flydust的博客

【转载】细说史上最大400G神秘DDoS攻击

2014年2月11日,CloudFlare透漏其客户遭受400G的NTP Flood攻击,刷新历史DDoS攻击的流量峰值外,使得NTP Flood攻击备受业界关注。其实自从黑客组织DERP使用了NTP发起反射攻击后,2014新年内的第一周,NTP反射攻击占了DoS攻击流量的69%,整个NTP攻击的平均大小为约每秒7.3G bps,比2013年12月观察到的平均攻击流量高3倍。

下面让我们看看NTP 服务器的原理。

NTP协议(network time protocol)是标准的网络时间同步协议,它采用层次化时间分布模型。网络体系结构主要包括主时间服务器、从时间服务器和客户机。主时间服务器位于根节点,负责与高精度时间源进行同步,为其他节点提供时间服务;各客户端由从时间服务器经主服务器获得时间同步。

以一个大企业网为例,企业搭建自身的时间服务器,作为从时间服务器,负责从主时间服务器同步时间,然后再负责将时间同步给企业的各业务系统。为确保时间同步延迟小,每个国家按地域搭建为数众多的时间服务器,作为主时间服务器,满足互联网各业务系统的时间同步需求。

随着网络信息化的高速发展,包括金融业,电信业,工业,铁路运输,航空运输业等各行各业对于以太网技术的依赖日益增强。各式各样的应用系统由不同的服务器组成,如电子商务网站由WEB服务器、认证服务器和数据库服务器组成,WEB应用要正常运行,必须实时确保WEB服务器、认证服务器和数据库服务器之间的时钟同步。再比如分布式的云计算系统、实时备份系统、计费系统、网络的安全认证系统甚至基础的网络管理,都强依赖于精确的时间同步。

神秘的NTP Flood为什么如此受黑客的青睐呢?

NTP协议是基于UDP协议的服务器/客户端模型,由于UDP协议的无连接性(不像TCP具有三次握手过程)具有天然的不安全性缺陷。黑客正式利用NTP服务器的不安全性漏洞发起DDoS攻击。只需2步,即可轻松实现四两拨千斤的攻击效果。

第一步:寻找目标,包括攻击对象和网络上的NTP服务器资源。

第二步:伪造要“攻击对象”的IP地址向NTP服务器发送请求时钟同步请求报文,为了增加攻击强度,发送的请求报文为Monlist请求报文,威力则更猛。NTP协议包含一个monlist功能,用于监控 NTP 服务器,NTP 服务器响应monlist指令后就会返回与其进行过时间同步的最近 600 个客户端的IP地址。响应包按照每6个IP进行分割,最多一个NTP monlist请求会形成100 个响应包,具有强的放大的能力。实验室模拟测试显示,当请求包的大小为234字节时,每个响应包为 482 字节,单纯按照这个数据,计算出放大的倍数是:482*100/234 = 206倍!

哇哈哈~~~攻击效果很明显,被攻击目标很快出现拒绝服务现象,更有甚者整个网络拥塞。

自从黑客组织DERP发现NTP发起反射攻击效果后,便在在2013年12月底上演了针对包括EA、暴雪等大型游戏公司的一系列DDoS攻击事件中,使用了NTP反射攻击。看起神秘的NTP反射攻击,其实并不神秘,与DNS反射攻击具有异曲同工之效,都是利用UDP协议的不安全漏洞,利用开放的服务器发起的,不同的是NTP威胁性更强,因为每个数据中心服务器都需要时钟同步,无法通过协议、端口的过滤来进行防护。

总结起来反射类攻击最大的特点,就是以小博大,四两拨千斤,利用各种协议漏洞来放大攻击效果,但万变不离其宗,只要捏住攻击的“七寸”,就能从根本上遏制攻击。而反射攻击的“七寸”就是它的流量异常。这就需要防护系统能够及时发现流量的异常,而发现异常还远远不够,防护系统还要有足够的性能来抵御这种简单粗暴攻击,要知道现在的攻击动辄都是100G起了,防护系统要是没个几百G的防护能力,就是发现了,也只能干瞪眼。

点赞

发表评论

电子邮件地址不会被公开。 必填项已用*标注