰盾优势】

★ 免费试用

我们为您提供全功能的免费版下载试用，使用满意后再购买，降低您的购买风险。

★ 无效退款

我们承诺若因冰盾产品自身原因无法防护的7天内为您提供退款服务，不退款的7天后提供保修服务。

★ 诚信公司

我们拥有北京市通信管理局颁发的京ICP证50895号电信与信息服务业务经营许可证，确保您网上交易无忧。

★ 专业产品

我们从2003年至今一直在研究和开发专业级抗DDOS防火墙产品，专业、专注、技术领先、5年品质保证。

★ 成功案例

我们的产品已经在盛大网络、清华同方、黑客基地等上万家互联网公司稳定运行多年，可靠性值得信赖。

【冰盾特点】

※ 操作系统

所有冰盾防火墙均支持Windows 2000、Windows XP和Windows 2003操作系统。

※ 多网卡保护

安装有冰盾的主机服务器可安装多块网卡均将收到冰盾的全面保护。

※ 多IP保护

安装有冰盾的主机服务器可设置多个IP均将收到冰盾的全面保护。

※ IP随心换

冰盾对主机服务器的IP地址不做任何限制，用户可结合自己需要随意更改，冰盾会自动保护新的IP。

※ 不限制带宽

冰盾支持百兆和千兆网卡，不限制网络带宽，您的硬件配置越高抗攻击能力就越强。

DDOS检测和防护

一、DDOS的主要攻击方式

A)大流量冲击型

大流量攻击一方面使得基础网络的出口拥塞、带宽被占满，正常的永远流量无法得到带宽保证，另一方面基础网络的安全设备、服务器主机等设备也因为过量的负载导致CPU繁忙甚至挂死，整个网络可能瘫痪并无法继续对外提供服务，主要的攻击形式如下所述:

1.以SYN Flood为代表的有状态协议报文攻击

SYN Flood攻击是目前使用最为广泛的攻击方式，它充分利用了TCP协议三次握手机制的特点，伪造大量的源IP和端口的SYN报文，每个IP在向服务器端发送第一个SYN报文后，不再继续发送响应报文，导致服务器端在发送SYN+ACK的响应报文后，因为迟迟收不到响应报文而长时间的保持TCP连接，最终导致服务器因为存在大量的不正完整连接而资源耗尽而造成拒绝服务，通过对僵尸网络大量“肉鸡”主机的控制很容易形成大规模的SYN Flood攻击。

除了传统的SYN报文攻击之外，攻击者还可以在这个基础上进行变形形成新的类似攻击，例如使用ACK报文进行Flood攻击、构造超长字节数目的攻击报文、修改TCP头的TCP标志位使得协议状态机混乱的攻击、 短时间内大量建立完整TCP连接使得应用程序的TCP并发连接数达到极限值从而造成拒绝服务，统计表明这是目前使用比较多的攻击方式

2.以UDP/ICMP Flood为代表的无状态协议报文攻击

和TCP连接不同，UDP协议是无连接状态不可靠的通道传输协议，本身不提供协调的手

消息反馈等机制，其通信的可靠性需要依靠其承载的应用程序来进行保证。基于UDP协议的DDOS比较简单易行。黑客只需要伪造大量IP地址和小字节的UDP报文，针对特定的应用服务器及其端口号，大量发包冲击诸如DNS域名解析服务器、Radius认证服务器、部分网络游戏服务器、及流媒体视频服务器等。这些攻击报文将导致目标服务器始终处在繁忙状态，从而影响正常UDP消息的处理。其他诸如ICMP Flood攻击，其原理也和UDP比较类似，在此不再详细描述

B)应用层资源消耗型

应用层攻击并非依靠超大规模的流量取胜，其主要是通过模拟用户发送请求，对特定的应用或服务的资源进行消耗占用，利用较小的流量攻击就可以耗尽应用层资源并拒绝提供服务，这其中以HTTP GET和DNS Query 为典型代表

1.HTTP GET攻击

作为CC攻击的一种主要表现形式，HTTP GET的攻击看上去目前比较流行，占有比较多的攻击比例。攻击者可能通过单主机构造多个IP地址，并和服务器建立正常的TCP连接，之后不断的向目标服务器特定页面发起HTTP GET请求，实现诸如数据库的注册、查询、刷新等操作以消耗服务器资源，当发送的频率足够高的时候将导致服务器侧忙于响应这些请求导致CPU资源不足，从而使得其他的正常请求得不到处理。考虑到现阶段服务器的处理性能也在不断提升，为了保证攻击效果，攻击者也可能通过代理服务器或者僵尸网络控制更多的僵尸主机参与到攻击中来，大量的僵尸主机不断的向服务器特定页面发送HTTP GET请求将导致服务器拒绝服务，而且因为这些僵尸主机都是真实存在的IP地址，因此看上去隐蔽性更强

