CNCERT：2018年10月我国DDoS攻击资源月度分析报告

本月重点关注情况

1、本月利用肉鸡发起DDoS攻击的控制端中，境外控制端最多位于美国；境内控制端最多位于贵州省，其次是江苏省、广东省和浙江省，按归属运营商统计，电信占的比例最大。

2、本月参与攻击较多的肉鸡地址主要位于山东省、江苏省、浙江省和福建省，其中大量肉鸡地址归属于电信运营商。2018年以来监测到的持续活跃的肉鸡资源中，位于山东省、江苏省、浙江省占的比例最大。

3、本月被利用发起Memcached反射攻击境内反射服务器数量按省份统计排名前三名的省份是河南省、广东省和山东省；数量最多的归属运营商是电信。被利用发起NTP反射攻击的境内反射服务器数量按省份统计排名前三名的省份是河北省、河南省和山东省；数量最多的归属运营商是联通。被利用发起SSDP反射攻击的境内反射服务器数量按省份统计排名前三名的省份是辽宁省、浙江省和广东省；数量最多的归属运营商是联通。

4、本月转发伪造跨域攻击流量的路由器中，归属于安徽省电信的路由器参与的攻击事件数量最多，2018年以来被持续利用的跨域伪造流量来源路由器中，归属于北京市、江苏省和四川省路由器数量最多，而归属于浙江省的跨域伪造流量来源路由器数量有明显下降。

5、本月转发伪造本地攻击流量的路由器中，归属于北京市电信的路由器参与的攻击事件数量最多，2018年以来被持续利用的本地伪造流量来源路由器中，归属于江苏省、浙江省、山东省和广东省路由器数量最多。

攻击资源定义

本报告为2018年10月份的DDoS攻击资源月度分析报告。围绕互联网环境威胁治理问题，基于CNCERT监测的DDoS攻击事件数据进行抽样分析，重点对“DDoS攻击是从哪些网络资源上发起的”这个问题进行分析。主要分析的攻击资源包括：

1、控制端资源，指用来控制大量的僵尸主机节点向攻击目标发起DDoS攻击的木马或僵尸网络控制端。

2、肉鸡资源，指被控制端利用，向攻击目标发起DDoS攻击的僵尸主机节点。

3、反射服务器资源，指能够被黑客利用发起反射攻击的服务器、主机等设施，它们提供的网络服务中，如果存在某些网络服务，不需要进行认证并且具有放大效果，又在互联网上大量部署（如DNS服务器，NTP服务器等），它们就可能成为被利用发起DDoS攻击的网络资源。

4、跨域伪造流量来源路由器，是指转发了大量任意伪造IP攻击流量的路由器。由于我国要求运营商在接入网上进行源地址验证，因此跨域伪造流量的存在，说明该路由器或其下路由器的源地址验证配置可能存在缺陷，且该路由器下的网络中存在发动DDoS攻击的设备。

5、本地伪造流量来源路由器，是指转发了大量伪造本区域IP攻击流量的路由器。说明该路由器下的网络中存在发动DDoS攻击的设备。

在本报告中，一次DDoS攻击事件是指在经验攻击周期内，不同的攻击资源针对固定目标的单个DDoS攻击，攻击周期时长不超过24小时。如果相同的攻击目标被相同的攻击资源所攻击，但间隔为24小时或更多，则该事件被认为是两次攻击。此外，DDoS攻击资源及攻击目标地址均指其IP地址，它们的地理位置由它的IP地址定位得到。

DDoS攻击资源月度分析

1 控制端资源分析

根据CNCERT抽样监测数据，2018年10月，利用肉鸡发起DDoS攻击的控制端有282个，其中，46个控制端位于我国境内，236个控制端位于境外。

位于境外的控制端按国家或地区分布，美国占的比例最大，占39.8%，其次是法国和加拿大，如图1所示。

图1 本月发起DDoS攻击的境外控制端数量按国家或地区分布

位于境内的控制端按省份统计，贵州省占的比例最大，占34.8%，其次是江苏省、广东省和浙江省；按运营商统计，电信占的比例最大，占80.4%，联通占6.5%，如图2所示。

