搜索

[13097] 2018-08-23_剖析CLDAP协议ReflectionDDoS

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-08-23_剖析CLDAP协议ReflectionDDoS 剖 析 C L D A P 协 议   R e f l e c t i o n   D D o S 网 藤 风 险 感 知   F r e e B u f   2 0 1 8 - 0 8 - 2 3 前 言 前 言 2 0 1 8 年 上 半 年 ， 得 益 于 年 上 半 年 ， 得 益 于 M e m c a c h e 近 近 5 万 的 反 射 放 大 倍 数 ， 万 的 反 射 放 大 倍 数 ， D D o S 的 峰 值 流 量 已 经 达 到 了 一 个 前 所 未 有 的 新 高 度 的 峰 值 流 量 已 经 达 到 了 一 个 前 所 未 有 的 新 高 度 — 1 . 7 T b p s ， 这 也 使 得 ， 这 也 使 得 M e m c a c h e   R e D D o S 成 为 目 前 成 为 目 前 D D o S 的 中 坚 力 量 。 而 与 的 中 坚 力 量 。 而 与 M e m c a c h e   R e D D o S 相 比 ， 相 比 ， 2 0 1 6 年 年 A k a m a i 曝 光 的 曝 光 的 C L D A P   R e D D o S 虽 然 没 有 前 者 极 高 的 效 率 ， 但 是 其 虽 然 没 有 前 者 极 高 的 效 率 ， 但 是 其 5 6 ~ 7 0 倍 的 放 大 倍 数 在 倍 的 放 大 倍 数 在 D D o S 家 族 中 也 依 然 是 家 族 中 也 依 然 是 一 名 佼 佼 者 ， 因 此 也 应 引 起 关 注 。 一 名 佼 佼 者 ， 因 此 也 应 引 起 关 注 。 一 、 一 、 C L D A P 协 议 缺 陷 协 议 缺 陷 轻 量 目 录 访 问 协 议 （ L D A P ） 被 定 义 在 R F C 2 2 5 1 （ L D A P v 3 ） 中 ， 由 于 L D A P 是 以 T C P 字 节 流 的 方 式 进 行 数 据 传 输 ， 其 必 要 的 绑 定 操 作 和 频 繁 的 数 据 搜 索 查 询 会 在 一 定 程 度 消 耗 较 多 的 T C P 连 接 资 源 ， 于 是 I E T F 在 1 9 9 5 年 发 布 了 面 向 无 连 接 的 轻 量 目 录 访 问 协 议 （ C L D A P ） ， 官 方 文 档 为 R F C 1 7 9 8 （ 2 0 0 3 年   R F C 3 3 5 2 将 C L D A P 置 为 历 史 状 态 ） 。 在 C L D A P 中 只 提 供 三 种 操 作 ： s e a r c h R e q u e s t 、 s e a r c h R e s p o n s e   （ s e a r c h R e s E n t r y 和 s e a r c h R e s D o n e ） 、 a b a n d o n R e q u e s t ， 在 不 提 供 身 份 验 证 功 能 的 情 况 下 ， 客 户 端 可 以 使 用 U D P 数 据 报 对 L D A P 服 务 器 3 8 9 端 口 发 起 操 作 请 求 。 由 于 客 户 端 发 起 s e a r c h R e q u e s t 后 服 务 端 将 返 回 s e a r c h R e s E n t r y 和 s e a r c h R e s D o n e 两 条 应 答 消 息 ， 一 般 情 况 下 执 行 该 操 作 将 具 有 较 小 数 据 包 反 射 出 较 大 数 据 包 的 效 果 ， 这 一 缺 陷 随 即 被 利 用 进 行 反 射 放 大 D D o S 攻 击 。 二 、 二 、 C L D A P   R e f l e c t i o n   D D o S 的 现 状 的 现 状 根 据 A k a m a i   S I R T 发 布 的 报 告 ， 目 前 捕 获 到 的 C L D A P   R e D D o S 最 高 峰 值 流 量 为 2 4 G b p s ， 最 大 反 射 倍 数 为 7 0 倍 。 由 于 C L D A P 未 被 广 泛 运 用 ， 开 源 L D A P 软 件 o p e n L D A P 早 已 不 再 支 持 U D P 协 议 的 请 求 。 事 实 上 ， 目 前 进 行 C L D A P R e D D o S 攻 击 被 利 用 最 多 的 服 务 是 W i n d o w s 服 务 器 的 活 动 目 录 服 务 A c t i v e   D i r e c t o r y （ A D ） 。 通 常 A D 服 务 会 在 T C P 端 口 3 8 9 上 监 听 来 自 客 户 端 的 L D A P 操 作 请 求 ， 同 时 也 会 在 U D P 端 口 3 8 9 上 使 用 C L D A P 协 议 来 等 待 执 行 r o o t D S E 的 搜 索 操 作 （ r o o t D S E 条 目 在 A D 服 务 配 置 时 创 建 ， 且 允 许 未 经 身 份 验 证 的 客 户 端 对 服 务 器 的 配 置 状 态 、 功 能 和 扩 展 属 性 进 行 查 询 ， 也 被 称 作 “ A D   p i n g ” ） 。 