Memcache UDP反射放大攻击技术分析
<!--kg-card-begin: markdown--><p>本篇技术blog，由360信息安全部<span style="font-family:Times New Roman">0kee Team</span>、360网络安全研究院、360-CERT共同发布。</p>
<p>Memcache UDP 反射放大攻击（以下简称 Memcache DRDoS）在最近的一周里吸引了安全社区的较多注意。以下介绍我们对该类型攻击观察到的情况。</p>
<h4 id="poc2017">在PoC 2017 会议上的原始报告</h4>
<p>Memcache DRDoS，由360信息安全部<span style="font-family:Times New Roman">0kee Team</span>在2017-06 附近首先发现，并于 2017-11 在 <a href="http://powerofcommunity.net/2017.htm">PoC 2017</a> 会议上做了公开报告。会议报告在 <a href="http://powerofcommunity.net/poc2017/shengbao.pdf">这里</a>，其中详细介绍了攻击的原理和潜在危害。</p>
<p>在这份文档中，作者指出这种攻击的特点：</p>
<ul>
<li>memcache 放大倍数超高，至少可以超过50k；</li>
<li>memcache 服务器（案例中的反射点）数量较多，2017-11时估算全球约有 60k 服务器可以被利用，并且这些服务器往往拥有较高的带宽资源。</li>
</ul>
<p>基于以上特点，作者认为该攻击方式可以被利用来发起大规模的DDoS攻击，某些小型攻击团队也可能因此获得原先没有的大流量攻击能力。</p>
<h4 id="ddosmon">在 DDoSMon 上观察到的现网趋势</h4>
<p>自批露以来，我们就一直利用 <a href="https://ddosmon.net/insight">DDoSMon 的统计页面</a> 持续监控Memcache DRDoS在实际现网中的情况。在过去的几个月中，这种类型攻击的频率和单次破坏性都不大，但是自2018-02-24开始，这种情况发生了较大变化。</p>
<p>近期，Memcache DRDoS 的攻击频率上升到了平时的10+倍，从每天小于50件，上升到每天300~400件，直到今天的1484件（实际上，离今天结束还有1个小时），如下图所示。</p>
<p><img src="__GHOST_URL__/content/images/2018/03/memcache.drdos.trend.1month-update.png" alt="" loading="lazy"></p>
<p>需要指出，当前 Memcache DRDoS 仍然还不是DDoS的主流。即使在反射类DDoS中，也只占 1% 以下（按攻击事件计），排在 DNS、CLDAP、NTP、SSDP、CharGen、L2TP、BitTorrent、Portmap、SNMP的后面。</p>
<p><img src="__GHOST_URL__/content/images/2018/03/memcache.drdos.trend.1month.distribution.png" alt="" loading="lazy"></p>
<h4 id="memcachedrdos">我们在现网中对 Memcache DRDoS 攻击方式的测试结果</h4>
<p>我们对现网实际环境做了测试，结合分析我们捕获的实际攻击载荷，有以下内容值得关注：</p>
<ul>
<li>这种反射攻击的放大比率，在理想的测试环境中，可以稳定的测得 1k~60k之间的放大倍数；</li>
<li>在现网实际环境中， 60k 的放大倍数，也是可以稳定的测得的；</li>
<li>上述实测结果，与最初报告者0kee team的估计、<a href="https://www.us-cert.gov/ncas/alerts/TA14-017A">US-CERT安全通告</a>中的提法，基本是一致的；</li>
<li>此外我们分析了现网实际发生的攻击负载。到目前为止，部分负载的构造是有问题，可能会导致memcache服务崩溃，并不能稳定的打出最大放大倍数。但是这里涉及的技术改进并不困难，攻击者容易做出响应调整。</li>
</ul>
<p>另外，我们对将放大倍数调整到 60k 以上做了一些初步分析。我们怀疑这个比例是可以继续显著提高的，但具体技术细节不会在这里讨论。</p>
<h4 id="memcachedrdos">当前已知 Memcache DRDoS 攻击的案例</h4>
<p>2月27日，Qrator Labs 在 medium.com 上 <a href="https://medium.com/@qratorlabs/the-memcached-amplification-attack-reaching-500-gbps-b439a7b83c98">批露</a> 了一次DDoS攻击。按照文章的说法，这次攻击确信就是 UDP 11211 端口上的 memcache DRDoS，攻击流量峰值达到 480Gbps。</p>
<p>除了这个案例以外，我们确认有更大的攻击已经实际发生，但并未被公开报道。</p>
<h4 id="">当前已知各国运营商、安全社区的应对措施</h4>
<p>目前已经有多个相关安全通告，部分列出如下：</p>
<ul>
<li>通告类：多个主要设备厂商、安全厂商、CERT已经发布通告，例如 <a href="https://blog.cloudflare.com/memcrashed-major-amplification-attacks-from-port-11211/">CloudFlare</a>、<a href="https://medium.com/@qratorlabs/the-memcached-amplification-attack-reaching-500-gbps-b439a7b83c98">Qrator Labs</a>、<a href="https://www.arbornetworks.com/blog/asert/memcached-reflection-amplification-description-ddos-attack-mitigation-recommendations/">Arbor Networks</a>、<a href="https://www.us-cert.gov/ncas/alerts/TA14-017A">US-CERT</a>，等等</li>
<li>预防和防御类：包括  <a href="https://mailman.nanog.org/pipermail/nanog/2018-March/094350.html">NTT</a> 在内的多个ISP 已经对 UDP 11211 采取限速措施。</li>
</ul>
<p>应对建议方面，ISP、网络管理员、企业用户可以从很多渠道获得应对建议，例如 <a href="http://www.senki.org/memcached-on-port-11211-udp-tcp-being-exploited/">这里</a> 。我们建议：</p>
<ul>
<li>各运营商 ISP、云服务厂商，考虑在自己的网络内对UDP 11211 采取限速措施</li>
<li>各开发者和 memcache 管理者，考虑自查 memcache 设定ACL</li>
</ul>
<p>总体而言，一方面，我们开始担忧1Tbps以上的DDoS攻击案例今后会比较频繁的出现，DDoS攻击开始从 G 时代进入 T 时代（Gbps vs Tbps）；另一方面，我们必须指出至少在当前 Memcache DRDoS 还不是DDoS 攻击的主流，比例还在 1% 以下（按次数统计）。</p>
<!--kg-card-end: markdown-->
本篇技术blog，由360信息安全部0kee Team、360网络安全研究院、360-CERT共同发布。


