7. Ataques tipo D.o.S. (Denial of Service, Denegación de Servicio)

Los ataques tipo D.o.S. consisten simplemente en dejar fuera de servicio cualquier servicio ofrecido por un servidor o estación de trabajo, ocasionando a veces como efecto lateral, el cuelgue de la máquina, normalmente con un volcado de memoria (donde entra en juego la aplicación Dr. Watson del sistema) y/o una pantalla azul (BSOD Blue Screen of Death) comúnmente conocida como 'la pantalla de los pitufos'. Este es un tema controvertido, dado que algunas personas piensan que un ataque D.o.S. no es una técnica de hacking, o lo tratan como algo sin importancia. Sin embargo, es un tema a tener muy en cuenta en Windows NT pues, la gran mayoría de los ataques son de tipo D.o.S. Existen algunas razones por las cuales, este tipo de ataques pueden ser útiles a un hacker:
  • El hacker ha instalado un troyano, pero necesita que la víctima reinicie la máquina para que surta efecto.
  • El hacker necesita cubrir inmediatamente sus acciones o un uso abusivo de CPU. Para ello provoca un 'crash' del sistema, generando así la sensación de que ha sido algo pasajero y raro. Desgraciadamente, aún no sorprende en la familia Windows un cuelgue del sistema.
  • El hacker no es tal, sino un personaje sin experiencia que apenas sabe lo que hace.
  • El hacker cree que actúa bien al dejar fuera de servicio algún sitio Web que le disgusta.
  • El administrador del sistema quiere comprobar que sus instalaciones no son vulnerables a este tipo de ataques.
  • El administrador del sistema tiene un proceso que no puede matar en su servidor y, debido a este, no puede acceder al sistema. Para ello, lanza contra sí mismo un ataque D.o.S. parando así el servicio y pudiendo entrar a reconfigurar.

7.1. Ataque OOB

Este tipo de ataque es bastante simple, a la vez que accesible, dado el gran número de programas que explotan esta debilidad en la implementación TCP/IP de Microsoft. Básicamente, consiste en enviar un mensaje out-of-band a ciertos puertos de un sistema NT y éste se colgará. Típicamente se usa el puerto 139. Este tipo de ataque, también conocido como WinNuke se evita instalando el Service Pack 3 y el Hot Fix adecuado, pero han surgido varias variantes que aún son capaces de colgar un sistema NT. El código fuente de esta aplicación está muy difundido y cualquier búsqueda en la Red con la palabra "winnuke" dará la dirección de muchas páginas que lo contienen.

7.2. Ataques Teardrop I, II, Newtear, Bonk, Boink.

Este tipo de ataques consisten en mandar un par de fragmentos IP manipulados maliciosamente, que al ser reensamblados en la máquina víctima como un datagrama UDP inválido, provocan que ésta pase a un estado inestable. En este estado, un sistema NT puede colgarse o reiniciarse. Generalmente aparece la pantalla BSOD.

Este tipo de ataques es especialmente peligroso dado que existen multitud de implementaciones conocidas con el nombre de NewTear, Bonk y Boink que explotan esta debilidad. Además, a comienzos de Marzo del 98, salió a la luz un paquete que integraba todas ellas y las lanzaba de forma automática contra un gran número de hosts que el usuario podía especificar.

La solución para protegerse de este tipo de ataques en Windows 95 y NT es instalar el parche apropiado que Microsoft suministra. Este parche, al igual que más información sobre esta vulnerabilidad, pueden encontrarse en el 'Microsoft Market Bulletin' titulado "New Teardrop-like TCP/IP Denial of Service Program" en la siguiente dirección:

http://www.microsoft.com/security/newtear2.htm

7.3. Land Attack.

Este ataque, desarrollado por "m3lt" , consiste en un nuevo bug en la implementación de la pila TCP/IP de las plataformas Windows.

El ataque consiste en mandar a algún puerto abierto de un servidor (generalmente al 113 o al 139), un paquete maliciosamente construido, con el bit SYN a 1, y con la dirección y puerto origen IGUAL que la dirección y puerto destino (ejm.: 10.0.0.1:139 a 10.0.0.1:139). Resultado: la máquina comenzará ha mandarse mensajes a sí misma y acabará por colgarse.

El mensaje fue mandado a la lista BugTraq con el código fuente incluído (cosa normal en esta lista, por otro lado).

7.4. Ataque Smurf.

Este ataque es bastante simple y a su vez devastador. Consiste en recolectar una serie de direcciones de broadcast para a continuación mandar una petición de echo ICMP a cada una de ellas en serie, varias veces, falsificando la dirección IP de origen. Este paquete maliciosamente manipulado, será repetido en broadcast, y cientos ó miles de hosts (según la lista de direcciones de broadcast disponible) mandarán una respuesta de echo a la víctima cuya dirección IP figura en el paquete ICMP. Los resultados son devastadores, pudiendo saturar fácilmente un circuito T1. El programa se distribuye en fuente en r00tshell, junto con gran parte de los programas citados en este documento.