WooYun Zone镜像——打造TB级流量DDoS大杀器,超级流量反射放大攻击系统

admin 7月前 144

打造TB级流量DDoS大杀器

insight-labs (Root Yourself in Success) | 2013-08-26 20:43

zmap扫遍ipv4地址的udp 53端口,或者某安全意识薄弱国家的ip段

然后编程序,多线程udp异步验证是否为开放式的服务器:

方法:

在自己控制的域名下面建立一个TXT字段,里面随便放点啥。

直接生成dns查询数据包,不要用系统自带的查询功能,以获得最高性能的查询。

按照那些ip地址批量发送查询指定域名TXT字段的数据包,哪个ip返回的dns回复里面有你在域名DNS TXT里设定的值,就说明那个ip存在open resolver。

搜集完整后,可以对ip列表进行进行reverse dns查询,确定所属的运营商或公司。根据ip归属,可以大体按带宽来分类,比如大ISP的是A类,带宽最高,中型ISP是B类等等。

然后搜集一些有DNS域传送漏洞的域名(里面东西越多越好),或者用了DNSsec的,或者TXT里有大量内容的域名(最好不要用自己的……)。这些用来做payload,返回数据越大越好,域传送的最好不过了。

直接生成查询域传送域名的数据包,伪造sender ip,raw_socket发送……

放大效果在50倍-1000倍左右。

如果使用得当的话,1个G口带宽服务器能达到1TB的理论反射流量

相关讨论:

1#

无敌L.t.H (:?门安天京北爱我) | 2013-08-26 20:45

其实放大倍数没这么大

2#

insight-labs (Root Yourself in Success) | 2013-08-26 20:53

@无敌L.t.H

变量很多,选用服务器的带宽,dns服务器的带宽,payload等等都会影响。不过基本上用的好的话都能有100倍左右的放大。

3#

无敌L.t.H (:?门安天京北爱我) | 2013-08-26 20:58

@insight-labs 其实最开始是BGP反射,射挂一堆骨干路由。

4#

whirlwind (我们天真的梦在哪里?我们的快乐遗落在哪里?相信自己你最了不起,没人可以,对你的梦看不起。) | 2013-08-26 22:33

好高级的样子,,没研究过这些,求详解。。

5#

陈再胜 (http://t.qq.com/mibboy求收听) | 2013-08-26 23:05

今天啊D网站被D是你干的把······

6#

Ki11 (????????????????????????????) | 2013-08-27 07:35

好像很牛逼的样子

7#

insight-labs (Root Yourself in Success) | 2013-08-27 11:23

@陈再胜 我对ddos兴趣不大,比较喜欢7层DoS,这才是比较有技术含量的事情。

8#

九九 (你说我是禽兽,可我连禽兽都不如。) | 2013-08-27 13:54

@insight-labs 啥是7层DOS

9#

insight-labs (Root Yourself in Success) | 2013-08-27 14:24

@九九 利用应用层的漏洞,比如slow loris,slow post,php的hash碰撞导致hash table退化成链表等等

10#

九九 (你说我是禽兽,可我连禽兽都不如。) | 2013-08-27 14:48

@insight-labs 好高端。

11#

_Evil (年轻人切忌浮躁,性趣是最好的导师.) | 2013-08-27 16:20

@insight-labs 其实我膜拜你很久了只是不好意思说出来...

12#

khjian | 2013-08-27 17:15

@insight-labs 不明觉厉!

13#

Mujj (我主要是不太会说话,如有冒犯,你他妈来打我啊。) | 2013-08-27 17:40

最牛B的DDOS是用AS广播别人的IP为自己的,然后他就宕了。

14#

无敌L.t.H (:?门安天京北爱我) | 2013-08-27 18:02

@Mujj 以前某省电信收回过8.8.8.8这一不可侵犯的神圣IP,转到自己的机房……

15#

insight-labs (Root Yourself in Success) | 2013-08-27 19:09

@无敌L.t.H @Mujj

这是路由污染,要么拿下主干网BGP路由,要么自己是GFW

16#

_Evil (年轻人切忌浮躁,性趣是最好的导师.) | 2013-08-29 12:39

@insight-labs 这个思路真的不错~! 直接生成查询域传送域名的数据包,伪造sender ip,raw_socket发送……

自己空间准备好待查询的DNS TXT ->>>找53端口批量查询->>>>哪个返回了证明哪个open resolver->>>>最后找多点存在DNS传送域漏洞的网站然后伪造sender ip,raw_socket发送……

结果是:被伪造攻击的IP受到四面八方的数据包返回挂死了....

17#

insight-labs (Root Yourself in Success) | 2013-08-29 21:37

@_Evil

对啊,dns反射攻击不就是这样的么

18#

9k九块钱 | 2013-08-30 01:41

ddos有娱乐的价值,但重来没有研究过

19#

CplusHua (都是被逼的~) | 2013-08-30 03:08

楼主的思路很好,这个思路之前在一次攻击报道中也见过。大量的UDP 53端口返回的信息直接导致服务器宕机,不过过滤此类攻击也很简单,只要限制源端口为53的UDP包就可以过滤掉了,不知道有没有办法可以绕过这种过滤机制。

20#

liner (/\) | 2013-08-30 06:57

dongtaiwang最近被攻击是楼主干的吗

21#

insight-labs (Root Yourself in Success) | 2013-08-30 08:08

@CplusHua 看在那个点过滤了,TB级可以把机房都干掉了

22#

insight-labs (Root Yourself in Success) | 2013-08-30 09:04

@liner 本组织政治中立


最新回复 (0)
返回
发新帖