udp放大攻击软件_udp放大攻击脚本

导航：

• 1、Smurf攻击的原理，怎样防范？
• 2、基于udp的放大攻击
• 3、DDOS攻击之DNS放大攻击！
• 4、Memcache UDP 反射放大攻击技术分析
• 5、阿拉丁UDP攻击器+IPTape竟然能让指定Q号掉线！！！
• 6、UDP、TCP、ICMP攻击原理？

Smurf攻击的原理，怎样防范？

常见的DDoS攻击

smurf、Fraggle 攻击、Trinoo、Tribe Flood Network(TFN)、TFN2k以及Stacheldraht是比较常见的DDoS攻击程序，我们再看看它们的原理，其攻击思路基本相近。 Smurf 攻击：Smurf是一种简单但有效的 DDoS 攻击技术，Smurf还是利用ping程序进行源IP假冒的直接广播进行攻击。在Internet上广播信息可以通过一定的手段（通过广播地址或其他机制）发送到整个网络中的机器。当某台机器使用广播地址发送一个ICMP echo请求包时（例如Ping），一些系统会回应一个ICMP echo回应包，这样发送一个包会收到许多的响应包。Smurf攻击就是使用这个原理来进行的，同时它还需要一个假冒的源地址。也就是说Smurf在网络中发送的源地址为要攻击的主机地址，目的地址为广播地址的ICMP echo请求包，使许多的系统同时响应并发送大量的信息给被攻击主机（因为他的地址被攻击者假冒了）。Smurf是用一个伪造的源地址连续ping一个或多个计算机网络，这就导致所有计算机响应的那个主机地址并不是实际发送这个信息包的攻击计算机。这个伪造的源地址，实际上就是攻击的目标，它将被极大数量的响应信息量所淹没。对这个伪造信息包做出响应的计算机网络就成为攻击的不知情的同谋。一个简单的 smurf 攻击最终导致网络阻塞和第三方崩溃，这种攻击方式要比 ping of death 洪水的流量高出一两个数量级。这种使用网络发送一个包而引出大量回应的方式也被叫做Smurf"放大"。

Fraggle 攻击：Fraggle 攻击对 Smurf 攻击作了简单的修改，使用的是 UDP 应答消息而非 ICMP。

"trinoo"攻击：trinoo 是复杂的 DDoS 攻击程序，是基于UDP flood的攻击软件。它使用"master"程序对实际实施攻击的任何数量的"代理"程序实现自动控制。当然在攻击之前，侵入者为了安装软件，已经控制了装有master程序的计算机和所有装有代理程序的计算机。攻击者连接到安装了master程序的计算机，启动master程序，然后根据一个IP地址的列表，由master程序负责启动所有的代理程序。接着，代理程序用UDP 信息包冲击网络，向被攻击目标主机的随机端口发出全零的4字节UDP包，在处理这些超出其处理能力垃圾数据包的过程中，被攻击主机的网络性能不断下降，直到不能提供正常服务，乃至崩溃。它对IP地址不做假，因此此攻击方法用得不多。

"Tribal Flood Network"和 "TFN2K" 攻击：Tribe Flood Network与trinoo一样，使用一个master程序与位于多个网络上的攻击代理进行通讯，利用ICMP给代理服务器下命令，其来源可以做假。TFN可以并行发动数不胜数的DoS攻击，类型多种多样，而且还可建立带有伪装源IP地址的信息包。 可以由TFN发动的攻击包括：SYN flood、UDP flood、ICMP回音请求flood及Smurf（利用多台服务器发出海量数据包，实施DoS攻击）等攻击。TFN的升级版TFN2k进一步对命令数据包加密，更难查询命令内容，命令来源可以做假，还有一个后门控制代理服务器。

"stacheldraht"攻击：Stacheldraht也是基于TFN和trinoo一样的客户机/服务器模式，其中Master程序与潜在的成千个代理程序进行通讯。在发动攻击时，侵入者与master程序进行连接。Stacheldraht增加了新的功能：攻击者与master程序之间的通讯是加密的，对命令来源做假，而且可以防范一些路由器用RFC2267过滤，若检查出有过滤现象，它将只做假IP地址最后8位，从而让用户无法了解到底是哪几个网段的哪台机器被攻击；同时使用rcp (remote copy，远程复制)技术对代理程序进行自动更新。Stacheldraht 同TFN一样，可以并行发动数不胜数的DoS攻击，类型多种多样，而且还可建立带有伪装源IP地址的信息包。Stacheldraht所发动的攻击包括UDP 冲击、TCP SYN 冲击、ICMP 回音应答冲击。