一 些 W i n d o w s 服 务 器 的 A D 服 务 监 听 端 口 暴 露 在 公 网 ， 进 而 被 利 用 来 执 行 r o o t D S E 查 询 产 生 放 大 反 射 D D o S 攻 击 ， 在 E x p l o i t - D B 上 已 经 有 安 全 研 究 者 公 开 了 P e r l 利 用 脚 本 ： 。 使 用 N m a p 的 l d a p - r o o t d s e 脚 本 也 可 以 对 该 缺 陷 进 行 扫 描 确 认 ： n m a p   - P n   - s S U   3 8 9 , 6 3 6   - - s c r i p t   l d a p - r o o t d s e   < t a r g e t _ i p >
可 见 存 在 缺 陷 的 服 务 器 将 会 返 回 r o o t D S E 的 条 目 、 条 目 属 性 等 配 置 信 息 。 三 、 对 公 开 三 、 对 公 开 P a y l o a d 的 改 进 和 探 索 的 改 进 和 探 索 针 对 E x p l o i t - D B 中 r o o t D S E   C L D A P   R e D D o S 的 利 用 脚 本 ， 其 P a y l o a d 为 ： 由 于 L D A P 和 C L D A P 在 传 输 数 据 时 是 先 将 数 据 封 装 成 为 L D A P m e s s a g e 消 息 体 后 使 用 A S N . 1 下 的 B E R 进 行 编 码 后 再 传 输 的 ， 我 们 可 以 使 用 在 线 工 具 A S N . 1   P l a y g r o u n d 对 此 P a y l o a d 进 行 还 原 （ 还 原 时 需 先 编 译 加 载 R F C 2 2 5 1 中 对 L D A P m e s s a g e 的 A S N . 1 结 构 体 定 义 ， 也 可 以 直 接 使 用 G i t H u b 中 相 关 研 究 者 定 义 好 的 a s n 文 件 ） ：
可 以 看 出 此 P a y l o a d 是 一 次 s e a r c h R e q u e s t 操 作 的 B E R 编 码 ， 其 对 t o p 类 的 o b j e c t C l a s s 必 选 属 性 进 行 查 询 。 通 过 测 试 捕 获 ， 该 P a y l o a d 平 均 能 达 到 5 0 倍 左 右 的 反 射 放 大 效 率 ： 但 是 如 果 将 解 码 出 的 L D A P m e s s a g e 再 重 新 编 码 回 去 ， 会 发 现 B E R 编 码 位 数 减 少 ， 与 公 开 的 P a y l o a d 相 比 缺 失 了 一 部 分 ： 如 果 此 编 码 可 用 ， 将 会 降 低 P a y l o a d 长 度 （ 需 要 在 末 尾 再 补 一 个 x 0 0 作 为 L D A P m e s s a g e 结 尾 ） ：
通 过 与 原 P a y l o a d 相 比 较 ， 可 以 发 现 原 来 P a y l o a d 多 出 的 部 分 （ x 3 0 x 8 4 … ） 其 实 上 是 一 段 L D A P m e s s a g e 响 应 消 息 ， 因 此 在 编 码 时 被 认 为 不 应 当 出 现 在 请 求 报 文 中 ， 所 以 完 全 可 以 去 掉 （ 暂 不 清 楚 脚 本 原 作 者 这 里 的 意 图 ） 。 测 试 捕 获 后 发 现 ， 改 进 后 的 这 段 4 0 字 节 的 P a y l o a d 可 用 ， 且 可 以 将 反 射 放 大 效 率 提 升 至 平 均 7 3 倍 左 右 ， 相 比 U S c e r t 公 布 的 5 6 ~ 7 0 倍 数 据 提 升 了 近 1 8 % ， 目 前 在 公 开 渠 道 也 暂 未 找 到 更 为 精 简 的 P a y l o a d ： 事 实 上 ， 要 得 到 最 精 简 的 P a y l o a d ， 还 是 要 回 到 协 议 本 身 。 从 R F C 2 2 5 1 中 可 以 看 出 s e a r c h R e q u e s t 操 作 共 有 8 个 字 段 ， 而 接 收 自 定 义 字 符 输 入 的 字 段 只 有 b a s e O b j e c t 、 f i l t e r 、 a t t r i b u t e s 三 个 。 在 上 述 4 0 字 节 P a y l o a d 基 础 上 ， 我 们 能 继 续 做 文 章 的 依 然 是 f i l t e r 字 段 和 a t t r i b u t e s 字 段 。 经 过 构 造 f i l t e r 和 a t t r i b u t e s 字 段 ， 我 们 得 到 了 长 度 为 3 1 字 节 的 更 为 精 简 的 P a y l o a d 。 