搜索

[8875] 2015-04-27_谷歌发布分析报告，详解此前GitHub遭遇大流量DDoS攻击全过程

文档创建者：s7ckTeam
浏览次数：25
最后更新：2025-01-17
2015-04-27_谷歌发布分析报告，详解此前GitHub遭遇大流量DDoS攻击全过程 谷 歌 发 布 分 析 报 告 ， 详 解 此 前 G i t H u b 遭 遇 大 流 量 D D o S 攻 击 全 过 程 F r e e B u f   2 0 1 5 - 0 4 - 2 7 微 信 号 ： 微 信 号 ： f r e e b u f 上 月 底 ， 代 码 托 管 网 站 上 月 底 ， 代 码 托 管 网 站 G i t H u b 遭 遇 大 流 量 遭 遇 大 流 量 D D o S 攻 击 。 攻 击 者 劫 持 百 度 广 告 联 盟 的 攻 击 。 攻 击 者 劫 持 百 度 广 告 联 盟 的 J S 脚 本 并 将 其 替 换 成 恶 意 代 码 ， 最 脚 本 并 将 其 替 换 成 恶 意 代 码 ， 最 后 利 用 访 问 中 国 网 站 的 海 外 用 户 对 后 利 用 访 问 中 国 网 站 的 海 外 用 户 对 G i t H u b 发 动 大 规 模 分 布 式 拒 绝 服 务 攻 击 。 发 动 大 规 模 分 布 式 拒 绝 服 务 攻 击 。 谷 歌 近 日 发 表 了 针 对 此 次 攻 击 的 分 析 报 谷 歌 近 日 发 表 了 针 对 此 次 攻 击 的 分 析 报 告 ， 还 原 了 整 个 攻 击 的 全 过 程 。 告 ， 还 原 了 整 个 攻 击 的 全 过 程 。 谷 歌 ： 纵 览 全 部 攻 击 过 程 谷 歌 ： 纵 览 全 部 攻 击 过 程 谷 歌 的 S a f e   B r o w s i n g 每 天 会 扫 描 分 析 数 百 万 个 网 页 ， 从 中 找 出 恶 意 内 容 。 S a f e   B r o w s i n g 并 不 是 从 网 络 流 量 方 面 进 行 分 析 ， 而 是 从 H T T P 协 议 层 面 。 其 实 J S 劫 持 攻 击 最 早 发 生 在 三 月 初 ， 而 不 是 我 们 以 为 三 月 中 下 旬 。 根 据 谷 歌 3 月 1 日 到 4 月 1 5 日 搜 集 到 的 数 据 ， S a f e   B r o w s i n g 第 一 次 发 现 百 度 域 名 劫 持 是 在 3 月 3 日 ， 而 最 后 一 次 是 在 4 月 7 日 。 从 下 面 的 图 片 中 就 可 以 详 细 的 看 出 注 入 攻 击 时 间 ： 多 阶 段 的 攻 击 行 为 多 阶 段 的 攻 击 行 为 第 一 阶 段 第 一 阶 段 此 次 攻 击 的 执 行 是 分 多 个 阶 段 进 行 ， 第 一 阶 段 是 测 试 阶 段 ， 测 试 时 间 为 3 月 3 日 到 3 月 6 日 ， 首 次 测 试 的 目 标 I P 地 址 为 1 1 4 . 1 1 3 . 1 5 6 . 1 1 9 : 5 6 7 8 9 （ 北 京 电 信 通 ） ， 但 是 第 一 天 的 请 求 次 数 被 人 为 设 了 限 制 ， 之 后 两 天 请 求 限 制 就 被 移 除 了 。 第 二 阶 段 第 二 阶 段 第 二 阶 段 的 时 间 是 3 月 1 0 日 到 3 月 1 3 日 ， 目 标 I P 地 址 为 2 0 3 . 9 0 . 2 4 2 . 1 2 6 （ 香 港 ） 。 3 月 1 3 日 时 ， 攻 击 扩 展 到 了 d 1 g z t y v w 1 g v k d q . c l o u d f r o n t . n e t 。 刚 开 始 的 时 候 请 求 是 通 过 H T T P 发 出 的 ， 后 来 升 级 到 了 H T T P S 。 3 月 1 4 日 开 始 同 时 通 过 H T T P 和 H T T P S 攻 击 d 3 r k f w 2 2 x p p o r i . c l o u d f r o n t . n e t （ g r e a t f i r e . o r g 利 用 亚 马 逊 c l o u d f r o n t 搭 建 的 一 个 屏 蔽 网 站 镜 像 ） ， 并 于 3 月 1 7 日 停 止 了 攻 击 。 第 三 阶 段 第 三 阶 段 3 月 1 8 日 ， 被 攻 击 的 域 名 范 围 进 一 步 扩 大 ， 包 括 ： d 1 1 7 u c q x 7 m y 6 v j . c l o u d f r o n t . n e t 、   d 1 4 q q s e h 1 j h a 6 e . c l o u d f r o n t . n e t 、 d 1 8 y e e 9 d u 9 5 y b 4 . c l o u d f r o n t . n e t 、 d 1 9 r 4 1 0 x 0 6 n z y 6 . c l o u d f r o n t . n e t 、 d 1 b l w 6 y b v y 6 v m 2 . c l o u d f r o n t . n e t 。 这 也 是 第 一 次 发 现 截 断 注 入 （ t r u n c a t e d   i n j e c t i o n s ） ， J S 被 完 全 切 断 。 在 这 一 阶 段 中 ， c l o u d f r o n t 主 机 开 始 向 g r e a t f i r e . o r g 等 域 名 发 起 3 0 2 重 定 向 （ 3 0 2   r e d i r e c t s ） 。 J S 内 容 替 换 在 3 月 2 0 日 完 全 停 止 ， 但 H T T P 注 入 还 在 继 续 。 J S 内 容 替 换 会 破 坏 原 内 容 功 能 ，