如何防止DoS/DdoS攻击

DoS攻击几乎是从互联网络的诞生以来，就伴随着互联网络的发展而一直存在也不断发展和升级。值得一提的是，要找DoS的工具一点不难，黑客群居的网络社区都有共享黑客软件的传统，并会在一起交流攻击的心得经验，你可以很轻松的从Internet上获得这些工具，像以上提到的这些DoS攻击软件都是可以从网上随意找到的公开软件。所以任何一个上网者都可能构成网络安全的潜在威胁。DoS攻击给飞速发展的互联网络安全带来重大的威胁。然而从某种程度上可以说，DoS攻击永远不会消失而且从技术上目前没有根本的解决办法。

面对凶多吉少的DoS险滩，我们该如何对付随时出现的黑客攻击呢？让我们首先对造成DoS攻击威胁的技术问题做一下总结。DoS攻击可以说是如下原因造成的：

1．软件弱点是包含在操作系统或应用程序中与安全相关的系统缺陷，这些缺陷大多是由于错误的程序编制，粗心的源代码审核，无心的副效应或一些不适当的绑定所造成的。由于使用的软件几乎完全依赖于开发商，所以对于由软件引起的漏洞只能依靠打补丁，安装hot fixes和Service packs来弥补。当某个应用程序被发现有漏洞存在，开发商会立即发布一个更新的版本来修正这个漏洞。由于开发协议固有的缺陷导致的DoS攻击，可以通过简单的补丁来弥补系统缺陷。

2．错误配置也会成为系统的安全隐患。这些错误配置通常发生在硬件装置，系统或者应用程序中，大多是由于一些没经验的，无责任员工或者错误的理论所导致的。如果对网络中的路由器，防火墙，交换机以及其他网络连接设备都进行正确的配置会减小这些错误发生的可能性。如果发现了这种漏洞应当请教专业的技术人员来修理这些问题。

3．重复请求导致过载的拒绝服务攻击。当对资源的重复请求大大超过资源的支付能力时就会造成拒绝服务攻击（例如，对已经满载的Web服务器进行过多的请求使其过载）。

要避免系统免受DoS攻击，从前两点来看，网络管理员要积极谨慎地维护系统，确保无安全隐患和漏洞；而针对第三点的恶意攻击方式则需要安装防火墙等安全设备过滤DoS攻击，同时强烈建议网络管理员应当定期查看安全设备的日志，及时发现对系统的安全威胁行为。

基于udp的放大攻击

一、系统的影响

某些依赖于用户数据报协议(User Datagram Protocol, UDP)的应用层协议已被识别为潜在的攻击载体。这些包括：

域名系统，

网络时间协议(NTP)

无连接轻量级目录访问协议(CLDAP)，

字符生成协议(CharGEN)

简单服务发现协议，

BitTorrent，

简单网络管理协议版本2 (SNMPv2)

Kad,

端口映射/远程过程调用(RPC)，

Quote of the Day(QOTD)

多播域名系统(mDNS)，

网络基本输入输出系统(NetBIOS)

Quake 网络协议,

流协议,

路由信息协议版本1 (RIPv1)

轻量级目录访问协议(LDAP)，

简单文件传输协议(TFTP)和

Memcached,

以及Web服务动态发现(WS-Discovery)。

二、概述

分布式反射拒绝服务(DRDoS)是分布式拒绝服务(DDoS)攻击的一种形式，它依赖于可公开访问的UDP服务器和带宽放大因子(BAFs)，以UDP流量淹没受害者的系统。

三、描述

根据设计，UDP是一个不验证源互联网协议(IP)地址的无连接协议。除非应用层协议使用对策，如在互联网语音协议中会话发起，否则攻击者可以很容易地伪造IP包数据报(与包交换网络相关联的基本传输单元)以包括任意源IP地址。当许多UDP数据包的源IP地址被伪造成受害者IP地址时，目标服务器(或放大器)会响应受害者(而不是攻击者)，从而产生反射拒绝服务(DoS)攻击。

UDP协议的某些命令会引发比初始请求大得多的响应。以前，攻击者受到直接发送到目标的数据包的线性数量的限制而进行DoS攻击;现在一个包可以产生10到100倍的原始带宽。这被称为放大攻击，当与大规模的反射式DoS攻击结合使用多个放大器并针对单一受害者时，DDoS攻击就可以相对容易地进行。

放大攻击的潜在效果可以通过BAF来衡量，BAF可以计算为放大器为响应请求而发送的UDP有效载荷字节数与请求的UDP有效载荷字节数的比较。

下面是已知协议及其相关的BAFs的列表。CISA感谢Christian Rossow提供了这些信息。更多关于BAFs的信息，请看Christian的博客以及相关的研究成果。