Memcache UDP 反射放大攻击（以下简称 Memcache DRDoS）在最近的一周里吸引了安全社区的较多注意。以下介绍我们对该类型攻击观察到的情况。


在PoC 2017 会议上的原始报告


Memcache DRDoS，由360信息安全部0kee Team在2017-06 附近首先发现，并于 2017-11 在 PoC 2017 会议上做了公开报告。会议报告在 这里，其中详细介绍了攻击的原理和潜在危害。


在这份文档中，作者指出这种攻击的特点：


 * memcache 放大倍数超高，至少可以超过50k；
 * memcache 服务器（案例中的反射点）数量较多，2017-11时估算全球约有 60k 服务器可以被利用，并且这些服务器往往拥有较高的带宽资源。


基于以上特点，作者认为该攻击方式可以被利用来发起大规模的DDoS攻击，某些小型攻击团队也可能因此获得原先没有的大流量攻击能力。


在 DDoSMon 上观察到的现网趋势


自批露以来，我们就一直利用 DDoSMon 的统计页面 持续监控Memcache DRDoS在实际现网中的情况。在过去的几个月中，这种类型攻击的频率和单次破坏性都不大，但是自2018-02-24开始，这种情况发生了较大变化。


近期，Memcache DRDoS 的攻击频率上升到了平时的10+倍，从每天小于50件，上升到每天300~400件，直到今天的1484件（实际上，离今天结束还有1个小时），如下图所示。





需要指出，当前 Memcache DRDoS 仍然还不是DDoS的主流。即使在反射类DDoS中，也只占 1% 以下（按攻击事件计），排在 DNS、CLDAP、NTP、SSDP、CharGen、L2TP、BitTorrent、Portmap、SNMP的后面。