但 H T T P 注 入 不 会 。 H T M L 如 下 ： < h t m l > < h e a d > < m e t a   n a m e = " r e f e r r e r "   c o n t e n t = " n e v e r " / > < t i t l e >   < / t i t l e > < / h e a d > < b o d y > < i f r a m e   s r c = " h t t p : / / p a n . b a i d u . c o m / s / 1 i 3 [ . . . ] ? t = Z m h 4 c X p X J A p H I D F M c j Z a "   s t y l e = " p o s i t i o n : a b s o l u t e ;   l e f t : 0 ;   t o p : 0 ;   h e i g h t :   a u t o   ! i m p o r t a n t ; w i d t h : 1 0 0 % ;   b o r d e r : 0 p x ; "   s c r o l l i n g = " y e s " > < / i f r a m e > < / b o d y > < s c r i p t   t y p e = " t e x t / j a v a s c r i p t " > [ . . .   r e g u l a r   a t t a c k   J a v a s c r i p t   . . . ] 在 这 一 技 术 中 ， w e b 浏 览 器 两 次 获 取 了 相 同 的 H T M L 页 面 ， 但 是 由 于 查 询 参 数 中 的 “ t ” 参 数 ， 所 以 第 二 请 求 中 没 有 注 入 。 被 攻 击 的 域 名 随 时 都 在 变 化 中 ， 在 这 一 阶 段 中 就 变 为 了 d y z e m 5 o h o 3 u m y . c l o u d f r o n t . n e t 、 d 2 5 w g 9 b 8 d j o b 8 m . c l o u d f r o n t . n e t   和 2 8 d 0 h a k f q 6 b 4 n . c l o u d f   r o n t . n e t 。 该 阶 段 攻 击 大 约 开 始 1 0 个 小 时 之 后 ， 我 们 在 另 一 域 名 上 检 测 到 了 3 0 2 重 定 向 。 停 止 对 停 止 对 c l o u d f r o n t 主 机 的 攻 击 ， 转 向 主 机 的 攻 击 ， 转 向 G i t H u b 对 c l o u d f r o n t 主 机 的 攻 击 于 3 月 2 5 日 停 止 ， 而 G i t h u b 成 为 新 的 攻 击 目 标 。 第 一 个 新 目 标 是 g i t h u b . c o m / g r e a t f i r e / w i k i / w i k i / n y t / ， 紧 接 着 是 g i t h u b . c o m / g r e a t f i r e / 和 g i t h u b . c o m / g r e a t f i r e / w i k i / w i k i / d w / 。 3 月 月 2 6 日 ， 百 度 的 明 文 脚 本 被 拦 截 替 换 了 一 个 恶 意 日 ， 百 度 的 明 文 脚 本 被 拦 截 替 换 了 一 个 恶 意 J S 代 码 ， 攻 击 代 码 ， 攻 击 g i t h u b . c o m / g r e a t f i r e / 和 和 g i t h u b . c o m / c n - n y t i m e s / ， ， 4 月 月 7 日 日 攻 击 停 止 。 攻 击 停 止 。 攻 击 从 3 月 份 开 始 ， 4 月 份 截 止 。 在 此 期 间 ， 我 们 共 发 现 了 1 9 种 恶 意 J S 代 码 。 谷 歌 称 ， 他 们 共 发 现 了 8 个 百 度 域 名 被 劫 持 ， I P 地 址 如 下 ： c b j s . b a i d u . c o m   ( 1 2 3 . 1 2 5 . 6 5 . 1 2 0 ) e c l i c k . b a i d u . c o m   ( 1 2 3 . 1 2 5 . 1 1 5 . 1 6 4 )
h m . b a i d u . c o m   ( 6 1 . 1 3 5 . 1 8 5 . 1 4 0 ) p o s . b a i d u . c o m   ( 1 1 5 . 2 3 9 . 2 1 0 . 1 4 1 ) c p r o . b a i d u . c o m   ( 1 1 5 . 2 3 9 . 2 1 1 . 1 7 ) b d i m g . s h a r e . b a i d u . c o m   ( 2 1 1 . 9 0 . 2 5 . 4 8 ) p a n . b a i d u . c o m   ( 1 8 0 . 1 4 9 . 1 3 2 . 9 9 ) w a p b a i k e . b a i d u . c o m   ( 1 2 3 . 1 2 5 . 1 1 4 . 1 5 ) 被 注 入 的 J S 代 码 大 小 各 不 相 同 ， 从 9 9 5 字 节 到 1 3 2 5 字 节 不 等 。 谷 歌 表 示 ， 虽 然 它 们 还 不 能 确 定 攻 击 者 究 竟 是 谁 ， 但 对 于 网 站 来 说 ， 只 需 全 面 启 用 谷 歌 表 示 ， 虽 然 它 们 还 不 能 确 定 攻 击 者 究 竟 是 谁 ， 但 对 于 网 站 来 说 ， 只 需 全 面 启 用 H T T P S 加 密 便 能 防 御 此 类 攻 击 。 加 密 便 能 防 御 此 类 攻 击 。 *   参 考 来 源 g o o g l e o n l i n e s e c u r i t y ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理