2015年3月，软件工程学会CERT协调中心发布了漏洞说明VU#550620，描述了mDNS在DRDoS攻击中的使用。攻击者可以通过发送比设备能处理的更多的信息来利用mDNS，从而导致DoS状态。

2015年7月，Akamai技术公司的Prolexic安全工程和研究团队(PLXsert)发布了一份威胁报告，称使用RIPv1的DRDoS攻击激增。恶意参与者通过特别设计的请求查询利用RIPv1的行为进行DDoS反射。

2015年8月，3级威胁研究实验室报告了一种使用portmap的新型DRDoS攻击。攻击者利用portmap服务的行为，通过欺骗请求向受害者的网络发送UDP流量。

2016年10月，Corero Network Security报告了一场新的DDoS扩增攻击，利用LDAP目录服务服务器攻击其客户。

2017年11月，Netlab 360报告称，CLDAP目前是第三大最常见的DRDoS攻击，仅次于DNS和NTP攻击。

2018年2月，SENKI报告了基于memcached的反射DDoS攻击(通过UDP/TCP端口11211)的增加，并达到了前所未有的放大系数。

在2019年9月，Akamai报告了利用WS-Discovery协议(通过TCP/UDP端口3702)的DDoS攻击。

四、影响

攻击者可以利用此警报中提供UDP协议的大型服务器的带宽和相对信任，向受害者提供不需要的流量并创建DDoS攻击。

五、解决方案

检测

检测DRDoS攻击并不容易，因为它们使用了提供UDP服务的大型可信服务器。这些可利用服务的网络运营商可以应用传统的DoS缓解技术。要检测DRDoS攻击，请注意对特定IP地址的非正常大响应，这可能表明攻击者正在使用该服务。

DRDoS攻击的受害者可以做一些事情来检测这种活动并作出反应:

1、检测和警报大UDP数据包到更高的命令端口。

2、检测和警告任何非状态UDP数据包。(下面是一个简单的Snort示例。这种方法需要针对每个带有白名单和已知服务的环境进行定制。

3、上游供应商应更新与下游客户的联系方式和方法，通过网络发送警报。

一般而言，互联网服务供应商(ISPs)的网络和服务器管理员应采用以下最佳做法，以避免成为放大器节点:

1、使用网络流检测欺骗包。(请参阅下面的缓解部分，了解在阻止欺骗流量之前验证该流量的信息。)

2、使用网络流或其他总结的网络数据来监视对有风险的UDP服务的异常数量的请求。

3、使用网络流量检测服务异常(例如，每包字节数和每秒数据包异常)。

缓解

以下步骤可以帮助减轻DRDoS攻击:

1、使用有状态UDP检查(如反射访问控制列表)来减少对边界防火墙或边界路由器上的关键服务的影响。[13]

2、使用边界网关协议(BGP)来创建一个远程触发的黑洞，最好与上游提供商或isp合作。[14]

3、维护主要上游供应商紧急联系人列表，以协调对攻击的响应。上游供应商应与下游客户协调开展缓解措施。

一般来说，ISP网络和服务器管理员应该使用以下最佳实践来避免成为放大器节点:

1、定期更新软件和配置以拒绝或限制滥用(例如，DNS响应率限制)。[15] [16] [17]

2、禁用和移除不需要的服务，或拒绝通过internet访问本地服务。

3、使用udp的协议，如：流量和路由设备上的服务质量(QoS)——以支持基于网络的速率——限制在互联网上提供的合法服务。

4、与客户供应商和制造商合作，确保安全配置和软件。

作为互联网服务供应商，为避免滥用互联网资源:

1、使用ingress过滤来阻止欺骗包(请参阅欺骗器项目[19]和IETF BCP 38和BCP 84指南)。

2、对UDP服务请求使用流量调整，以确保对internet资源的重复访问不会被滥用。

DDOS攻击之DNS放大攻击！

此 DDoS攻击 是基于反射的体积分布式拒绝服务（DDoS）攻击，其中攻击者利用开放式 DNS 解析器 的功能， 以便使用更大量的流量压倒目标服务器或网络，从而呈现服务器和它周围的基础设施无法进入。

所有放大攻击都利用了攻击者和目标Web资源之间的带宽消耗差异。 当在许多请求中放大成本差异时，由此产生的流量可能会破坏网络基础设施。 通过发送导致大量响应的小查询，恶意用户可以从更少的内容获得更多。 由具有在每个机器人这个倍数乘以 僵尸网络 进行类似的请求，攻击者是从检测既混淆和收获大大提高了攻击流量的好处。