我们在现网中对 Memcache DRDoS 攻击方式的测试结果


我们对现网实际环境做了测试，结合分析我们捕获的实际攻击载荷，有以下内容值得关注：


 * 这种反射攻击的放大比率，在理想的测试环境中，可以稳定的测得 1k~60k之间的放大倍数；
 * 在现网实际环境中， 60k 的放大倍数，也是可以稳定的测得的；
 * 上述实测结果，与最初报告者0kee team的估计、US-CERT安全通告中的提法，基本是一致的；
 * 此外我们分析了现网实际发生的攻击负载。到目前为止，部分负载的构造是有问题，可能会导致memcache服务崩溃，并不能稳定的打出最大放大倍数。但是这里涉及的技术改进并不困难，攻击者容易做出响应调整。


另外，我们对将放大倍数调整到 60k 以上做了一些初步分析。我们怀疑这个比例是可以继续显著提高的，但具体技术细节不会在这里讨论。


当前已知 Memcache DRDoS 攻击的案例


2月27日，Qrator Labs 在 medium.com 上 批露 了一次DDoS攻击。按照文章的说法，这次攻击确信就是 UDP 11211 端口上的 memcache DRDoS，攻击流量峰值达到 480Gbps。


除了这个案例以外，我们确认有更大的攻击已经实际发生，但并未被公开报道。


当前已知各国运营商、安全社区的应对措施


目前已经有多个相关安全通告，部分列出如下：


 * 通告类：多个主要设备厂商、安全厂商、CERT已经发布通告，例如 CloudFlare、Qrator Labs、Arbor Networks、US-CERT，等等
 * 预防和防御类：包括 NTT 在内的多个ISP 已经对 UDP 11211 采取限速措施。


应对建议方面，ISP、网络管理员、企业用户可以从很多渠道获得应对建议，例如 这里 。我们建议：


 * 各运营商 ISP、云服务厂商，考虑在自己的网络内对UDP 11211 采取限速措施
 * 各开发者和 memcache 管理者，考虑自查 memcache 设定ACL


总体而言，一方面，我们开始担忧1Tbps以上的DDoS攻击案例今后会比较频繁的出现，DDoS攻击开始从 G 时代进入 T 时代（Gbps vs Tbps）；另一方面，我们必须指出至少在当前 Memcache DRDoS 还不是DDoS 攻击的主流，比例还在 1% 以下（按次数统计）。

