今天，360网络安全号召中心（360 Cert）收到预警，称之为监测到一种利用Memcache作为DRDoS放大器展开缩放的超大规模DDoS反击，这种光线型DDoS反击需要超过5万倍的放大系数，犯罪分子可利用Memcache服务器通过非常少的计算资源发动超大规模的DDoS反击。360 Cert回应目前全球多个云服务器皆遭反击，未来有可能有更加多利用Memcached展开DRDoS的事件再次发生。实质上，早在2017年6月，360信息安全部0kee Team就找到了这种利用Memcache缩放的反击技术，并在2017年11月通过PoC 2017安全性会议对安全性社区作出了预警。

360 CERT QUAKE全网测绘表明，目前独自对外开放的Memcache存储系统数量级在十万左右，都可能会受到此类反击影响。从国家产于上来看，对外开放主机数量上，美国第一，中国第二，但不受影响的数量却忽略。DDoS反击是通过大量合法的催促闲置大量网络资源，以超过中断网络的目的。举例来说，就是一个长时间营业的商铺，被大量冒充的顾客填满了，没办法为确实的顾客获取服务，这个商铺就是DDoS反击的受害者。

360 CERT团队讲解，这种利用Memcache作为DRDoS放大器展开缩放的DDoS反击，利用Memcached协议，发送到大量具有被害者IP地址的UDP数据包给缩放器主机，然后缩放器主机对假造的IP地址源作出大量对此，构成分布式拒绝服务反击，从而构成DRDoS光线。据理解，在近几日找到的利用Memcache缩放的反击事件中，攻击者向端口11211上的 Memcache服务器发送小字节催促。由于 UDP协议未准确继续执行，因此 Memcache服务器未以类似于或更加小的包在不予号召，而是以有时候比完整催促大数千倍的包在不予号召。

也就是说攻击者能收买 Memcache服务器将过大规模的号召包在发送给受害者。Memcache反击放大系数可高约5万倍这种类型的 DDoS反击被称作“光线型 DDoS”或“光线 DDoS”。号召数据包被缩放的倍数被称作 DDoS反击的“放大系数”。

目前少见光线类DDoS反击的放大系数，一般是20到100之间。放大系数多达1000的光线型 DDoS反击本身就十分少见，而本次高达5万倍放大系数被实际应用于在DDoS反击战场上，是DDoS历史上首次经常出现的超高倍数DDOS反击事件，可以说道是核弹级的反击手法。

这也是本次Memcrashed技术特点之一——光线倍数较小，早已证实可以平稳的超过5万倍，此外，本次反击事件的光线点比特率充足，且主要来自IDC机房服务器。最近一周，利用Memcache缩放的反击事件很快下降，反击频率从每天严重不足50件爆发式下降到每天300~400件，而实际现网中，早已经常出现了 0.5Tbps 的反击。360Cert回应，有可能有更大的反击案例未被公开发表报导。

在接下来的一段时间内，360安全性团队预计不会经常出现更加多利用Memcached展开DRDoS的事件，如果本次反击效果被其他DDoS团队所效仿，将不会带给后果更加相当严重的反击。因此，360安全性专家对于Memcache使用者得出几条建议：1.Memcache的用户建议将服务摆放于可靠域内，有外网时不要监听 0.0.0.0，有类似市场需求可以设置acl或者加到安全性组。2.为防治机器器扫瞄和ssrf等反击，改动memcache配置文件监听端口。3.升级到近期版本的memcache，并且用于SASL设置密码来展开权限掌控。

对于网络层防卫，360安全性专家回应目前有数还包括NTT在内的多个国外ISP早已对UDP11211展开车速。同时，安全性专家回应，互联网服务提供商应该禁令在网络上继续执行IP愚弄。

IP愚弄DRDoS的根本原因。具体措施可以参照BCP38。此外，安全性专家也建议ISP不应容许用户用于 BGP flowspec 容许进车站UDP11211的流量，以减低大型DRDoS反击时的交通堵塞。详尽报告地址：[预警]利用 Memcache 作为 DRDoS 光线放大器展开 DDoS 反击 - 360CERT（请求砍链接）原创文章，予以许可禁令刊登。

下文闻刊登须知。

本文来源：乐虎·lehu-www.aieuu.com