《Linux系统安全：纵深防御、安全扫描与入侵检测 》 —2.8.2　反射式分布式拒绝服务攻击

2.8.2　反射式分布式拒绝服务攻击

反射式分布式拒绝服务攻击是另外一种典型的分布式拒绝服务攻击模式，如图2-10所示。

图2-10　反射式分布式拒绝服务逻辑图

在这种模式情况下，“肉鸡”服务器通过构造虚假DNS请求（UDP数据以被攻击服务器作为来源IP地址）向全球数量巨大的开放DNS服务器发起请求，开放DNS服务器产生响应后发送到被攻击服务器。

在这种攻击模式下，攻击行为充分利用了DNS请求响应的非对称特点，也就是，请求数据流量小，响应数据流量大。在一个典型的DNS放大攻击（DNS Amplification Attack）或者NTP放大攻击（NTP Amplification Attack）中，响应数据和请求数据的数据量对比可以达到20:1甚至200:1，放大效果非常明显。同时UDP不需要实际建立连接，对源地址没有任何形式的校验，因此可以把“肉鸡”伪装成被攻击服务器发起UDP请求。

在目前的情况下，我们发现分布式拒绝服务以UDP协议为多，同时利用类似DNS反射、NTP反射或者Memcached反射的漏洞进行攻击。例如，据The Hack News网站报道，全球知名代码托管商GitHub在2018年2月28日遭受的分布式拒绝服务攻击规模达到惊人的1.3 Tbps，其中大部分流量正是来自于利用Memcached反射漏洞进行的攻击。