图2 本月发起DDoS攻击的境内控制端数量按省份和运营商分布

本月发起攻击最多的境内控制端前二十名及归属如表1所示，主要位于贵州省和广东省。

表1 本月发起攻击最多的境内控制端TOP20

2018年1月至今监测到的控制端中，4.2%的控制端在本月仍处于活跃状态，共计65个，其中位于我国境内的控制端数量为10个，位于境外的控制端数量为55个。持续活跃的境内控制端及归属如表2所示。

表2 2018年以来持续活跃发起DDOS攻击的境内控制端

2 肉鸡资源分析

根据CNCERT抽样监测数据，2018年10月，共有144,835个肉鸡地址参与真实地址攻击（包含真实地址攻击与其它攻击的混合攻击）。

这些肉鸡资源按省份统计，山东省占的比例最大，为20.4%，其次是江苏省、浙江省和福建省；按运营商统计，电信占的比例最大，为55.9%，联通占35.2%，移动占6.1%，如图3所示。

图3 本月肉鸡地址数量按省份和运营商分布

本月参与攻击最多的肉鸡地址前二十名及归属如表3所示，位于内蒙古自治区的地址最多。

表3 本月参与攻击最多的肉鸡地址TOP20

2018年1月至今监测到的肉鸡资源中，共计30,491个肉鸡在本月仍处于活跃状态，其中位于我国境内的肉鸡数量为27,289个，位于境外的肉鸡数量为3,202个。2018年1月至今被利用发起DDoS攻击最多的肉鸡TOP20及归属如表4所示。

表4 2018年以来被利用发起DDoS攻击数量排名TOP20,且在本月持续活跃的肉鸡地址

2018年1月至今持续活跃的境内肉鸡资源按省份统计，山东省占的比例最大，占23.2%，其次是江苏省、浙江省和福建省；按运营商统计，电信占的比例最大，占72.9%，联通占17.5%，移动占5.2%，如图4所示。

图4 2018年以来持续活跃的肉鸡数量按省份和运营商分布

3 反射攻击资源分析

根据CNCERT抽样监测数据，2018年10月，利用反射服务器发起的三类重点反射攻击共涉及2,406,009台反射服务器，其中境内反射服务器1,665,678台，境外反射服务器740,331台。反射攻击所利用Memcached反射服务器发起反射攻击的反射服务器有11,854台，占比0.5%，其中境内反射服务器8,287台，境外反射服务器3,567台；利用NTP反射发起反射攻击的反射服务器有742,702台，占比30.9%，其中境内反射服务器414,636台，境外反射服务器328,066台；利用SSDP反射发起反射攻击的反射服务器有1,651,453台，占比68.6%，其中境内反射服务器1,242,755台，境外反射服务器408,698台。

（1）Memcached反射服务器资源

Memcached反射攻击利用了在互联网上暴露的大批量Memcached服务器（一种分布式缓存系统）存在的认证和设计缺陷，攻击者通过向Memcached服务器IP地址的默认端口11211发送伪造受害者IP地址的特定指令UDP数据包，使Memcached服务器向受害者IP地址返回比请求数据包大数倍的数据，从而进行反射攻击。

根据CNCERT抽样监测数据，2018年10月，利用Memcached服务器实施反射攻击的事件共涉及境内8,287台反射服务器，境外3,567台反射服务器，数量较上月有所下降。

本月境内反射服务器数量按省份统计，河南省占的比例最大，占18.4%，其次是广东省、山东省和浙江省；按归属运营商或云服务商统计，电信占的比例最大，占44.1%，移动占比23.3%，联通占比18.5%，阿里云占比7.5%，如图5所示。

