关于ddos:DDoS攻击愈演愈烈反射攻击举足轻重

43次阅读

共计 2393 个字符,预计需要花费 6 分钟才能阅读完成。

0x00 概述

寰球 DDoS 网络攻击次数一直增长,反射攻打次数也是逐年回升,笔者在之前撰写的文章《史上最大 DDoS 攻打 ” 之争 ”》中提到的几次”最大”攻打,都是以 CLDAP 为主的反射攻打。
除了 CLDAP 反射攻打外,SSDP、NTP 等反射攻打也是历年来最为风行的攻打类型,最近几年一直有新的攻打类型被发现,行业内监测到的反射类型有 50 多种,其中智云盾团队针对其中 12 种做了首次技术剖析和攻打预警。

0x01 反射攻打态势

DDoS 攻打峰值和攻打频率一直增高,反射攻打的占比从 2017 年的 21%,增长到 2021 年靠近 50%,下图展现了 DDoS 攻打次数与反射攻打增长的趋势。

图 1 DDoS 攻打与反射攻打趋势(数据起源:百度平安年报)

统计 2021 上半年 DDoS 攻打类型占比,udp 反射攻打领有高达 38.85% 的占比,相较于 2020 年同期回升显著。

图 2 2021 上半年攻打类型占比

统计反射攻打类型 TOP6 的数据,SSDP、NTP、SNMP、Memcache、DNS 和 CLDAP 是最为沉闷的反射攻打。

图 3 2021 上半年反射型攻打 TOP6

其中 CLDAP 是近年来较火的攻打类型,业内披露的屡次 T 级以上的超大攻打,都有 CLDAP 攻打的参加,CLDAP 协定广泛应用于 Windows 服务器的流动目录服务(AD),反射放大倍数超过 70 倍。

0x02 反射攻打原理

原理如下图所示:

图 4 反射攻打原理示意图

图中攻击者 Attacker 伪造了申请包 Pva 发送到反射服务器 Amplifiers(简称 A),但 Pva 的源 IP 是受害者 Victim(简称 V),所以 A 响应的时候发送 Pav 给到 V,Pav 往往是 Pva 的好几倍,甚至是成千上万倍。
反射攻打一方面暗藏了黑客 IP,同时还有一个重要特色是放大攻打流量。

1)暗藏黑客 IP

黑客施行攻打时,不是间接攻打受害者 IP,而是伪造受害者 IP 的大量申请发给相应的凋谢服务,相应服务将大量的歹意流量发送给受害者,这样就产生的暗藏了发送者实在身份的成果。
有一种状况是国内三大运营商的边缘网络或路由器会查看源 IP,对不是同一网络的 IP 出向包进行抛弃。
针对这种状况,黑客会在应用相应伎俩储备攻打资源,下图展现了 BillGates 木马收集的过程。

图 5 BillGates 木马
上图中序号 19、20 两个包中红色打码的是 BillGates 木马用实在 IP 收发心跳包,序号 21 和 22 是木马伪造不同的 IP 段发包,payload 中记录了实在 IP。木马收到申请包后依据 payload 是否蕴含实在 IP 来确定哪些 IP 段能够用于伪造。
BiillGates 木马通过收发心跳包来确定哪些 IP 段是能够将伪造的申请顺利通过边缘网络或路由器发到主控端。

2)放大攻打流量

反射攻打风行的另一个重要起因是反射服务带有放大成果,这些服务应用的协定通常不对起源申请进行安全性校验,间接响应数倍乃至数万倍于申请的数据包,例如咱们熟知的 Memcache 反射攻打,最大的放大倍数可达十几万倍。
很多出名的服务都能够用作反射攻打,如:NTP、SNMP,行业内监测到的 50 多种攻打类型中就有 21 种利用了物联网协定,7 种游戏协定,16 种网络服务以及 6 种公有协定,这些反射攻打的放大倍数少则几倍,多则高达十几万倍,这些反射攻打的放大倍数少则几倍,多则高达十几万倍,甚至 payload 为空的的状况下,也能响应超量数据包。

0x03 攻防反抗

咱们在长期与 DDoS 黑客”打交道”中,提炼出一套高效精确的钻研识别方法,该办法包含两个方面:

1)监测进攻零碎

智云盾在寰球部署了大量节点,蕴含一些蜜罐节点,能够有机会观测到反射攻打的全过程。

图 6 新型反射攻打发现

当黑客伪造的反射申请对监控零碎进行攻打时,监测节点实时上报攻打事件到威逼核心,向全网节点下发采集被攻打 IP 地址的指令,深度包分析程序依据 IP 对应关系提取黑客应用新型反射攻打的申请指令。
应用这种办法,咱们辨认了多个新型反射攻打类型,如 CoAP、PMDP 等反射攻打,然而因为资源无限,依然有许多新型类型难以辨认。于是咱们提出了基于协定模板 fuzz 的反射源攻打手法自动化探测办法。

2)基于协定模板 fuzz 的反射源攻打手法自动化探测办法

应用 RFC 协定库,构建协定模板库,通过 fuzz 算法生成大量的反射申请数据包。对于捕捉到大量响应包的反射攻打,通过协定模板库,fuzz 辨认协定类型,精准生成协定类型。

图 7 生成反射申请包

辨认协定时:

  • 如果协定载荷为文本——可打印的 ASCII 字符,抉择简略协定分类的模版库进行比对,采纳文本相似性算法
  • 如果协定载荷为简单协定——二进制数据和偶然蕴含的人可读的 ASCII 字符串,抉择简单协定的模版库进行比对,采纳二进制构造相似性算法。

应用基于生成 generation-based 的 fuzz 技术,对生成的协定进行文本建模,基于模型生成申请数据包。这样可能高效的获取新型反射攻打的申请指令。

3)研究成果

自 2018 年首次发现 IPMI 反射攻打以来,咱们累计挖掘出 12 种新型反射放大攻打,同时也对业内风行的 TCP 反射攻打进行过深入研究,下表展现了咱们近年来在反射攻打畛域的研究成果。

0x04 反射攻打汇总

黑客在寻找新的攻击方式上不再拘泥于传统公共服务,而是对裸露在公网,并且具备肯定规模的 UDP 服务都尝试利用作为反射源。咱们联合了本人的研究成果以及查阅多方材料,对反射攻打类型进行了总结,后果如下表:





注:表格迷信倍数数据为平安专家计算得出,局部数据联合业内披露的信息,未查问到相干信息的局部留白

0x05 进攻措施

反射攻打都是互联网上凋谢服务参加的,作为这些凋谢服务的运营者应遵循以下进攻措施防止成为 DDoS 反射攻打的鹰犬。

  1. 能应用 TCP 的服务,尽量不要启用 UDP 服务
  2. 必须应用 UDP 服务时,应启用受权认证
  3. 应用 UDP 服务无奈启用受权认证时,应确保响应与申请的倍数不要大于 1
  4. 加强本身应答歹意申请的能力,及时封禁歹意 IP

点击进入理解更多技术常识~~

正文完
 0