DNS放大攻击中的一个机器人可以被认为是一个恶意的少年打电话给餐馆并说“我将拥有一切，请给我回电话并告诉我整个订单。”当餐厅要求时一个回叫号码，给出的号码是目标受害者的电话号码。 然后，目标接收来自餐馆的电话，其中包含许多他们未请求的信息。

由于每个机器人都要求使用 欺骗性IP地址 打开DNS解析器，该 IP地址 已更改为 目标受害者 的真实源 IP地址 ，然后目标会从DNS解析器接收响应。 为了创建大量流量，攻击者以尽可能从DNS解析器生成响应的方式构造请求。 结果，目标接收到攻击者初始流量的放大，并且他们的网络被虚假流量阻塞，导致 拒绝服务 。

DNS放大可分为四个步骤：

虽然一些请求不足以取消网络基础设施，但当此序列在多个请求和DNS解析器之间成倍增加时，目标接收的数据放大可能很大。 探索 有关反射攻击的 更多 技术细节 。

对于运营网站或服务的个人或公司，缓解选项是有限的。 这是因为个人的服务器虽然可能是目标，但却不会感受到体积攻击的主要影响。 由于产生了大量流量，服务器周围的基础设施会产生影响。 Internet服务提供商（ISP）或其他上游基础架构提供商可能无法处理传入流量而不会变得不堪重负。 因此，ISP可能将 所有流量 黑洞 到目标受害者的IP地址，保护自己并使目标站点脱机。 除Cloudflare DDoS保护等非现场保护服务外，缓解策略主要是预防性互联网基础设施解决方案。

减少打开DNS解析器的总数

DNS放大攻击的一个重要组成部分是访问开放式DNS解析器。 通过将配置不当的DNS解析器暴露给Internet，攻击者需要做的就是利用DNS解析器来发现它。 理想情况下，DNS解析器应仅向源自受信任域的设备提供其服务。 在基于反射的攻击的情况下，开放的DNS解析器将响应来自Internet上任何地方的查询，从而允许利用漏洞。 限制DNS解析器以使其仅响应来自可信源的查询使得服务器成为任何类型的放大攻击的不良工具。

源IP验证 - 停止欺骗数据包离开网络

由于攻击者僵尸网络发送的UDP请求必须具有欺骗受害者IP地址的源IP地址，因此降低基于UDP的放大攻击有效性的关键组件是Internet服务提供商（ISP）拒绝任何内部流量欺骗的IP地址。 如果从网络内部发送一个数据包，其源地址使其看起来像是在网络外部发起的，那么它可能是一个欺骗性数据包，可以被丢弃。 Cloudflare强烈建议所有提供商实施入口过滤，有时会联系那些不知不觉地参与DDoS攻击并帮助他们实现漏洞的ISP。

通过正确配置的防火墙和足够的网络容量（除非您的大小与Cloudflare相当，并不总是很容易），阻止DNS放大攻击等反射攻击是微不足道的。 虽然攻击将针对单个IP地址，但我们的 Anycast网络 会将所有攻击流量分散到不再具有破坏性的程度。 Cloudflare能够利用我们的规模优势在多个数据中心内分配攻击的重量，平衡负载，从而不会中断服务，攻击永远不会超过目标服务器的基础架构。 在最近的六个月窗口中，我们的DDoS缓解系统“Gatebot”检测到6,329次简单反射攻击（每40分钟一次），网络成功地减轻了所有这些攻击。

Memcache UDP 反射放大攻击技术分析

本篇技术blog，由360信息安全部0kee Team、360网络安全研究院、360-CERT共同发布。

Memcache UDP 反射放大攻击（以下简称 Memcache DRDoS）在最近的一周里吸引了安全社区的较多注意。以下介绍我们对该类型攻击观察到的情况。

在PoC 2017 会议上的原始报告

Memcache DRDoS，由360信息安全部0kee Team在2017-06 附近首先发现，并于 2017-11 在 PoC 2017 会议上做了公开报告。会议报告在 这里 ，其中详细介绍了攻击的原理和潜在危害。

在这份文档中，作者指出这种攻击的特点：

memcache 放大倍数超高，至少可以超过50k；

memcache 服务器（案例中的反射点）数量较多，2017-11时估算全球约有 60k 服务器可以被利用，并且这些服务器往往拥有较高的带宽资源。

基于以上特点，作者认为该攻击方式可以被利用来发起大规模的DDoS攻击，某些小型攻击团队也可能因此获得原先没有的大流量攻击能力。

在 DDoSMon 上观察到的现网趋势

自批露以来，我们就一直利用 DDoSMon 的统计页面 持续监控Memcache DRDoS在实际现网中的情况。在过去的几个月中，这种类型攻击的频率和单次破坏性都不大，但是自2018-02-24开始，这种情况发生了较大变化。