图5 本月境内Memcached反射服务器数量按省份、运营商或云服务商分布

本月境外反射服务器数量按国家或地区统计，美国占的比例最大，占24.9%，其次是俄罗斯、法国和中国香港，如图6所示。

图6 本月境外反射服务器数量按国家或地区分布

本月被利用发起Memcached反射攻击的境内反射服务器按被利用发起攻击数量排名TOP30的反射服务器及归属如表5所示，位于广东省和北京市的地址最多。

表5 本月境内被利用发起Memcached反射攻击事件数量中排名TOP30的反射服务器

近两月被利用发起攻击的Memcached反射服务器中，共计2,760个在本月仍处于活跃状态。近两月被持续利用发起攻击的Memcached反射服务器按省份统计，广东省占的比例最大，占24.2%，其次是浙江省、北京市、山东省和河北省；按运营商或云服务统计，电信占的比例最大，占30.4%，阿里云占23.5%，联通占15.8%，移动占14.5%，如图7所示。

图7 近两月被持续利用发起攻击的Memcached反射服务器数量按省份运营商或云服务商分布

（2）NTP反射服务器资源

NTP反射攻击利用了NTP（一种通过互联网服务于计算机时钟同步的协议）服务器存在的协议脆弱性，攻击者通过向NTP服务器IP地址的默认端口123发送伪造受害者IP地址的Monlist指令数据包，使NTP服务器向受害者IP地址反射返回比原始数据包大数倍的数据，从而进行反射攻击。

根据CNCERT抽样监测数据，2018年10月，NTP反射攻击事件共涉及我国境内414,636台反射服务器，境外328,066台反射服务器。

本月被利用发起NTP反射攻击的境内反射服务器数量按省份统计，河北省占的比例最大，占19.3%，其次是河南省、山东省和湖北省；按归属运营商统计，联通占的比例最大，占43.0%，移动占比34.1%，电信占比22.5%，如图8所示。

图8 本月被利用发起NTP反射攻击的境内反射服务器数量按省份和运营商分布

本月被利用发起NTP反射攻击的境外反射服务器数量按国家或地区统计，越南占的比例最大，占62.0%，其次是澳大利亚、巴西和美国，如图9所示。

图9 本月被利用发起NTP反射攻击的境外反射服务器数量按国家或地区分布

本月被利用发起NTP反射攻击的境内反射服务器按被利用发起攻击数量排名TOP30及归属如表6所示，位于广东省的地址最多。

表6 本月境内被利用发起NTP反射攻击的反射服务器按涉事件数量TOP30

近两月被持续利用发起攻击的NTP反射服务器中，共计176,240个在本月仍处于活跃状态，其中155,374个位于境内，20,866个位于境外。持续活跃的NTP反射服务器按省份统计，河北省占的比例最大，占25.6%，其次是湖北省、山东省和河南省；按运营商统计，联通占的比例最大，占44.9%，移动占35.0%，电信占19.2%，如图10所示。

图10 近两月被持续利用发起攻击的NTP反射服务器数量按省份运营商分布

（3）SSDP反射服务器资源

SSDP反射攻击利用了SSDP（一种应用层协议，是构成通用即插即用(UPnP)技术的核心协议之一）服务器存在的协议脆弱性，攻击者通过向SSDP服务器IP地址的默认端口1900发送伪造受害者IP地址的查询请求，使SSDP服务器向受害者IP地址反射返回比原始数据包大数倍的应答数据包，从而进行反射攻击。

根据CNCERT抽样监测数据，2018年10月，SSDP反射攻击事件共涉及境内1,242,755台反射服务器，境外408,698台反射服务器。

本月被利用发起SSDP反射攻击的境内反射服务器数量按省份统计，辽宁省占的比例最大，占20.2%，其次是浙江省、广东省和河南省；按归属运营商统计，联通占的比例最大，占53.7%，电信占比44.1%，移动占比1.8%，如图11所示。

