DDoS新手法：中间件反射攻击

攻防

2年前

　　分布式拒绝服务（DDoS）攻击者正在使用一种新技术，即通过“瞄准”脆弱的中间件，比如防火墙，来放大垃圾流量攻击，从而使网站瘫痪。

　　放大攻击并不是什么新东西，而且它曾经帮助过攻击者利用短时间的高达3.47Tbps的流量来攻击服务器，使其瘫痪。去年，微软在网络游戏领域缓解了这种规模的攻击。

　　然而，一场新的攻击即将来袭。CDN服务提供商Akamai表示：最近出现了一波利用“TPC中间件反射”的攻击。（也就是传输控制协议——联网机器之间安全通信的基础协议）。根据Akamai所说，这次攻击高达11Gbps，并且每秒钟150万包（Mpps）。

　　去年八月，马里兰大学和科罗拉多大学分校的研究者们发表了一篇研究论文，对放大技术进行了揭示。文中表明攻击者可以通过TCP来滥用中间件。

　　大部分DDoS攻击者都通过滥用用户数据包协议（UDP）来放大数据包的传递。他们通常是向服务器发送数据包，服务器则会回复更大的数据包到攻击者所期望的地址。

　　TCP攻击利用了那些不符合TCP标准的网络中间件。研究者发现成百上千的IP地址可以通过防火墙和内容过滤器来将攻击放大100倍以上。

　　因此，八个月前还仅存在于理论上的攻击，如今已经变成了真实的威胁。

　　一篇博客文章表示：“中间件DDoS放大攻击是一种全新的TCP反射/放大攻击，对网络造成威胁。这是我们第一次在‘野外’发现这样的技术。”

　　Cisco、Fortinet、SonicWall 和 Palo Alto Networks研发的防火墙以及类似的中间件是企业网络基础设施的关键。然而在实行内容过滤策略时，一些中间件无法准确地验证TCP流的状态。

　　Akamai 表示：“这些中间件可以被用来响应状态外的TCP包。并且，这些响应通常旨在劫持用户端浏览器的内容，以试图阻止用户访问那些被阻止的内容。而这些TCP实现可以反过来被攻击者滥用，从而向DDoS受害者反射包和数据流在内的TCP流量。”

　　攻击者可以通过冒充目标受害者的源IP地址来引导来自中间件的相应流量，从而滥用这些中间件。

　　在TCP中，通过使用同步SYN控制标志来交换三次握手的关键信息。攻击者通过滥用一些中间件中的TCP实现，来使它们意外地响应SYN数据包信息。在某些情况下，Akamai观察到一个具有33字节有效载荷的SYN包产生了2156字节的响应，也就是说将其放大了6,533%。

数世点评

　　过去，反射放大攻击主要是基于UDP协议的，如今通过TPC发起的DoS放大攻击，相对于基于UDP的攻击来说，可以产生更多数量级的放大。要解决这个问题，不仅需要防止攻击者欺骗IP地址，而且需要保护中间件不被错误地注入流量。显然，要彻底地解决该问题，还需长久的努力。

参考阅读

新型DDoS攻击：单包即可发起最高放大2千亿倍

调研报告