Ataques contra redes TCP/IP

© FUOC • P06/M2107/01769
.
ElataquedeTCP/SYNFloodingseaprovechadelnúmerodeconexionesqueestán
esperando para establecer un servicio en particular para conseguir la denegación del
servicio.
Cuando un atacante configura una inundación de paquetes SYN de TCP, no tiene ninguna
intención de complementar el protocolo de intercambio, ni de establecer la conexión. Su
objetivo es exceder los límites establecidos para el número de conexiones que están a la
espera de establecerse para un servicio dado.
Esto puede hacer que el sistema que es víctima del ataque sea incapaz de establecer cual-
quier conexión adicional para este servicio hasta que las conexiones que estén a la espera
bajen el umbral.
Hasta que se llegue a este límite, cada paquete SYN genera un SYN/ACK que permanecerá
en la cola a la espera de establecerse. Es decir, cada conexión tiene un temporizador (un
límite para el tiempo que el sistema espera, el establecimiento de la conexión) que tiende
a configurarse en un minuto.
Cuando se excede el límite de tiempo, se libera la memoria que mantiene el estado de
esta conexión y la cuenta de la cola de servicios disminuye en una unidad. Después de
alcanzar el límite, puede mantenerse completa la cola de servicios, evitando que el sistema
establezca nuevas conexiones en este puerto con nuevos paquetes SYN.
Dado que el único propósito de la técnica es inundar la cola, no tiene ningún sentido
utilizar la dirección IP real del atacante, ni tampoco devolver los SYN/ACK, puesto que
de esta forma facilitaría que alguien pudiera llegar hasta él siguiendo la conexión. Por lo
tanto, normalmente se falsea la dirección de origen del paquete, modificando para ello la
cabecera IP de los paquetes que intervendrán en el ataque de una inundación SYN.
1.5.4. Teardrop
38 Ataques contra redes TCP/IP
Como hemos visto en este mismo módulo*, el protocolo IP especifica unos campos en Fragmentación IP
la cabecera encargados de señalar si el datagrama IP está fragmentado (forma parte de un
* Para tratar el siguiente
paquete mayor) y la posición que ocupa dentro del datagrama original.
ataque, haremos uso de la
teoría sobre la fragmentación
IP que hemos visto en este
En el campo de indicadores de TCP** encontramos el indicador de más fragmentos que mismo módulo didáctico.
indica si el paquete recibido es un fragmento de un datagrama mayor. Por otra parte, el
campo de identificación del datagrama especifica la posición del fragmento en el datagrama ** En inglés, TCP flags.
original.