udp

متود های جدید حملات UDP تقویت شده : RIP و PORTMAP

حملات RIP amplification نوعی جدیدی از حملات UDP هستند که  عضو حملات تقویت شده UDP به حساب می آیند.
RIP یک پروتکل اطلاعات مسیریابی (Routing Information Protocol ) است که به صورت UDP و بر روی پورت 520 مورد استفاده قرار میگیرد.amplification rate یا نرخ تقویت این نوع پروتکل در یک حمله DDoS در کمترین حالت 55 برابر است؛ یعنی با استفاده از این باگ در سرور ها می توان یک حمله کوچک 100 مگابیتی را به 5500 مگابیت تبدیل کرد؛ البته در دیگر متود های حملات تقویت شده ممکن است نرخ تقویت بسیار بیشتر از این مقدار باشد مثل NTP یا DNS ولی باید این موضوع را در نظر گرفت که اکثر این باگ ها در سرویس دهندگان برطرف شده است اما مزیت متود RIP برای اتکر ها این است که این روش جدید است و هنوز توسط بسیاری از سرویس دهندگان پتچ نشده و به راحتی قابل استفاده برای راه اندازی حملات بزرگ است.

پروتکل Portmap نیز در حقیقت یک میانبر برای Port Mapper در سرویس دهندگان است؛ این پروتکل به صورت UDP  و  بر روی پورت 111 کار میکند. نرخ تقویت این متود جدید جمله DDoS کمتر از RIP است ؛ حدود 20 برابر ! اما این روش نیز جدید است و در بسیاری از سرویس دهندگان پتچ نشده است؛ تا زمان پتچ شدن این متود های جدید؛ آنها می توانند بسیار خطرناک و عاملی برای ایجاد حملات سنگین توسط اتکر ها باشند.

معرفی حمله DNS Amplification Attack

تا به امروز در خصوص متود ها مختلف حملات TCP توضیح داده ایم؛ اما امروز قصد داریم یک متود متفاوت از حملات را کالبد شکافی کنیم؛ حملاتی غول آسا و غیر قابل کنترل و البته معروف با نام DNS Amplification Attack .

یک حمله DNS amplification بر پایه هدایت ترافیک بدون اتصال از پروتکل UDP استفاده می شود. مهاجم با استفاده از DNS سرور های باز عمومی سعی در هدایت ترافیک بالا به آی پی قربانی است.در روش اولیه مهاجم یک درخواست DNS name lookup به یک سرور DNS عمومی ارسال می کند اما از IP جعلی ( که همان آی پی قربانی می باشد) جهت ارسال استفاده می کند و DNS سرور پاسخ را به همین آی پی ارسال می کند.

عامل تقویت بخش اصلی این حمله است؛ تقویت در این نوع حملات 54X است؛ یعنی هر بایت ترافیک که توسط مهاجم به سرور  DNS ارسال می شود؛ پاسخی به اندازه 54 بایت از سمت DNS سرور برای آی پی قربانی به همراه خواهد داشت.

اکثر حملات مشاهده شده از این نوع توسط US-CERT انجام شده؛درخواست های جعلی ارسال شده توسط هکر ها از نوع  “ANY” هستند که تمامی اطلاعات شناخته شده در خصوص ناحیه DNS را به آی پی قربانی بازگشت می دهد که به طور قابل توجهی بسیار بزرگتر از درخواست ارسال شده توسط مهاجم می باشد.

با استفاده از بات نت ها برای تولید تعداد زیادی از درخواست های DNS با آی پی های جعلی , مهاجم می تواند با کمترین تلاش بیشترین ترافیک را به سمت آی پی قربانی هدایت کند و از طرفی چون ترافیک به صورت مشروع از سرور های معتبر ارسال می شود؛ مهار و مسدود سازی آن مشکل خواهد بود.

در مثال زیر  ما میبینیم که یک درخواست پرس و جو جعلی از آی پی قربانی (10.100.101.102 ) بر روی پورت 80 را میبینیم که از DNS سرور 192.168.5.10 انجام شده است:

به خواندن ادامه دهید →

معرفی حمله SNMP

باگ های سرویس های DNS همواره محبوب ترین راه برای ایجاد حملات DDoS عظیم برای مهاجمان بوده است؛به مرور زمان باگ های سرویس دهندگان DNS  پتچ شدند و راه های سو استفاده از آن مسدود شده اند؛ به طوی که به هر درخواست ناشناخته پاسخ ندهند.

NTP یکی از روش های محبوب بود که به وسیله آن حملات بزرگی در تاریخ اینترنت به وقوع پیوست که به مرور زمان آنها پتچ شدند و راه های سو استفاده از آنها بسته شد؛ اگر چه حملات NTP هنوز نیز مورد استفاده قرار میگیرد اما مثل سابق نیست و نمی تواند حملاتی به قدرت و بزرگی سابق را ایجاد نماید اما جدیدا با خطر جدیدی مواجه هستیم به نام SNMP که از روش تقویت شده (amplification) برای ایجاد حملات استفاده می کنند.

SNMP چیست؟

SNMP مخفف Simple Network Management Protocol و به معنی پروتکل مدیریت آسان شبکه است، دستگاههای مثل سرور که نیاز دارند به اطلاعاتی مثل میزان فضای هارد؛ میزان رم و سی پی یو مصرفی و … مانیتور و از یک راه استاندارد گزارش کنند از پروتکل SNMP استفاده می کند. همچنین بسیاری از روتر ها گزارش پهنای باند و سلامت کارکرد خود را از طریق این پروتکل گزارش می دهند.

درخواست های SNMP بر روی پورت 161 و با پروتکل UDP ارسال و دریافت می شوند.

SNMP به عنوان یک روشDDOS

به خواندن ادامه دهید →

روتر های زامبی که قصد مردن ندارند

یک روتر اسکن از اینترنت نشان می دهد که حدود 53000 آی پی با دستگاه های قدیمی که از پروتکل RIPv1 استفاده می کنند پاسخ می دهند. این پروتکل منسوخ شده بدون رعایت موارد امنیتی مورد استفاده قرار میگیرد که عاملی برای انجام حملات spoofed UDP می باشد.پروتکل RIPv1 در زمان قدیم قابل تحسین بود؛زمانی قبل از طبقه بندی مسیریابی آدرس های اینترنتی (internet address routing) و قبل از اینکه تهدید فزاینده ای که امروز آن را به عنوان حملات DDoS می شناسیم ظهور کند.

اگر کار شما شبکه است؛ ما به شدت توصیه می کنیم که پورت 520 را مسدود کنید. هیچ استفاده عملی از پروتکل RIPv1 در دنیایی امروز وجود ندارد به جز سو استفاده هایی برای ایجاد حملات DDoS .62HT_3458F156-C28B-49F9-8F6F-FE39A3088177_large

اکثر قریب به اتفاق این دستگاه ها روتر های soho  هستند که در حال اجرا بر روی فریم وار هایی (firmware) هستند که بعید است به روز شده باشند. در گذشته ما شاهد سرویس دهندگانی بودیم که دارای نسخه های آسیب پذیر بودند؛ سرویس هایی همچون DNS و NTP ؛ اما با این حال باگ بسیاری از این سرویس دهندگان وصله (patch) شده است.
در مقابل روتور های soho فراموش شده اند ؛ آنها را رها کرده ایم تا در یک گنجه تاریک اجرا شوند و به کار خود ادامه دهند؛ خارج از دید ؛ خارج از ذهن و همچنان این روتر ها یکی از مهم ترین ابزار های سو استفاده برای راه اندازی بزرگترین حملات سایبری DDoS است و خواهد بود.