搜索

[11176] 2017-03-27_浅谈拒绝服务攻击的原理与防御（5）NTP反射攻击复现

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2017-03-27_浅谈拒绝服务攻击的原理与防御（5）NTP反射攻击复现 浅 谈 拒 绝 服 务 攻 击 的 原 理 与 防 御 （ 5 ）   |   N T P 反 射 攻 击 复 现 黑 戈 爾   F r e e B u f   2 0 1 7 - 0 3 - 2 7 * 原 创 作 者 ： 黑 戈 爾 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 0 × 0 1   故 事 起 因 故 事 起 因 系 列 回 顾 系 列 回 顾 【 点 击 阅 读 原 文 查 看 】 【 点 击 阅 读 原 文 查 看 】 前 两 天 以 为 前 两 天 以 为 f r e e b u f 上 的 网 友 上 的 网 友 s t r e a m （ 年 龄 、 性 别 不 详 ） 私 信 我 说 他 在 阿 里 云 上 的 服 务 器 被 （ 年 龄 、 性 别 不 详 ） 私 信 我 说 他 在 阿 里 云 上 的 服 务 器 被 N T P 攻 击 了 ， 流 量 超 过 攻 击 了 ， 流 量 超 过 1 0 G ， 希 望 ， 希 望 我 帮 忙 一 起 分 析 一 下 ， 复 现 一 下 攻 击 。 我 帮 忙 一 起 分 析 一 下 ， 复 现 一 下 攻 击 。 我 这 当 代 雷 锋 当 然 非 常 乐 意 了 ， 于 是 我 就 和 我 这 当 代 雷 锋 当 然 非 常 乐 意 了 ， 于 是 我 就 和 s t r e a m 联 系 （ 勾 搭 ） 上 了 ， 今 天 我 就 详 细 讲 一 下 我 们 一 起 复 现 联 系 （ 勾 搭 ） 上 了 ， 今 天 我 就 详 细 讲 一 下 我 们 一 起 复 现 N T P 反 射 攻 击 的 反 射 攻 击 的 过 程 。 过 程 。 0 × 0 2   分 析 攻 击 数 据 分 析 攻 击 数 据 s t r e a m 大 兄 弟 把 当 时 抓 到 的 包 发 给 了 我 ， 数 据 包 不 大 只 有 3 1 . 4 M

