首页 ›资讯› 安全 › 查看内容

攻击者正滥用Microsoft RDP进行DDos反射放大攻击

2021-1-26 11:43 |来自: 互联网 3132 0

摘要: 远程桌面协议通常缩写为RDP，是Microsoft Windows功能的基础，主要用于用户通过Internet远程登录到另一设备。和许多需要身份验证的系统一样，RDP使用更长的位序列来响应登录请求，从而在客户端和服务器之间建立了连 ...

关键词： 攻击服务器反射协议 DDos 攻击者目标服务地址数据

远程桌面协议通常缩写为RDP，是Microsoft Windows功能的基础，主要用于用户通过Internet远程登录到另一设备。和许多需要身份验证的系统一样，RDP使用更长的位序列来响应登录请求，从而在客户端和服务器之间建立了连接。目前在暗网上存在booter/stresser的收费服务么，该服务被用于对给定的网络地址进行DDos攻击，直至其脱机。最近，该服务已经使用RDP作为放大攻击的一种新手段。
这种放大功能使攻击者仅拥有少量资源即可增强他们定向到目标的数据大小。该攻击的工作原理是通过发送少量的数据给服务器，通过服务器其对该数据放大，然后用将放大的数据包重定反射到目标客户产生Ddos的效果。放大的倍数可以为1到85.9到1，定向到RDP服务器的每秒10GB的请求，可以对目标地址产生大约860Gbps的DDos攻击。
DDoS攻击可追溯到几十年前。其中ICMP泛洪，ICMP反射泛洪，TCP SYN 泛洪，TCP LAND攻击是常见的Ddos攻击类型。随着互联网对这些协议进行封杀，攻击者也不断尝试使用新的媒介进行攻击。可用DDoS攻击放大器媒介包括：开放的DNS解析器（DNS反射攻击），物联网设备使用的WS-Discovery协议以及Internet的网络时间协议（NTP攻击）。这两年才出现基于memcached协议的最强反射攻击，其攻击放大系数最大可以达到5w倍。
DDoS放大攻击一般通过使用UDP协议，由于UDP协议的无序性，很容易被欺骗。攻击者通过使用假冒的UDP头骗过服务器，然后让服务器将放大的服务响应发送到给目标地址，导致目标地址被Ddos攻击。根据Netscout的攻击，目前Internet上大约有33000个RDP服务器可以被用来反射DDos攻击。
建议：用户如果必须要用RDP服务的用户通过限制服务器访问IP以及通过VPN访问的方式防止被恶意利用作为反射攻击源。