近期，Memcache DRDoS 的攻击频率上升到了平时的10+倍，从每天小于50件，上升到每天300~400件，直到今天的1484件（实际上，离今天结束还有1个小时），如下图所示。

需要指出，当前 Memcache DRDoS 仍然还不是DDoS的主流。即使在反射类DDoS中，也只占 1% 以下（按攻击事件计），排在 DNS、CLDAP、NTP、SSDP、CharGen、L2TP、BitTorrent、Portmap、SNMP的后面。

我们在现网中对 Memcache DRDoS 攻击方式的测试结果

我们对现网实际环境做了测试，结合分析我们捕获的实际攻击载荷，有以下内容值得关注：

这种反射攻击的放大比率，在理想的测试环境中，可以稳定的测得 1k~60k之间的放大倍数；

在现网实际环境中， 60k 的放大倍数，也是可以稳定的测得的；

上述实测结果，与最初报告者0kee team的估计、 US-CERT安全通告 中的提法，基本是一致的；

此外我们分析了现网实际发生的攻击负载。到目前为止，部分负载的构造是有问题，可能会导致memcache服务崩溃，并不能稳定的打出最大放大倍数。但是这里涉及的技术改进并不困难，攻击者容易做出响应调整。

另外，我们对将放大倍数调整到 60k 以上做了一些初步分析。我们怀疑这个比例是可以继续显著提高的，但具体技术细节不会在这里讨论。

当前已知 Memcache DRDoS 攻击的案例

2月27日，Qrator Labs 在 medium.com 上 批露 了一次DDoS攻击。按照文章的说法，这次攻击确信就是 UDP 11211 端口上的 memcache DRDoS，攻击流量峰值达到 480Gbps。

除了这个案例以外，我们确认有更大的攻击已经实际发生，但并未被公开报道。

当前已知各国运营商、安全社区的应对措施

目前已经有多个相关安全通告，部分列出如下：

通告类：多个主要设备厂商、安全厂商、CERT已经发布通告，例如 CloudFlare 、 Qrator Labs 、 Arbor Networks 、 US-CERT ，等等

预防和防御类：包括 NTT 在内的多个ISP 已经对 UDP 11211 采取限速措施。

应对建议方面，ISP、网络管理员、企业用户可以从很多渠道获得应对建议，例如 这里 。我们建议：

各运营商 ISP、云服务厂商，考虑在自己的网络内对UDP 11211 采取限速措施

各开发者和 memcache 管理者，考虑自查 memcache 设定ACL

总体而言，一方面，我们开始担忧1Tbps以上的DDoS攻击案例今后会比较频繁的出现，DDoS攻击开始从 G 时代进入 T 时代（Gbps vs Tbps）；另一方面，我们必须指出至少在当前 Memcache DRDoS 还不是DDoS 攻击的主流，比例还在 1% 以下（按次数统计）。

来自： netlab

阿拉丁UDP攻击器+IPTape竟然能让指定Q号掉线！！！

阿拉丁UDP攻击器+IPTape那是DDOS攻击

以网络来说，由于频宽、网络设备和服务器主机等处理的能力都有其限制，因此当黑客产生过量的网络封包使得设备处理不及，即可让正常的使用者无法正常使用该服务。例如你试图用大量封包攻击一般频宽相对小得多的拨接或

ADSL

使用者，则受害者就会发现他要连的网站连不上或是反应十分缓慢。说以会掉线

HACK工具大部分都被别人绑上了木马。

UDP、TCP、ICMP攻击原理？

ICMP攻击就是Ping就是利用ICMP协议走的。大量的ping 就是ICMP碎片攻击。

TCP攻击，TCP连接的三次握手特性来进行，一般有SYN ACK FIN NULL FIN+URG+PUSH 由于TCP协议很多。所以攻击的方式也很多。有开放性的，有半开放的。都是利用三次握手，中途突然终断。造成拒绝服务。

UDP攻击，多是了利用和ICMP进行的组合进行，比如SQL SERVER，对其1434端口发送‘x02’或者‘x03’就能够探测得到其连接端口。我想你听说过阿拉丁UDP洪水吧。就是这个道理，UDP是最难防御的。只可意会不可言传。

标签：udp放大攻击软件