{"id":1300,"date":"2021-03-02T03:05:00","date_gmt":"2021-03-02T02:05:00","guid":{"rendered":"https:\/\/mikadmin.fr\/blog\/?p=1300"},"modified":"2021-09-19T01:33:00","modified_gmt":"2021-09-18T23:33:00","slug":"syn-flood-attack-ddos","status":"publish","type":"post","link":"https:\/\/mikadmin.fr\/blog\/syn-flood-attack-ddos\/","title":{"rendered":"Qu’est-ce qu’une attaque SYN Flood ?"},"content":{"rendered":"<\/span> 3<\/span> min read<\/span><\/span>

Views: 591<\/p>\n

<\/div>\n\n\n\n

Une attaque SYN flood<\/span><\/strong> (attaque semi-ouverte) est un type d\u2019attaque par d\u00e9ni de service (DDoS)<\/a> qui vise \u00e0 rendre un serveur indisponible pour le trafic l\u00e9gitime en consommant toutes les ressources serveur disponibles. <\/p>\n\n\n\n

<\/div>\n\n\n\n
\"Progression<\/figure><\/div>\n\n\n\n
\n\n\n\n

<\/p>\n\n\n\n

Three-way handshake<\/strong><\/h1>\n\n\n\n
<\/div>\n\n\n\n

L’attaque SYN Flood<\/span><\/strong> exploite le principe du three-way handshake<\/strong> du protocole TCP<\/a><\/strong>. <\/p>\n\n\n\n

Lors d’une connexion classique entre un client<\/strong> et un serveur<\/strong> il y a 3 \u00e9tapes :<\/p>\n\n\n\n

<\/div>\n\n\n\n

\u2705 Le client envoie un paquet SYN<\/strong>.<\/p>\n\n\n\n

\u2705 Le serveur r\u00e9pond ensuite avec un paquet SYN-ACK<\/strong> accusant la r\u00e9ception.<\/p>\n\n\n\n

\u2705 Le client envoie un paquet ACK<\/strong> et la connexion TCP<\/strong> est donc \u00e9tablie.<\/p>\n\n\n\n

\"\"\/<\/figure><\/div>\n\n\n\n
\n\n\n\n

<\/p>\n\n\n\n

D\u00e9roulement de l’attaque <\/h2>\n\n\n\n
<\/div>\n\n\n\n

En envoyant \u00e0 plusieurs reprises des paquets de demande de connexion initiale (SYN<\/strong>), l\u2019attaquant est en mesure de submerger tous les ports disponibles sur une machine serveur cibl\u00e9e, ce qui oblige l\u2019appareil cibl\u00e9 \u00e0 r\u00e9pondre lentement au trafic l\u00e9gitime, ou l\u2019emp\u00eache totalement de r\u00e9pondre.<\/p>\n\n\n\n

\"SYN<\/figure><\/div>\n\n\n\n

Les SYN Flood<\/span><\/strong> sont fr\u00e9quemment effectu\u00e9es par des bots se connectant \u00e0 partir d\u2019adresses IP usurp\u00e9es<\/strong> afin de rendre l\u2019attaque plus difficile \u00e0 identifier et \u00e0 att\u00e9nuer. Les botnets <\/strong>peuvent lancer des SYN Flood<\/span><\/strong> en tant qu\u2019attaques par d\u00e9ni de service distribu\u00e9 (DDoS)<\/a>.<\/p>\n\n\n\n

\n\n\n\n
<\/div>\n\n\n\n

Voil\u00e0 un exemple d’attaque SYN Flood<\/span><\/strong> & DNS Flood<\/span><\/strong>:<\/p>\n\n\n\n

<\/div>\n\n\n\n
\"Imperva
Imperva mitigates a 38 day-long SYN flood and DNS flood <\/em>multi-vector DDoS attack.<\/a><\/figcaption><\/figure><\/div>\n\n\n\n
\n\n\n\n

