NTP服务支持monlist命令漏洞修复方案

最新推荐文章于 2023-11-07 10:33:51 发布

原创最新推荐文章于 2023-11-07 10:33:51 发布 · 9.3k 阅读

10 ·

CC 4.0 BY-SA版权

文章标签：

#linux漏洞 #monlist #ntp #漏洞修复

linux漏洞专栏收录该内容

3 篇文章

订阅专栏

本文介绍如何通过禁用NTP服务中的monlist功能来防止反射放大DoS攻击。monlist曾被用于获取IP信息，导致内网IP泄露。文章提供了具体的禁用步骤，包括修改配置文件、重启服务及验证禁用效果。

monlist命令可以用来获取当前活动IP。某些网络设备(比如家用路由器)预配置了一个确定的NTP Server，利用monlist就可以找到这些设备。NTP Server会泄露客户机的内网IP。利用该命令还可以进行DDOS攻击。

放大反射dos攻击由CVE-2013-5211所致。且这漏洞是与molist功能有关。Ntpd4.2.7p26之前的版本都会去响应NTP中的mode7“monlist”请求。ntpd-4.2.7p26版本后，“monlist”特性已经被禁止，取而代之的是“mrulist”特性，使用mode6控制报文，并且实现了握手过程来阻止对第三方主机的放大攻击。

操作步骤：

[deployer@byit ~]$  ntpdc
ntpdc> monlist
remote address          port local address      count m ver rstr avgint  lstint
===============================================================================
132.35.74.19             123 10.249.216.12    3730188 4 4      0     16       0
132.35.74.18             123 10.249.216.12    3729746 4 4      0     16       6
132.35.74.20             123 10.249.216.12    3729911 4 4      0     16       9
132.35.74.21             123 10.249.216.12    3729649 4 4      0     16       9
10.249.253.111         49149 10.249.216.12         64 3 2      0  82105 1877108
10.253.4.16            52714 10.249.216.12          1 3 2      0 5000879 5000879
ntpdc> quit

可获取IP地址等信息

1，修改配置文件

    echo "disable monitor" >> /etc/ntp.conf

2，重启NTP服务

sudo service ntpd restart

3，查看该服务已关闭

[deployer@byit ~]$ ntpdc
ntpdc>  monlist
localhost: timed out, nothing received
***Request timed out
ntpdc>  quit

此时monlist已经被禁止了，也不会影响其时间同步