记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

PortMapper被滥用进行大规模DDoS攻击

2015-08-29 12:50

又一种DDoS攻击,服务器管理员需要做更多工作。

640.webp

2012年,网络罪犯们想出了如何滥用DNS来进行大规模DDoS反射攻击,我们可以将其理解为利用非常少的输入创造大量流量。2013年,他们转而利用网络时间协议(Network Time Protocol,NTP)和简单网络管理协议(Simple Network Management Protocol,SNMP),其次不久则使用了简单服务发现协议(Simple Service Discovery Protocol,SSDP)。

发现规律了没?DDoS攻击涌入那些配置失当的服务器,情景十分壮观,也让人担忧。管理员赶忙修复漏洞,但网络犯罪分子每次都会从某个新的协议或服务上发现可趁之机,让过程重演。

640.webp (1)

DDoS攻击防御公司现在会定期警告所有使用普遍、但很少被管理员考虑到的协议。如今又出现了另一个不起眼的服务,Portmapper,它现在也加入了被滥用的列表中。

发生了什么?美国主力通讯运营商Level 3注意到某种新型的DDoS攻击,它会滥用Portmapper(也即RPCbind)服务。这种攻击已经存在了一段时间,但其数量最近则有戏剧性的增加。

数量高峰出现的时间:6月下旬到8月中旬。

RCS(远程控制系统,Remote Control System) Portmapper是什么?基本可以将其理解为经典的Unix目录服务,可以让如PC等平台上运行的程序对其它位置的计算机发起远程过程调用(Remote Procedure Call,RPC)。它已经存在好几年了。

攻击者做什么?他们伪造指向DDoS目标的地址,将UDP包发送给公共Portmapper服务。Portmapper会帮助攻击者返回一个大得多的响应。如果有足够多的查询服务器,其管理人员也没有意识到,那么这次攻击就将被放大,压倒攻击目标。

滥用有多么容易?Portmapper应当是内部局域网使用的服务,不应该从外部访问到。显然很多服务器都遗留了这一漏洞。

是不是很严重?允许外部方接触到Portmapper不是好事,可能会让服务器在不经意间被用于DDoS攻击第三方。

检测到了多少攻击流量?和其它被滥用协议进行比较,很少。但Level 3公司希望人们在局势恶化前注意到它。如果不提醒,这类威胁通常会被忽略。

有补丁吗?并不存在特定的软件漏洞:Portmapper服务只是完成了其原本的设计功能。解决方案是禁止该服务,或者阻止对该服务的外部访问。

其它被滥用的协议:DNS、NTP、Chargen、Netbios、SNMP、SSDP。

Levels3的话:“为了避免你的组织在未来成为DDoS攻击的帮凶,我们建议在开放互联网上禁用Portmapper和NFS、NIS以及所有其它RPC服务,这是最优方案。在必须保证开启服务的情况下,应该对所有能接触到服务的IP地址开启防火墙,随后切换到TCP-only。”

 

知识来源: www.aqniu.com/threat-alert/9897.html

阅读:78627 | 评论:0 | 标签:动态 安全警报 DDoS level 3 PortMapper ddos

想收藏或者和大家分享这篇好文章→复制链接地址

“PortMapper被滥用进行大规模DDoS攻击”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云