باگ های سرویس های DNS همواره محبوب ترین راه برای ایجاد حملات DDoS عظیم برای مهاجمان بوده است؛به مرور زمان باگ های سرویس دهندگان DNS  پتچ شدند و راه های سو استفاده از آن مسدود شده اند؛ به طوی که به هر درخواست ناشناخته پاسخ ندهند.

NTP یکی از روش های محبوب بود که به وسیله آن حملات بزرگی در تاریخ اینترنت به وقوع پیوست که به مرور زمان آنها پتچ شدند و راه های سو استفاده از آنها بسته شد؛ اگر چه حملات NTP هنوز نیز مورد استفاده قرار میگیرد اما مثل سابق نیست و نمی تواند حملاتی به قدرت و بزرگی سابق را ایجاد نماید اما جدیدا با خطر جدیدی مواجه هستیم به نام SNMP که از روش تقویت شده (amplification) برای ایجاد حملات استفاده می کنند.

SNMP چیست؟

SNMP مخفف Simple Network Management Protocol و به معنی پروتکل مدیریت آسان شبکه است، دستگاههای مثل سرور که نیاز دارند به اطلاعاتی مثل میزان فضای هارد؛ میزان رم و سی پی یو مصرفی و … مانیتور و از یک راه استاندارد گزارش کنند از پروتکل SNMP استفاده می کند. همچنین بسیاری از روتر ها گزارش پهنای باند و سلامت کارکرد خود را از طریق این پروتکل گزارش می دهند.

درخواست های SNMP بر روی پورت 161 و با پروتکل UDP ارسال و دریافت می شوند.

SNMP به عنوان یک روشDDOS

درحملات تقویت شده شبیه به این ؛ در مرحله اول هکر یک لیست بزرگ از سرور ها و روتر هایی که پورت SNMP در آنها باز است فراهم می کند و سپس یک درخواست جعلی به دستگاه های این لیست ارسال می کند. منبع جعلی ارسال کننده این درخواست ها آی پی هدف که قرار است بر روی آن حمله انجام شود در نظر گرفته می شود و هنگامی که این پکت ها توسط دستگاه های این لیست دریافت می شود ؛آنها شروع به پاسخ دادن به آی پی قربانی می کنند و ترافیک عظیمی را به سمت این آی پی هدایت می کنند.

برای مثال مهاجم یک درخواست شبیه به این برای دستگاه دارای پورت SNMP باز می فرستد:

18:36:38.157887 IP 192.168.55.2.80 > 192.168.83.110.161:  GetRequest(28)  .1.3.6.1.2.1.1.1.0

و پاسخی مثل زیر برای آی پی جعلی و قربانی ارسال خواهد شد:

18:36:38.674699 IP 192.168.83.110.161 > 192.168.55.2.80:  C=axierj29 GetResponse(231) .1.3.6.1.4.1.2021.4.14.0=12926920 .1.3.6.1.4.1.2021.10.1.3.2=”2.92″ .1.3.6.1.4.1.2021.10.1.3.3=”2.39″ .1.3.6.1.4.1.2021.10.1.3.1=”2.91″ .1.3.6.1.4.1.2021.11.50.0=216932282 .1.3.6.1.4.1.2021.11.52.0=3515396736 .1.3.6.1.4.1.2021.11.51.0=10933 .1.3.6.1.4.1.2021.4.15.0=498864 .1.3.6.1.4.1.2021.4.6.0=261096 .1.3.6.1.4.1.2021.11.62.0=2948 .1.3.6.1.4.1.2021.11.63.0=6427

در اینجا مواردی هائز اهمیت است:

1- همانطور که میبینید آی پی قربانی به صورت 192.168.55.2.80 به دستگاهی که دارای پورت باز SNMP است ارسال شده؛ که بخش پنجم آی پی نشان دهنده پورت دریافت کننده می باشد؛یعنی دستگاه های دارای باگ می توانند گزاش کارکرد خود را به هر پورتی ارسال نمایند و معمولا مهاجمان از پورت هایی استفاده می کنند که سرور قربانی قادر به بستن آن از روی فایروال های سخت افزاری نباشند؛ مثل پورت80 (HTTP).

2- حجم درخواست ارسالی توسط مهاجم 28 بایت است اما پاسخ 231 بایت است که نشان دهنده تقویت حملات تا بالای 8 برابر است!

این به این معنی است که یک پورت 10 مگابیت می تواند 82.5 مگابیت ترافیک به سمت سرور قربانی ارسال نماید. شاید در نگاه اول بگویید 82.5 مگابیت حجم قابل توجهی نباشد، حال فرض کنید مهاجم به جای یک سرور با پورت 10 مگابیت از 10 سرور با پورت 1 گیگابیت استفاده نماید ؛ یعنی حمله ای بالغ بر 80 گیگابیت در ثانیه! و طبیعتا با افزایش تعداد سرور ها و پورت ها این حمله غیر قابل کنترل خواهد بود.