{"version":"0.3.1","markups":[],"atoms":[],"cards":[["markdown",{"cardName":"card-markdown","markdown":"本篇技术blog，由360信息安全部<span style=\"font-family:Times New Roman\">0kee Team</span>、360网络安全研究院、360-CERT共同发布。\n\nMemcache UDP 反射放大攻击（以下简称 Memcache DRDoS）在最近的一周里吸引了安全社区的较多注意。以下介绍我们对该类型攻击观察到的情况。\n\n\n#### 在PoC 2017 会议上的原始报告\nMemcache DRDoS，由360信息安全部<span style=\"font-family:Times New Roman\">0kee Team</span>在2017-06 附近首先发现，并于 2017-11 在 [PoC 2017](http://powerofcommunity.net/2017.htm) 会议上做了公开报告。会议报告在 [这里](http://powerofcommunity.net/poc2017/shengbao.pdf)，其中详细介绍了攻击的原理和潜在危害。\n\n在这份文档中，作者指出这种攻击的特点：\n\n - memcache 放大倍数超高，至少可以超过50k；\n - memcache 服务器（案例中的反射点）数量较多，2017-11时估算全球约有 60k 服务器可以被利用，并且这些服务器往往拥有较高的带宽资源。\n\n基于以上特点，作者认为该攻击方式可以被利用来发起大规模的DDoS攻击，某些小型攻击团队也可能因此获得原先没有的大流量攻击能力。\n\n#### 在 DDoSMon 上观察到的现网趋势\n\n自批露以来，我们就一直利用 [DDoSMon 的统计页面](https://ddosmon.net/insight) 持续监控Memcache DRDoS在实际现网中的情况。在过去的几个月中，这种类型攻击的频率和单次破坏性都不大，但是自2018-02-24开始，这种情况发生了较大变化。\n\n近期，Memcache DRDoS 的攻击频率上升到了平时的10+倍，从每天小于50件，上升到每天300~400件，直到今天的1484件（实际上，离今天结束还有1个小时），如下图所示。\n\n![](__GHOST_URL__/content/images/2018/03/memcache.drdos.trend.1month-update.png)\n\n需要指出，当前 Memcache DRDoS 仍然还不是DDoS的主流。即使在反射类DDoS中，也只占 1% 以下（按攻击事件计），排在 DNS、CLDAP、NTP、SSDP、CharGen、L2TP、BitTorrent、Portmap、SNMP的后面。\n\n![](__GHOST_URL__/content/images/2018/03/memcache.drdos.trend.1month.distribution.png)\n\n#### 我们在现网中对 Memcache DRDoS 攻击方式的测试结果\n\n我们对现网实际环境做了测试，结合分析我们捕获的实际攻击载荷，有以下内容值得关注：\n\n - 这种反射攻击的放大比率，在理想的测试环境中，可以稳定的测得 1k~60k之间的放大倍数；\n - 在现网实际环境中， 60k 的放大倍数，也是可以稳定的测得的；\n - 上述实测结果，与最初报告者0kee team的估计、[US-CERT安全通告](https://www.us-cert.gov/ncas/alerts/TA14-017A)中的提法，基本是一致的；\n - 此外我们分析了现网实际发生的攻击负载。到目前为止，部分负载的构造是有问题，可能会导致memcache服务崩溃，并不能稳定的打出最大放大倍数。但是这里涉及的技术改进并不困难，攻击者容易做出响应调整。\n\n另外，我们对将放大倍数调整到 60k 以上做了一些初步分析。我们怀疑这个比例是可以继续显著提高的，但具体技术细节不会在这里讨论。\n\n#### 当前已知 Memcache DRDoS 攻击的案例\n\n2月27日，Qrator Labs 在 medium.com 上 [批露](https://medium.com/@qratorlabs/the-memcached-amplification-attack-reaching-500-gbps-b439a7b83c98) 了一次DDoS攻击。按照文章的说法，这次攻击确信就是 UDP 11211 端口上的 memcache DRDoS，攻击流量峰值达到 480Gbps。\n\n除了这个案例以外，我们确认有更大的攻击已经实际发生，但并未被公开报道。\n\n#### 当前已知各国运营商、安全社区的应对措施\n\n目前已经有多个相关安全通告，部分列出如下：\n\n - 通告类：多个主要设备厂商、安全厂商、CERT已经发布通告，例如 [CloudFlare](https://blog.cloudflare.com/memcrashed-major-amplification-attacks-from-port-11211/)、[Qrator Labs](https://medium.com/@qratorlabs/the-memcached-amplification-attack-reaching-500-gbps-b439a7b83c98)、[Arbor Networks](https://www.arbornetworks.com/blog/asert/memcached-reflection-amplification-description-ddos-attack-mitigation-recommendations/)、[US-CERT](https://www.us-cert.gov/ncas/alerts/TA14-017A)，等等\n - 预防和防御类：包括  [NTT](https://mailman.nanog.org/pipermail/nanog/2018-March/094350.html) 在内的多个ISP 已经对 UDP 11211 采取限速措施。\n\n应对建议方面，ISP、网络管理员、企业用户可以从很多渠道获得应对建议，例如 [这里](http://www.senki.org/memcached-on-port-11211-udp-tcp-being-exploited/) 。我们建议：\n\n - 各运营商 ISP、云服务厂商，考虑在自己的网络内对UDP 11211 采取限速措施\n - 各开发者和 memcache 管理者，考虑自查 memcache 设定ACL\n\n\n总体而言，一方面，我们开始担忧1Tbps以上的DDoS攻击案例今后会比较频繁的出现，DDoS攻击开始从 G 时代进入 T 时代（Gbps vs Tbps）；另一方面，我们必须指出至少在当前 Memcache DRDoS 还不是DDoS 攻击的主流，比例还在 1% 以下（按次数统计）。\n"}]],"sections":[[10,0]],"ghostVersion":"3.0"}