图11 本月被利用发起SSDP反射攻击的境内反射服务器数量按省份和运营商分布

本月被利用发起SSDP反射攻击的境外反射服务器数量按国家或地区统计，俄罗斯占的比例最大，占24.3%，其次是意大利、中国台湾和美国，如图12所示。

图12 本月被利用发起SSDP反射攻击的境外反射服务器数量按国家或地区或地区分布

本月被利用发起SSDP反射攻击的境内反射服务器按被利用发起攻击数量排名TOP30的反射服务器及归属如表7所示，位于广东省和云南省的地址最多。

表7 本月境内被利用发起SSDP反射攻击事件数量中排名TOP30的反射服务器

近两月被持续利用发起攻击的SSDP反射服务器中，共计237,288个在本月仍处于活跃状态，其中192,827个位于境内，44,461个位于境外。近两月持续活跃的参与大量攻击事件的SSDP反射服务器按省份统计，辽宁省占的比例最大，占22.9%，其次是浙江省、广东省和吉林省；按运营商统计，联通占的比例最大，占54.6%，电信占41.2%，移动占3.8%，如图13所示。

图13 近两月被持续利用发起攻击的SSDP反射服务器数量按省份运营商分布

（4）发起伪造流量的路由器分析

1. 跨域伪造流量来源路由器

根据CNCERT抽样监测数据，2018年10月，通过跨域伪造流量发起攻击的流量来源于112个路由器。根据参与攻击事件的数量统计，归属于安徽省电信的路由器（61.X.X.25、61.X.X.8、61.X.X.26）参与的攻击事件数量最多，其次是归属于北京市电信（150.X.X.2、150.X.X.1）的路由器，如表8所示。

表8 本月参与攻击最多的跨域伪造流量来源路由器TOP25

跨域伪造流量涉及路由器按省份分布统计，北京市占的比例最大，占19.6%，其次是江苏省和四川省，归属于浙江省的跨域伪造流量来源路由器数量有明显下降；按路由器所属运营商统计，电信占的比例最大，占43.0%，联通占比30.7%，移动占比3.5%，如图14所示。

图14 跨域伪造流量来源路由器数量按省份和运营商分布

2018年度被持续利用转发DDoS攻击的跨域伪造流量来源路由器中，监测发现有82个在本月仍活跃，存活率为18.1%。按省份分布统计，北京市占的比例最大，占26.8%，其次是江苏省和四川省；按路由器所属运营商统计，电信占的比例最大，占45.2%，联通占比21.4%，移动占比2.4%，如图15所示。

图15 2018年被持续利用转发跨域伪造攻击流量本月仍活跃路由器数量按省份和运营商分布

2. 本地伪造流量来源路由器

根据CNCERT抽样监测数据，2018年10月，通过本地伪造流量发起攻击的流量来源于177个路由器。根据参与攻击事件的数量统计，归属于北京市电信的路由器（180.X.X.1、180.X.X.2、220.X.X.243、220.X.X.253）参与的攻击事件数量最多，其次是归属于吉林省联通的路由器（222.X.X.4、222.X.X.2、222.X.X.3），如表9所示。

表9 本月参与攻击最多的本地伪造流量来源路由器TOP25

本月本地伪造流量涉及路由器按省份分布，江苏省占的比例最大，占22.2%，其次是浙江省、河南省和山东省；按路由器所属运营商统计，电信占的比例最大，占49.7%，移动占比27.9%，联通占比10.4%，如图16所示。

图16 本地伪造流量来源路由器数量按省份和运营商分布

2018年被持续利用转发本地伪造流量DDoS攻击的路由器中，监测发现有156个在本月仍活跃，存活率为18.0%。按省份统计，江苏省占的比例最大，占15.4%，其次是浙江省、山东省和广东省；按路由器所属运营商统计，电信占的比例最大，占51.9%，移动占比27.2%，联通占比9.9%，如图17所示。

图17 2018年被持续利用且本月仍活跃的本地伪造流量来源路由器数量按省份运营商分布

下载完整报告：http://www.cert.org.cn/publish/main/upload/File/201810DDoS.pdf

声明：本文来自国家互联网应急中心CNCERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。