共计 2393 个字符，预计需要花费 6 分钟才能阅读完成。
0x00 概述
寰球 DDoS 网络攻击次数一直增长，反射攻打次数也是逐年回升，笔者在之前撰写的文章《史上最大 DDoS 攻打 ” 之争 ”》中提到的几次”最大”攻打，都是以 CLDAP 为主的反射攻打。
除了 CLDAP 反射攻打外，SSDP、NTP 等反射攻打也是历年来最为风行的攻打类型，最近几年一直有新的攻打类型被发现，行业内监测到的反射类型有 50 多种，其中智云盾团队针对其中 12 种做了首次技术剖析和攻打预警。
0x01 反射攻打态势
DDoS 攻打峰值和攻打频率一直增高，反射攻打的占比从 2017 年的 21%，增长到 2021 年靠近 50%，下图展现了 DDoS 攻打次数与反射攻打增长的趋势。
图 1 DDoS 攻打与反射攻打趋势（数据起源：百度平安年报）
统计 2021 上半年 DDoS 攻打类型占比，udp 反射攻打领有高达 38.85% 的占比，相较于 2020 年同期回升显著。
图 2 2021 上半年攻打类型占比
统计反射攻打类型 TOP6 的数据，SSDP、NTP、SNMP、Memcache、DNS 和 CLDAP 是最为沉闷的反射攻打。
图 3 2021 上半年反射型攻打 TOP6
其中 CLDAP 是近年来较火的攻打类型，业内披露的屡次 T 级以上的超大攻打，都有 CLDAP 攻打的参加，CLDAP 协定广泛应用于 Windows 服务器的流动目录服务（AD），反射放大倍数超过 70 倍。
0x02 反射攻打原理
原理如下图所示：
图 4 反射攻打原理示意图
图中攻击者 Attacker 伪造了申请包 Pva 发送到反射服务器 Amplifiers（简称 A），但 Pva 的源 IP 是受害者 Victim（简称 V），所以 A 响应的时候发送 Pav 给到 V，Pav 往往是 Pva 的好几倍，甚至是成千上万倍。
反射攻打一方面暗藏了黑客 IP，同时还有一个重要特色是放大攻打流量。
1）暗藏黑客 IP
黑客施行攻打时，不是间接攻打受害者 IP，而是伪造受害者 IP 的大量申请发给相应的凋谢服务，相应服务将大量的歹意流量发送给受害者，这样就产生的暗藏了发送者实在身份的成果。
有一种状况是国内三大运营商的边缘网络或路由器会查看源 IP，对不是同一网络的 IP 出向包进行抛弃。
针对这种状况，黑客会在应用相应伎俩储备攻打资源，下图展现了 BillGates 木马收集的过程。
图 5 BillGates 木马
上图中序号 19、20 两个包中红色打码的是 BillGates 木马用实在 IP 收发心跳包，序号 21 和 22 是木马伪造不同的 IP 段发包，payload 中记录了实在 IP。木马收到申请包后依据 payload 是否蕴含实在 IP 来确定哪些 IP 段能够用于伪造。
BiillGates 木马通过收发心跳包来确定哪些 IP 段是能够将伪造的申请顺利通过边缘网络或路由器发到主控端。
2）放大攻打流量
反射攻打风行的另一个重要起因是反射服务带有放大成果，这些服务应用的协定通常不对起源申请进行安全性校验，间接响应数倍乃至数万倍于申请的数据包，例如咱们熟知的 Memcache 反射攻打，最大的放大倍数可达十几万倍。
很多出名的服务都能够用作反射攻打，如：NTP、SNMP，行业内监测到的 50 多种攻打类型中就有 21 种利用了物联网协定，7 种游戏协定，16 种网络服务以及 6 种公有协定，这些反射攻打的放大倍数少则几倍，多则高达十几万倍，这些反射攻打的放大倍数少则几倍，多则高达十几万倍，甚至 payload 为空的的状况下，也能响应超量数据包。
0x03 攻防反抗
咱们在长期与 DDoS 黑客”打交道”中，提炼出一套高效精确的钻研识别方法，该办法包含两个方面：
1）监测进攻零碎
智云盾在寰球部署了大量节点，蕴含一些蜜罐节点，能够有机会观测到反射攻打的全过程。
图 6 新型反射攻打发现
当黑客伪造的反射申请对监控零碎进行攻打时，监测节点实时上报攻打事件到威逼核心，向全网节点下发采集被攻打 IP 地址的指令，深度包分析程序依据 IP 对应关系提取黑客应用新型反射攻打的申请指令。
应用这种办法，咱们辨认了多个新型反射攻打类型，如 CoAP、PMDP 等反射攻打，然而因为资源无限，依然有许多新型类型难以辨认。于是咱们提出了基于协定模板 fuzz 的反射源攻打手法自动化探测办法。
2）基于协定模板 fuzz 的反射源攻打手法自动化探测办法
应用 RFC 协定库，构建协定模板库，通过 fuzz 算法生成大量的反射申请数据包。对于捕捉到大量响应包的反射攻打，通过协定模板库，fuzz 辨认协定类型，精准生成协定类型。
图 7 生成反射申请包
辨认协定时：
- 如果协定载荷为文本——可打印的 ASCII 字符，抉择简略协定分类的模版库进行比对，采纳文本相似性算法
- 如果协定载荷为简单协定——二进制数据和偶然蕴含的人可读的 ASCII 字符串，抉择简单协定的模版库进行比对，采纳二进制构造相似性算法。
应用基于生成 generation-based 的 fuzz 技术，对生成的协定进行文本建模，基于模型生成申请数据包。这样可能高效的获取新型反射攻打的申请指令。
3）研究成果
自 2018 年首次发现 IPMI 反射攻打以来，咱们累计挖掘出 12 种新型反射放大攻打，同时也对业内风行的 TCP 反射攻打进行过深入研究，下表展现了咱们近年来在反射攻打畛域的研究成果。
0x04 反射攻打汇总
黑客在寻找新的攻击方式上不再拘泥于传统公共服务，而是对裸露在公网，并且具备肯定规模的 UDP 服务都尝试利用作为反射源。咱们联合了本人的研究成果以及查阅多方材料，对反射攻打类型进行了总结，后果如下表：
注：表格迷信倍数数据为平安专家计算得出，局部数据联合业内披露的信息，未查问到相干信息的局部留白
0x05 进攻措施
反射攻打都是互联网上凋谢服务参加的，作为这些凋谢服务的运营者应遵循以下进攻措施防止成为 DDoS 反射攻打的鹰犬。
- 能应用 TCP 的服务，尽量不要启用 UDP 服务
- 必须应用 UDP 服务时，应启用受权认证
- 应用 UDP 服务无奈启用受权认证时，应确保响应与申请的倍数不要大于 1
- 加强本身应答歹意申请的能力，及时封禁歹意 IP
点击进入理解更多技术常识~~