2.DNS查询的泛洪攻击

DNS服务作为互联网的基础性业务，对于互联网的重要性不言而喻。黑客通过利用僵尸网络（或模拟大量IP地址）基于真实DNS协议发起大量DNS Query域名查询请求，导致DNS服务器资源被大量消耗，网络带宽被占用耗尽，使得无法传送正常DNS查询请求；或者发送大量非法域名查询报文引起DNS服务器持续进行迭代查询，从而达到用小流量实现攻击的效果。

由于DNS服务器在网络中的特殊位置，小规模的DNS拒绝服务攻击很可能也演变成大流量的冲击事件。比较典型的案例是5.19安全事件，暴风影音的DNS服务器被攻击并拒绝服务，千万数量级的暴风影音用户变成了“肉鸡”，其客户端开始频繁发送DNS域名解析请求，继而形成了DNS Flood攻击冲击到运营商网络，并使得到运营商本身的DNS系统瘫痪，最终导致南方多个省市的互联网服务中断

二、DDOS攻击的主要防护方式

考虑到DDOS攻击的多样性，现阶段没有办法完全杜绝这种攻击行为的发生，但是我们可以做到减少被DDOS攻击，在遭受DDOS攻击之后快速恢复业务。接下来将从四个方面进行详细说明

A)网络安全管理员通过合理的配置实现攻击预防

1.在运维管理过程中，网络安全管理员除了调整web服务器负载，做好业务之间的冗余备份和负载均衡外，还可以关注以下几个方面的配置调整，以减少被攻击的风险。

?2.确保所有服务器采用最新系统，并打上安全补丁，避免服务器本身的安全漏洞被黑客控制和利用。同时关闭不需要使用的服务和端口，禁止使用网络访问程序如Telnet、FTP、Rlogin等，必要的话使用类似SSH等加密访问程序，避免这些端口被攻击者利用。

?3.深度了解自身的网络配置和结构，加强对所辖访问内所有主机的安全检查，必要的话部署端点准入机制来保证接入的安全。针对不同的客户端和服务器进行精确的权限控制，隔绝任何可能存在的非法访问。

?4.正确设置网络的信任边界，避免任何可能的非信任域发起的访问请求，针对类似文件共享等行为进行严格的权限控制。

?5.建设完整的安全日志跟踪系统，在网络的边缘出口运行端口映射程序或端口扫描程序，实时监控网络中可能存在的恶意端口扫描等行为，同时对网络设备、主机/服务器系统的日志进行收集分析，及时发现可能存在异常的日志行为并进行排查

B)利用防火墙等设备实现DDOS攻击检测

1.现一些畸形TCP协议报文的攻击。除此之外，现阶段的典型攻击检测方式还有以下几种。

2.使能TCP Proxy连接代理技术。诸如防火墙产品可以利用TCP Proxy代理功能，实现对攻击报文的准确识别。在接受到客户端发起的TCP请求时，防火墙产品本身将充当代理，率先和客户端保持会话建立的过程。如果完整的三次握手报文没有收到，防火墙将丢弃该会话连接请求，同时也不会和后端服务器建立会话连接，只有三次握手成功的连接请求，才会传递到后端的服务器并完成会话的建立。通过这种代理技术可以准确的识别基于TCP连接状态的攻击报文，如针对SYN Flood攻击，TCP半连接状态攻击等。

智能会话管理技术。针对上面提到的TCP连接并发的攻击，因为其本身有完整的TCP 三次握手，因此常规的TCP 代理技术并不能有效检测。为了避免这种情况，防火墙产品可以3.在TCP代理的基础上进一步改进，在TCP连接建立后，防火墙会主动检测该TCP连接的流量大小，如果设备存在大量的没有流量的空连接，则设备会主动将该TCP连接进行老化，避免这些空连接占用耗尽服务器的会话资源。

