搜索

[8919] 2015-05-12_从5月11号网易被攻击谈起：新型DDoS攻击LFA

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-17
2015-05-12_从5月11号网易被攻击谈起：新型DDoS攻击LFA 从 5 月 1 1 号 网 易 被 攻 击 谈 起 ： 新 型 D D o S 攻 击 L F A F r e e B u f   2 0 1 5 - 0 5 - 1 2 微 信 号 ： 微 信 号 ： f r e e b u f 5 月 月 1 1 日 晚 上 日 晚 上 9 时 许 ， 网 易 的 大 量 用 户 发 现 访 问 网 易 新 闻 出 现 问 题 ， 相 应 的 ， 有 很 多 游 戏 用 户 报 告 说 游 戏 掉 线 严 重 。 时 许 ， 网 易 的 大 量 用 户 发 现 访 问 网 易 新 闻 出 现 问 题 ， 相 应 的 ， 有 很 多 游 戏 用 户 报 告 说 游 戏 掉 线 严 重 。 一 时 间 ， 有 关 一 时 间 ， 有 关 “ 网 易 大 楼 着 火 网 易 大 楼 着 火 ” 的 谣 传 甚 嚣 。 晚 上 的 谣 传 甚 嚣 。 晚 上 9 点 点 4 2 分 的 时 候 ， 分 的 时 候 ， “ 网 易 新 闻 客 户 端 网 易 新 闻 客 户 端 ” 新 浪 微 博 发 推 新 浪 微 博 发 推 : 图 图 1   网 易 新 闻 客 户 端 微 博 内 容 网 易 新 闻 客 户 端 微 博 内 容 这 次 攻 击 ， 相 较 于 以 往 的 D D o S 攻 击 ， 官 方 描 述 比 较 特 别 ： “ 骨 干 网 络 遭 受 攻 击 ” 。 笔 者 敏 锐 地 意 识 到 这 是 最 近 学 术 界 才 提 出 的 L F A 攻 击 ， 攻 击 范 例 比 较 少 。 本 文 接 下 来 将 详 细 介 绍 L F A 攻 击 的 概 念 、 现 状 和 防 治 方 法 。 不 过 ， 悲 观 地 讲 ， 现 在 还 没 有 关 于 L F A 特 别 好 的 解 决 方 案 。 在 此 声 明 一 下 ， 笔 者 对 网 易 的 网 络 拓 扑 和 本 次 攻 击 的 具 体 细 节 一 无 所 知 ， 所 有 解 释 只 源 于 自 己 的 推 测 。 新 型 的 新 型 的 D D o S 攻 击 ： 攻 击 ： L i n k   F l o o d i n g   A t t a c k （ 链 路 洪 泛 攻 击 ） （ 链 路 洪 泛 攻 击 ） L F A ， 可 以 认 为 是 一 种 新 型 的 D D o S 攻 击 ， 全 称 L i n k   F l o o d i n g   A t t a c k （ 链 路 洪 泛 攻 击 ） 。 顾 名 思 义 ， 就 是 以 链 路 为 攻 击 目 标 ， 不 同 于 传 统 D D o S 以 服 务 器 为 目 标 ， L F A 是 通 过 攻 击 服 务 器 群 的 主 要 出 口 入 口 链 路 ， 造 成 链 路 拥 塞 ， 导 致 服 务 器 无 法 满 足 正 常 用 户 的 请 求 。 以 瘫 痪 链 路 为 目 标 ， 而 不 是 以 瘫 痪 服 务 器 为 目 标 ， 这 是 L F A 和 传 统 D D o S 最 重 要 的 区 别 ， 这 也 是 L F A 比 D D o S 难 以 检 测 和 防 治 的 重 要 原 因 。 传 统 的 D D o S 可 以 通 过 加 服 务 器 、 负 载 均 衡 ， 或 者 流 量 监 测 来 防 治 ， 但 是 这 些 方 法 在 L F A 里 就 起 不 到 良 好 的 效 果 。 为 了 解 释 这 些 问 题 ， 我 们 先 详 细 地 介 绍 下 L F A 的 原 理 。 学 术 界 最 早 提 出 链 路 攻 击 D D o S 的 是 C M U 的 A h r e n   S t u d e r 和 A d r i a n   P e r r i g 。 两 位 作 者 在 0 9 年 的 论 文 《 T h e   C o r e m e l t   A t t a c k 》 提 出 了 这 种 攻 击 的 雏 形 。