当 我 打 开 数 据 包 看 了 下 时 间 才 知 道 这 数 据 包 可 不 小 啊 ！ 只 有 0 . 0 1 1 秒 就 抓 了 6 7 5 9 8 个 包 ， 粗 略 计 算 一 下 6 7 5 9 8 * 4 8 2 / 0 . 0 1 1 = 2   9 6 2   0 2 1   4 5 4 字 节 ， 将 近 3 G / s 也 就 是 2 4 G b p s ， 对 我 来 说 这 样 的 流 量 已 经 很 大 了 。 借 助 w h i r e s h a r k 查 看 了 一 下 源 I P 的 情 况 ， 并 排 列 了 一 下 每 个 I P 的 发 包 数 量 ， 但 是 w h i r e s h a r k 居 然 没 有 统 计 I P 地 址 个 数 的 地 方 ， 也 可 能 是 我 没 找 到 。 于 是 我 就 另 存 为 到 一 个 t x t 文 件 中 ， 查 看 行 号 计 算 数 量 ， 发 现 总 共 有 3 3 0 7 个 源 I P （ 哈 哈 ！ 这 可 都 是 宝 贝 啊 ！ ）
然 后 把 这 些 I P 地 址 都 转 换 个 格 式 存 起 来 ， 留 着 下 个 阶 段 复 现 的 时 候 用 。 0 × 0 3   攻 击 复 现 攻 击 复 现 原 本 以 为 知 道 了 I P 了 复 现 起 来 很 简 单 呢 ， 其 实 过 程 并 不 顺 利 （ 还 是 自 己 没 经 验 ） 。 我 先 选 了 发 包 最 多 的 那 个 I P 测 试 一 下 ， 看 看 到 底 能 不 能 返 回 m o n l i s t 数 据 。 果 然 能 返 回 m o n l i s t 包 ， 返 回 了 大 约 1 0 0 个 4 8 2 字 节 的 包 ， 我 靠 ！ 这 尼 玛 放 大 倍 数 非 常 让 人 兴 奋 啊 ！ 我 还 是 t o o   y o u n g 啊 ， 等 我 再 次 发 包 的 时 候 就 没 有 回 应 了 。
孤 零 零 的 就 一 个 包 ， 后 来 我 测 试 了 好 几 个 I P 都 是 这 种 情 况 ， 有 的 甚 至 第 一 个 包 都 不 回 ， 艹 ！ 这 是 怎 么 回 事 呢 ？ 于 是 我 就 去 看 了 下 N T P 协 议 的 报 文 格 式 。 看 起 来 挺 长 ， 我 其 实 也 没 看 太 懂 ， 不 过 我 们 的 目 的 是 要 发 出 m o n l i s t 请 求 ， 所 以 我 们 只 要 清 楚 m o n l i s t 的 格 式 什 么 样 就 行 了 。 后 来 我 发 现 这 个 跟 w h i r e s h a r k 上 的 结 构 不 太 一 样 ， 后 来 我 就 直 接 去 看 w h i r e s h a r k 上 的 注 释 了 。
这 就 清 晰 多 了 ， f l a g s ： 第 一 个 b i t 是 表 示 请 求 （ 0 ） 还 是 应 答 （ 1 ） 第 二 个 b i t 是 是 否 闰 秒 ， 网 上 解 释 是 有 时 由 于 地 球 潮 汐 等 等 的 影 响 时 间 会 差 0 . 9 秒 ， 通 过 这 个 b i t 加 上 ， 这 块 对 咱 们 没 用 第 三 四 五 个 b i t 时 表 示 版 本 的 ， 现 在 常 用 第 二 版 ， 所 以 这 里 是 0 1 0 剩 下 三 个 b i t 是 模 式 ， 0 未 定 义 、 1 表 示 主 动 对 等 体 模 式 、 2 表 示 被 动 对 等 体 模 式 、 3 表 示 客 户 模 式 、 4 表 示 服 务 器 模 式 、 5 表 示 广 播 模 式 或 组 播 模 式 、 6 表 示 此 报 文 为 N T P 控 制 报 文 、 7 预 留 给 内 部 使 用 。 这 里 我 们 要 用 的 m o n l i s t 是 用 的 7 a u t h ， s e q u e n c e ： 这 字 段 的 八 个 b i t 我 没 找 到 文 献 说 明 具 体 干 嘛 的 ， 但 是 看 样 子 是 1 b i t 奇 偶 校 验 ， 7 b i t 序 列 号 。 在 下 面 那 个 i m p l e m e n t a t i o n 我 就 不 知 道 是 干 嘛 的 了 。 。 。 。 。 惭 愧 惭 愧 。 。 r e q u e s t   c o d e 就 是 我 们 重 点 需 要 的 m o n l i s t 请 求 。 于 是 我 对 照 着 协 议 标 准 从 新 构 造 了 一 个 请 求 报 文 发 现 跟 我 以 前 构 造 的 一 模 一 样 。 。 。 。 。 这 是 怎 么 回 事 ？ 我 发 的 数 据 包 没 有 错 啊 怎 么 就 没 回 复 呢 ？ 在 这 种 情 况 下 ， 就 要 借 助 一 下 已 有 的 一 些 软 件 帮 帮 忙 了 ， 在 这 里 我 们 可 以 使 用 n t p d c 来 帮 忙 。 我 用 的 是 k a l i ， 上 面 已 经 安 装 好 了 这 个 工 具 ， 这 个 工 具 的 作 用 就 是 能 发 出 想 要 的 n t p 报 文 ， 我 用 它 发 一 个 n t p   m o n l i s t 请 求 先 看 看 情 况 ， 用   n t p d c   - c   m o n l i s t     * . * . * . *   命 令 查 看 s t r _ m o n l i s t = ' x 1 7 ' + ' x 0 0 ' + ' x 0 3 ' + ' x 2 a ' + 2 0 * ' x 0 0 '
看 抓 包 情 况 我 发 现 我 构 造 的 数 据 包 跟 n t p d c 的 数 据 包 就 差 了 一 堆 0 0 ， 于 是 我 加 上 了 1 8 0 个 0 0 后 整 个 世 界 都 豁 然 开 朗 了 。 。 。 。 然 后 我 修 改 了 上 次 发 的 那 个 攻 击 脚 本 ， 把 N T P 的 p a y l o a d 加 了 1 8 0 个 0 0 ， 做 了 一 下 测 试 ， 攻 击 了 一 下 s t r e a m 的 阿 里 云 服 务 器
看 看 攻 击 效 果
能 打 出 2 . 2 G 的 峰 值 ， 但 是 跟 攻 击 者 的 1 0 G   2 0 G 差 很 多 ， 可 能 是 我 带 宽 的 原 因 ， 当 然 也 可 能 是 攻 击 脚 本 不 完 美 ， 日 后 还 需 要 继 续 改 进 才 行 。 0 × 0 4   结 语 结 语 首 先 感 谢 一 下 s t r e a m 大 兄 弟 的 分 享 ， 让 我 能 认 识 到 我 的 不 足 ， 同 时 也 分 享 出 来 让 大 家 避 免 同 样 的 错 误 ， 其 次 就 是 在 网 络 攻 击 上 或 者 其 他 事 情 上 要 大 家 要 细 心 ， 一 些 看 似 没 啥 用 的 0 0 就 能 影 响 结 果 。 还 有 就 是 希 望 大 家 遇 到 攻 击 或 者 有 什 么 新 的 方 法 多 分 享 出 来 ， 大 伙 一 起 学 习 一 起 进 步 ， 有 问 题 可 以 私 信 我 或 者 加 我 q q   2 2 8 9 9 8 8 2 3 8 ， 我 不 一 定 能 帮 到 你 ， 但 是 多 一 个 人 多 一 份 力 量 ， 我 有 时 间 的 情 况 下 一 定 是 有 问 必 答 的 。 各 位 朋 友 下 期 再 见 ！ * 原 创 作 者 ： 黑 戈 爾 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理