【漏洞分析】DDOS攻防分析

0x00 UDP攻击实例

2013年12月30日，网游界发生了一起“追杀”事件。事件的主角是PhantmL0rd（这名字一看就是个玩家）和黑客组织DERP Trolling。

PhantomL0rd，人称“鬼王”，本名James Varga，某专业游戏小组的成员，同时是美国最大的在线游戏直播平台Twitch的知名和资深视频博主，经常一边参加游戏对战一边实况直播。

DERP Trolling，一个成立于2011年的黑客组织，本次事件中专门以“PhantomL0rd”实况直播的游戏为攻击目标，一旦成功弄倒目标，便会在推特上发布战果。

事情看上去很简单。这一天，PhantmL0rd连续在多场游戏对战中遭到DERP Trolling的“追杀”：凡是PhantmL0rd参加的网络游戏，都不同程度地遭到了DERP Trolling的DDoS攻击。英雄联盟、EA官网、暴雪战网、DOTA2官网、企鹅俱乐部等等知名游戏网站都因遭到DDoS攻击而瘫痪。哎，不过想要玩个游戏而已，怎么就这么难？

然而，随着事件的不断被挖掘和曝光，知道真相的玩家们哭了。调查发现，一直被认为是受害者的PhantomL0rd实际上恰恰是这次事件的幕后主使。这是什么原因呢？

原来，PhantomL0rd经常参加一些游戏对战比赛，既然是比赛就会有胜有负。但是PhantomL0rd为了保住自己“王”的地位，就偷偷地和DERP Trolling串通：一旦比赛过程中PhantomL0rd打不过对手，DERP Trolling就登场，向游戏服务器发动DDoS攻击，让比赛异常终止，这样PhantomL0rd就有翻盘的机会。

这次事件的曝光不仅让PhantomL0rd颜面尽失，还让DERP Trolling使用的这个DDoS攻击手段“火”了一把。那么DERP Trolling到底使用了什么手段呢？

DERP Trolling在这次“追杀”事件中，采用的是NTP反射放大攻击。从记载来看，DERP Trolling应该是第一个利用NTP服务器进行大规模反射放大攻击的黑客组织。这次“追杀”事件之后，NTP反射放大攻击一夜之间变得非常火热。2014新年的第一周，NTP反射放大攻击占到了DDoS攻击流量的69%。

什么是NTP反射放大攻击？

我们先来看看什么是NTP。NTP，全称是Network Time Protocol，网络时间协议。顾名思义，NTP是一种用于保证网络中的计算机时间同步的协议。在网络中，计算机的时间同步非常的重要。比如发射火箭，如果每台计算机时间都不同，那么发射的时候应该以哪台计算机为准呢？

NTP协议采用服务器-客户端模型，提供了高精准度的时间校正机制。在网络中，NTP客户端不以自己的时间为准，而是每隔一段时间从NTP服务器同步更新自身时间。NTP协议定义了NTP服务器的层次结构，通过逐层传播，实现时间同步。因为上游NTP服务器通常是高精度而可靠的时钟源，如原子钟、卫星、天文台等，时间同步的精度得到了保证。