图 图 2   L F A 攻 击 雏 形 攻 击 雏 形 如 图 2 ， 图 中 有 两 种 节 点 ， 灰 色 的 是 被 攻 击 者 控 制 的 节 点 如 S 1 ， S 2 ， S 3 ， 白 色 的 节 点 是 正 常 的 服 务 器 节 点 如 A ， B ， C 。 在 攻 击 中 ， 攻 击 者 让 S 1 ， S 2 ， S 3 大 流 量 通 信 ， 来 导 致 t a r g e t   l i n k 过 载 ， 从 而 导 致 正 常 的 节 点 间 无 法 通 信 。 为 了 增 加 攻 击 的 效 果 ， 可 能 会 顺 带 着 用 流 量 洪 泛 白 色 节 点 。 但 是 ， 在 白 色 的 节 点 里 ， 有 很 多 攻 击 流 量 是 看 不 到 的 。 尝 试 在 正 常 服 务 器 进 行 流 量 检 测 是 很 难 检 测 这 样 的 攻 击 的 。 读 者 现 在 可 能 认 为 网 易 的 服 务 器 不 会 和 攻 击 者 控 制 的 灰 色 节 点 混 在 一 块 ， 这 样 的 攻 击 可 能 不 太 现 实 ， 至 少 对 于 这 次 网 易 被 黑 不 太 现 实 。 没 关 系 ， 我 们 继 续 看 一 个 加 强 版 的 没 关 系 ， 我 们 继 续 看 一 个 加 强 版 的 L F A 攻 击 攻 击 — — C r o s s F i r e   A t t a c k 。 注 意 ， 不 是 穿 越 火 线 。 。 注 意 ， 不 是 穿 越 火 线 。 加 强 版 的 加 强 版 的 L F A 攻 击 ： 攻 击 ： C r o s s F i r e   A t t a c k C r o s s F i r e 攻 击 是 也 是 C M U 的 研 究 人 员 提 出 的 ， 成 果 发 表 在 2 0 1 3   I E E E   S & P 上 。 图 图 3   C r o s s f i r e 攻 击 攻 击
C r o s s f i r e 攻 击 的 思 路 和 上 面 的 C o r e m e l t 大 同 小 异 。 如 图 3 ， 攻 击 者 想 让 中 间 t a r g e t   a r e a 红 色 方 形 的 的 服 务 器 （ P u b l i c   S e r v e r   i n T a r g e t   a r e a ） d o w n 掉 ， 服 务 器 周 围 的 蓝 色 方 形 是 D e c o y   S e r v e r ， 不 是 攻 击 目 标 但 是 和 攻 击 目 标 网 络 位 置 比 较 近 的 服 务 器 ， D e c o y   S e r v e r 和 P u b l i c   S e r v e r 共 享 一 些 重 要 的 骨 干 出 入 链 路 ， 所 以 对 D e c o y   S e r v e r 的 洪 范 也 会 影 响 P u b l i c   S e v e r 。 攻 击 的 方 法 就 是 通 过 低 密 度 、 看 似 正 常 的 流 量 有 计 划 地 访 问 D e c o y   S e r v e r 和 P u b l i c   S e r v e r ， 导 致 T a r g e t   L i n k 负 载 过 重 ， 最 终 导 致 P u b l i c   S e v e r 无 法 服 务 。 在 D e c o y   S e v e r 和 P u b l i c   S e r v e r 看 来 ， 流 量 都 是 正 常 的 ， 但 是 结 果 仍 然 导 致 D D o S 的 发 生 。 而 且 ， 攻 击 一 条 T a r g e   L i n k 的 成 本 比 攻 击 所 有 服 务 器 低 很 多 。 读 者 会 问 ， 网 易 的 机 房 里 只 有 自 己 的 服 务 器 啊 ， 那 D e c o y   S e v e r 哪 来 的 ？ 根 据 L F A 的 一 次 攻 击 实 例 , 笔 者 推 测 ， 攻 击 者 可 能 攻 击 了 网 易 机 房 的 上 层 交 换 节 点 或 其 他 类 似 机 构 （ 甚 至 可 能 是 I X P ， I S P 之 间 的 交 换 节 点 ） 。 比 如 网 易 的 机 房 和 阿 里 的 机 房 同 时 连 在 一 个 交 换 机 构 上 ， 那 么 攻 击 者 很 可 能 通 过 正 常 访 问 阿 里 的 服 务 器 导 致 交 换 节 点 d o w n 掉 ， 网 易 的 服 务 器 也 无 法 访 问 。 