DDoS新手法:中间件反射攻击

攻防
2年前

1657677104534489.jpg


  分布式拒绝服务(DDoS)攻击者正在使用一种新技术,即通过“瞄准”脆弱的中间件,比如防火墙,来放大垃圾流量攻击,从而使网站瘫痪。


  放大攻击并不是什么新东西,而且它曾经帮助过攻击者利用短时间的高达3.47Tbps的流量来攻击服务器,使其瘫痪。去年,微软在网络游戏领域缓解了这种规模的攻击。


  然而,一场新的攻击即将来袭。CDN服务提供商Akamai表示:最近出现了一波利用“TPC中间件反射”的攻击。(也就是传输控制协议——联网机器之间安全通信的基础协议)。根据Akamai所说,这次攻击高达11Gbps,并且每秒钟150万包(Mpps)。


  去年八月,马里兰大学和科罗拉多大学分校的研究者们发表了一篇研究论文,对放大技术进行了揭示。文中表明攻击者可以通过TCP来滥用中间件。


  大部分DDoS攻击者都通过滥用用户数据包协议(UDP)来放大数据包的传递。他们通常是向服务器发送数据包,服务器则会回复更大的数据包到攻击者所期望的地址。


  TCP攻击利用了那些不符合TCP标准的网络中间件。研究者发现成百上千的IP地址可以通过防火墙和内容过滤器来将攻击放大100倍以上。


  因此,八个月前还仅存在于理论上的攻击,如今已经变成了真实的威胁。


  一篇博客文章表示:“中间件DDoS放大攻击是一种全新的TCP反射/放大攻击,对网络造成威胁。这是我们第一次在‘野外’发现这样的技术。”


  Cisco、Fortinet、SonicWall 和 Palo Alto Networks研发的防火墙以及类似的中间件是企业网络基础设施的关键。然而在实行内容过滤策略时,一些中间件无法准确地验证TCP流的状态。


  Akamai 表示:“这些中间件可以被用来响应状态外的TCP包。并且,这些响应通常旨在劫持用户端浏览器的内容,以试图阻止用户访问那些被阻止的内容。而这些TCP实现可以反过来被攻击者滥用,从而向DDoS受害者反射包和数据流在内的TCP流量。”


  攻击者可以通过冒充目标受害者的源IP地址来引导来自中间件的相应流量,从而滥用这些中间件。


  在TCP中,通过使用同步SYN控制标志来交换三次握手的关键信息。攻击者通过滥用一些中间件中的TCP实现,来使它们意外地响应SYN数据包信息。在某些情况下,Akamai观察到一个具有33字节有效载荷的SYN包产生了2156字节的响应,也就是说将其放大了6,533%。


数世点评

  过去,反射放大攻击主要是基于UDP协议的,如今通过TPC发起的DoS放大攻击,相对于基于UDP的攻击来说,可以产生更多数量级的放大。要解决这个问题,不仅需要防止攻击者欺骗IP地址,而且需要保护中间件不被错误地注入流量。显然,要彻底地解决该问题,还需长久的努力。



参考阅读

新型DDoS攻击:单包即可发起 最高放大2千亿倍

3.47T:微软Azure遭遇史上最大DDoS攻击

2200万RPS:僵尸网络DDoS攻击“秀肌肉”

Cloudflare缓解史上最大型DDoS攻击