该 P a y l o a d 能 达 到 均 值 约 8 9 倍 的 反 射 放 大 效 率 ， 相 比 U S c e r t 公 布 的 数 据 又 提 升 了 4 1 % ， 如 果 以 A k a m a i 捕 获 到 的 最 高 反 射 数 据 包 大 小 3 6 6 2 字 节 计 算 ， 新 的 P a y l o a d 能 达 到 最 高 1 1 8 倍 的 反 射 放 大 倍 数 ， 这 也 将 刷 新 目 前 已 知 的 C L D A P   R e D D o S 理 论 放 大 倍 数 ： 四 、 影 响 面 分 析 四 、 影 响 面 分 析 我 们 在 Z o o m E y e 中 通 过 搜 索 比 较 发 现 ， 存 在 缺 陷 的 W i n d o w s 服 务 器 具 有 特 定 的 b a n n e r 信 息 ： 结 合 编 码 中 的 每 一 个 标 志 位 来 看 ， 该 b a n n e r 信 息 与 L D A P 服 务 器 b i n d R e s p o n s e 响 应 报 文 编 码 十 分 相 似 ， 因 此 推 断 出 现 该 b a n n e r 信 息 的 原 因 ， 是 由 于 Z o o m E y e 扫 描 引 擎 在 扫 描 到 存 在 缺 陷 的 L D A P 服 务 器 时 服 务 器 做 出 了 一 次 绑 定 操 作 的 响 0 x 8 4 x 0 0 x 0 0 x 0 0 x 1 0 x 0 2 x 0 1 x 0 1 a x 8 4 x 0 0 x 0 0 x 0 0 x 0 7 n x 0 1 x 0 0 x 0 4 x 0 0 x 0 4 x 0 0
应 ， 且 告 知 客 户 端 绑 定 成 功 ， 这 也 是 在 客 户 端 s e a r c h R e q u e s t 之 前 的 必 要 操 作 ： 使 用 此 b a n n e r 规 则 在 Z o o m E y e 中 搜 索 共 有 2 1 4 6 7 3 条 记 录 ， 约 占 所 有 L D A P 服 务 器 总 数 4 1 1 5 2 7 的 5 2 . 2 % ： 考 虑 到 不 同 服 务 器 在 不 同 时 间 节 点 上 会 出 现 配 置 上 的 变 动 ， 于 是 我 们 以 2 0 1 5 、 2 0 1 6 、 2 0 1 7 这 三 年 作 为 区 分 ， 使 用 爬 虫 分 别 采 集 前 1 0 0 0 条 数 据 对 服 务 器 缺 陷 进 行 有 效 性 验 证 。 结 果 如 下 表 所 示 ： 按 照 得 出 的 占 比 ， 可 以 估 算 出 目 前 互 联 网 中 存 在 缺 陷 的 服 务 器 总 数 ：
因 此 我 们 认 为 ， 目 前 互 联 网 中 至 少 有 2 万 台 W i n d o w s 服 务 器 正 处 于 被 利 用 进 行 C L D A P   R e D D o S 攻 击 的 风 险 之 中 ， 当 然 这 仍 然 依 赖 于 Z o o m E y e 所 提 供 的 数 据 ， 真 实 情 况 可 能 有 更 多 。 同 时 ， 我 们 获 取 了 这 3 0 0 0 条 数 据 中 1 5 3 台 缺 陷 服 务 器 的 反 射 数 据 包 ， 其 中 最 大 的 数 据 包 长 度 为 3 2 0 8 字 节 ， 最 小 的 数 据 包 长 度 为 1 9 1 8 字 节 ， 1 5 3 个 数 据 包 平 均 包 长 度 为 2 6 6 5 字 节 。 根 据 这 些 捕 获 到 的 数 据 ， 现 阶 段 C L D A P   R e D D o S 的 反 射 放 大 倍 数 应 当 处 于 6 2 ~ 1 0 3 倍 之 间 ， 平 均 反 射 放 大 倍 数 为 8 6 倍 左 右 。 五 、 总 结 五 、 总 结 本 文 对 C L D A P 协 议 的 缺 陷 及 其 造 成 反 射 放 大 D D o S 攻 击 的 现 状 进 行 了 介 绍 ， 同 时 对 目 前 已 公 开 的 攻 击 载 荷 P a y l o a d 进 行 了 探 讨 ， 并 进 一 步 探 索 出 更 精 简 的 P a y l o a d ， 将 C L D A P   R e D D o S 反 射 放 大 倍 数 从 平 均 5 0 倍 提 升 至 8 6 倍 ， 最 后 借 助 Z o o m E y e 对 互 联 网 中 受 影 响 的 W i n d o w s 服 务 器 进 行 了 统 计 与 分 析 。 当 前 的 C L D A P   R e D D o S 攻 击 主 要 是 由 于 W i n d o w s 服 务 器 活 动 目 录 服 务 缺 陷 所 引 起 ， 在 防 范 上 首 先 也 应 做 到 对 3 8 9 端 口 和 6 3 6 端 口 的 限 制 ， 即 确 保 端 口 不 外 漏 或 客 户 端 I P 白 名 单 机 制 ， 更 多 关 于 L D A P 服 务 器 的 安 全 实 践 也 可 以 参 考   B e s t   P r a c t i c e s   i n   L D A P   S e c u r i t y 。 * 本 文 作 者 ： 斗 象 能 力 中 心 本 文 作 者 ： 斗 象 能 力 中 心 T C C - S 4 k u r 4 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理