在 攻 击 中 ， 阿 里 的 服 务 器 是 D e c o y   S e r v e r ， 网 易 不 小 心 躺 枪 了 。 现 实 生 活 中 的 现 实 生 活 中 的 T a r g e t   L i n k 那 么 ， 现 实 生 活 中 存 在 这 样 的 T a r g e t   L i n k 么 ？ 实 际 上 ， 在 传 统 的 T C P / I P 网 络 中 ， 流 量 的 分 布 很 不 均 衡 ， 如 上 面 假 设 的 网 易 新 闻 的 流 量 可 能 主 要 通 过 几 个 主 干 道 。 也 许 有 其 余 多 个 备 份 链 路 的 存 在 ， 但 是 这 些 链 路 承 担 的 流 量 比 例 很 小 。 最 重 要 的 问 题 是 传 统 的 T C P / I P 网 络 是 分 布 式 的 ， 路 由 算 法 如 B G P 、 O S P F 分 散 在 各 个 路 由 器 上 ， 不 便 于 集 中 控 制 ， 通 常 切 换 主 干 道 非 常 麻 烦 ， 而 且 耗 时 非 常 长 。 像 网 易 的 这 次 修 复 ， 笔 者 感 觉 可 能 是 更 改 了 相 干 拓 扑 的 路 由 ， 如 启 用 了 备 份 链 路 ， 这 个 时 间 通 过 要 持 续 几 个 小 时 。 果 然 ， 直 到 1 2 日 凌 晨 2 点 3 1 ， 网 易 才 宣 布 已 经 修 复 。 但 据 媒 体 报 道 ， 完 全 恢 复 是 在 1 2 日 早 上 6 点 。 但 是 这 样 的 修 复 方 法 下 次 一 定 有 效 么 ？ 不 见 得 ， 如 果 攻 击 者 熟 知 网 易 网 络 相 关 拓 扑 ， 假 如 网 易 切 换 到 另 外 一 条 主 干 道 （ N e w   T a r g e t   L i n k ） ， 攻 击 者 立 即 攻 击 这 条 新 的 T a r g e t   L i n k ， 如 此 反 复 。 网 易 切 换 主 干 道 的 时 间 是 小 时 级 的 ， 但 是 攻 击 者 可 以 达 到 分 钟 级 切 换 。 网 易 应 该 庆 幸 的 是 攻 击 者 没 有 搞 清 楚 全 部 的 拓 扑 ， 否 则 ， 这 次 的 事 件 持 续 时 间 将 更 长 。 在 云 计 算 时 代 ， 各 种 公 司 的 服 务 器 托 管 在 同 一 云 服 务 商 上 ， 对 于 这 种 攻 击 ， 只 能 云 服 务 商 来 解 决 ， 单 个 个 体 是 没 办 法 解 决 的 。 但 是 如 果 云 服 务 商 仍 然 采 用 传 统 T C P / I P 的 路 由 策 略 ， 不 能 快 速 切 换 ， 仍 然 会 出 现 类 似 的 问 题 。 云 服 务 商 可 以 考 虑 采 用 S D N 和 N F V 的 相 关 方 案 ， 增 强 对 路 由 的 管 理 。 如 果 是 对 于 I X P 的 攻 击 ， 只 能 各 个 I S P 之 间 相 互 合 作 了 。 总 结 起 来 ， L F A 的 攻 击 具 有 如 下 特 点 ： 1 . 低 密 度 流 量 攻 击 ， 难 以 检 测 2 . 攻 击 成 本 低 3 . 持 续 久 ， 攻 击 者 可 以 不 停 切 换 攻 击 l i n k 短 期 内 解 决 这 个 问 题 的 关 键 是 负 载 均 衡 、 加 大 带 宽 、 增 加 链 路 ， 深 层 次 地 看 ， 我 们 应 该 重 新 考 虑 改 进 我 们 网 络 的 基 短 期 内 解 决 这 个 问 题 的 关 键 是 负 载 均 衡 、 加 大 带 宽 、 增 加 链 路 ， 深 层 次 地 看 ， 我 们 应 该 重 新 考 虑 改 进 我 们 网 络 的 基 础 架 构 了 。 础 架 构 了 。 我 们 期 待 网 易 后 续 能 分 享 更 多 的 攻 击 细 节 ， 虽 然 不 太 可 能 。 期 待 学 术 界 和 工 业 界 对 这 个 问 题 的 后 续 研 究 和 探 讨 ， 希 望 我 们 早 日 能 找 到 好 的 解 决 方 案 。 作 者 微 博 :   @ p e n g f e i t u a n *   作 者 / p u r e h a t ， 属 F r e e B u f 原 创 奖 励 计 划 文 章 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理