Prot\u00e9ger votre serveur contre le SYN Flood<\/h2>\n\n\n\n
<\/div>\n\n\n\n

Dans cet exemple, nous avons deux machines<\/strong> en local :<\/p>\n\n\n\n

<\/div>\n\n\n\n

\u2b50 Une machine attaquante : 192.168.1.27<\/strong><\/p>\n\n\n\n

\u2b50Une machine victime : 192.168.1.23<\/strong><\/p>\n\n\n\n

\n\n\n\n

Avant de vouloir prot\u00e9ger notre machine, nous allons voir un filtre wireshark<\/span><\/strong> nous permettant de d\u00e9tecter une attaque SYN Flood<\/span><\/strong>.<\/p>\n\n\n\n

tcp.flags.syn == 1 and tcp.flags.ack == 0<\/code><\/pre>\n\n\n\n
<\/div>\n\n\n\n
\"\"<\/figure><\/div>\n\n\n\n
\"\"<\/figure>\n\n\n\n
<\/div>\n\n\n\n
Comme nous pouvons le voir, nous avons un tr\u00e8s grand nombre de paquets SYN<\/strong> en destination de notre victime qui est 192.168.1.23<\/strong> et en provenance d’adresse IP usurp\u00e9es<\/strong>.<\/p>\n\n\n\n
\n\n\n\n
<\/div>\n\n\n\n
Nous pouvons aussi d\u00e9tecter une attaque SYN Flood<\/span><\/strong> \u00e0 l’aide de la commande suivante qui va nous renvoyer le nombre de connexion dans l’\u00e9tat SYN_RECV<\/span><\/strong> :<\/p>\n\n\n\n
<\/div>\n\n\n\n
netstat -npt | awk '{print $6}' | sort | uniq -c | sort -nr | head<\/code><\/pre>\n\n\n\n
\n\n\n\n
<\/p>\n\n\n\n
Il est temps d’ajouter des param\u00e8tres nous permettant de limiter<\/strong> ce type d’attaque.<\/p>\n\n\n\n
<\/div>\n\n\n\n
Dans un premier temps, nous allons travailler avec le fichier \/etc\/sysctl.conf<\/strong> puis changer les variables suivantes :<\/p>\n\n\n\n
<\/div>\n\n\n\n
net.ipv4.tcp_syncookies = 1\nnet.ipv4.tcp_max_syn_backlog = 2048\nnet.ipv4.tcp_synack_retries = 3\nnet.ipv4.conf.all.rp_filter = 1<\/code><\/pre>\n\n\n\n
 Pour plus d’informations sur ces derni\u00e8res je vous recommande cet article<\/a>.<\/p>\n\n\n\n
\n\n\n\n
Nous pouvons \u00e9galement mettre en place des r\u00e8gles iptables<\/strong> permettant de limiter<\/strong> ceci comme par exemple :<\/p>\n\n\n\n
<\/div>\n\n\n\n
# Cr\u00e9ation d'une nouvelle cha\u00eene nomm\u00e9e syn_flood\niptables -N syn_flood\n\n# Match les segments TCP pour cette derni\u00e8re\niptables -A INPUT -p tcp --syn -j syn_flood\n\n# Si la limite match alors on continue \u00e0 lire les autres r\u00e8gles\niptables -A syn_flood -m limit --limit 1\/s --limit-burst 3 -j RETURN\n\n# Si \u00e7a ne match pas on drop le paquet\niptables -A syn_flood -j DROP<\/code><\/pre>\n\n\n\n
<\/div>\n\n\n\n
Apr\u00e8s avoir mis en place ceci on constate que la cha\u00eene syn_flood<\/strong> commence \u00e0 DROP<\/strong> des paquets.<\/p>\n\n\n\n
\"\"<\/figure><\/div>\n\n\n\n
<\/div>\n\n\n\n
\n\n\n\n
Sources : <\/strong><\/p>\n\n\n\n