4.HTTP两次重定向技术。针对上述提到的HTTP Get攻击类型，由于其属于正常的访问请求，因此在防护过程中，一方面可以通过实时监控单位时间内同一个IP地址发起的HTTP Get请求的数目来初步判断是否存在可能的攻击，如果超出一定的阀值将终止该IP地址的访问请求以保护服务器；另一方面，也可以使用HTTP Get两次重定向技术来检测这种攻击。在接受到HTTP Get请求之前，安全设备会与客户端浏览器进行虚拟连接，待浏览器发送HTTP Get报文请求后，将所要GET的URL进行重定向发向该浏览器，等待浏览器发起对该重定向链接的访问。如果浏览器再次发起该请求，则将该客户端加入到信任的IP列表，并再次重定向到浏览器所要请求的正确URL，后续可以根据该IP地址黑白名单信誉列表转发。

5.除了上述方法之外，设备还有一些其他的方法来判断DDOS攻击，比如针对UDP Flood报文攻击，采取报文新建会话检查原则，将首包丢弃并等待客户重传，在这种情况下攻击报文将被过滤掉。针对其他的一些攻击方式如ICMP Flood，也可以使用智能流量检测技术，主动进行消息的发送速率，超过阀值的报文将被认为是无效报文做丢弃处理并记录日志，当速率低于设定的阈值下限后重新恢复报文的转发，这些方式配合流量自学习模型可以很好的识别攻击

C)基于流量模型自学习的攻击检测方法

1.对于部分缺乏状态的协议报文攻击，此时攻击报文属于正常报文，这种情况下，很难通过通用的检测技术对单个报文判断是否是攻击报文，此时流量自学习模型可以较好的解决这个问题。

2.在这个流量模型学习的过程中，用户可以自定义学习周期，周期越长越能够准确反映用户的流量分布。通过一段时间的学习，系统将准确获取该用户在一段时间内的流量分布，形成包含L4-L7层信息的流量模型。其参数包括但不限于：周期内的带宽占用情况、L4层协议端口的流量分布统计、TOPN的IP地址流量统计、应用层协议的种类及带宽分布、TCP报文带宽速率、会话连接数目及每秒新建速率参数、ICMP/UDP报文的速率、ICMP/UDP的请求速率、HTTP协议的带宽大小、每秒请求数、最大连接数、客户端IP地址的分布范围等。通过获取周期内的流量模型，结合用户的流量规划参数，最终形成符合用户流量实际的比对基线，并作为后续判断网络中是否存在异常流量的标准。流量基线确立后，系统可以实时监控网络的流量并与基线进行比对，一旦超出基线标准一定的比例将被定义为异常流量，此时系统将生成动态过滤规则对网络流量进行过滤和验证，如验证源IP地址的合法性、对异常的流量进行丢弃，从而实现对DDOS攻击的防御

D)基于云计算服务实现DDOS攻击防护

1.在实际的DDOS攻击防护过程中，面对万兆以上超大规模的攻击流量，攻击对象的出口带宽可能被完全拥塞，此时企业内部的DDOS检测和防护措施已经无法解决问题，租用运营商的云计算DDOS服务成为现实的选择。为了提供超大规模的云计算DDOS攻击防护能力，需要从以下3个步骤进行考虑：

2.首先，需要构建一个超高性能的DDOS攻击检测平台，实现对用户业务流量进行分析监控。在这个过程中，需要考虑通过流量镜像、RSPAN、NetStream等多种技术，将需要分析攻击的用户流量引导到DDOS攻击检测平台，再综合利用检测平台的各种技术最终实现对用户流量的攻击检测。其次，当攻击检测平台探测到疑似异常攻击流量后，将借助云计算DDOS服务管理中心，通过类似BGP路由发布等方式，将用户的疑似攻击流量自动牵引到服务商的流量清洗中心进行恶意流量清除。最后，攻击清除后的合法流量将通过策略路由、MPLS、双链路等多种方式回注到原有网络，并上报清洗日志到业务管理中心生成各种攻击报告，以便提供给云计算DDOS服务的租户审计。综合上述过程，可以看到超高的攻击检测性能和城域网内部就地清除攻击报文的能力，是云计算服务商的优势所在。

3.当然，在运营商搭建高性能攻击检测平台的过程中，除了上述提到的一些攻击检测方式

外，云计算服务商还可以充分利用云安全检测机制来识别攻击。比较典型的有基于IP信誉和 恶意URL地址库的识别机制。对于恶意的IP地址和和Wwebsite URL链接访问流量直接拦截丢弃，最大限度提升防护效率。