如下是Memcached型反射型DDoS攻擊的抓包樣本，從UDP協(xié)議+源端口11211的特征，可以快速分辨這種攻擊類型。
這種攻擊，發(fā)起攻擊者偽造成受害者的IP對互聯(lián)網(wǎng)上可以被利用的Memcached的服務發(fā)起大量請求，Memcached對請求回應。大量的回應報文匯聚到被偽造的IP地址源（也就是受害者），形成反射型分布式拒絕服務攻擊。
令人擔憂的一點是，利用Memcached可以數(shù)萬倍的放大報文，即返回的報文大小是請求大小的數(shù)萬倍，攻擊者可以利用非常少的帶寬即可發(fā)起流量巨大的DDoS攻擊。而NTP和SSDP反射攻擊一般只能放大數(shù)十倍到數(shù)百倍。Memcached放大反射DDoS攻擊因為其放大倍數(shù)能產(chǎn)生更大的破壞力。
攻擊態(tài)勢
隨著利用Memcached進行DDoS攻擊技術的公開，越來越多嘗試使用Memcached進行反射的DDoS發(fā)生，并且此類型DDoS攻擊正快速上升。
近期，黑客已經(jīng)掃描并收集全球可以被利用的MemcachedIP，并出現(xiàn)大量試探性超大流量Memcached DDoS攻擊，下一步Memcached大流量DDoS攻擊將成熟化并大量出現(xiàn)，成為黑客新的利器。
當前互聯(lián)網(wǎng)上的反射點數(shù)量及危害
整個互聯(lián)網(wǎng)可以用于Memcached反射的IP達到數(shù)十萬，為攻擊者提供了海量的軍火庫。
隨著超大流量DDoS發(fā)起難度降低，IDC和云服務商需要儲備更多的網(wǎng)絡帶寬用于防御，中小型IDC將很難應對這種超大規(guī)模DDoS攻擊，只有具備超大帶寬和運營商黑洞能力的云服務商才能有力應對。
目前，阿里云已提供Memcached安全配置建議，并在安騎士提供修復引導，幫助云上用戶修復Memcached風險。高防IP中已提供UDP反射封禁服務。
�。�1） 什么是Memcached？
Memcached 是一個高性能的分布式內(nèi)存對象緩存系統(tǒng)，用于動態(tài)Web應用以減輕數(shù)據(jù)庫負載。它通過在內(nèi)存中緩存數(shù)據(jù)和對象來減少讀取數(shù)據(jù)庫的次數(shù)，從而提高動態(tài)、數(shù)據(jù)庫驅動網(wǎng)站的速度。
�。�2） Memcached業(yè)務場景？
如果網(wǎng)站包含了訪問量很大的動態(tài)網(wǎng)頁，那么數(shù)據(jù)庫的負載將會很高。由于大部分數(shù)據(jù)庫請求都是讀操作，大部分讀較高的業(yè)務系統(tǒng)采用Memcached減少數(shù)據(jù)庫讀，實現(xiàn)緩存功能可以顯著地減小數(shù)據(jù)庫負載，提升網(wǎng)站性能。
�。�3） 為什么Memcached會被利用與反射放大DDoS攻擊？
- 由于Memcache（版本低于1.5.6）默認監(jiān)聽UDP，天然滿足反射DDoS條件
- 很多用戶將服務監(jiān)聽在0.0.0.0，且未進行iptables規(guī)則配置，這導致可以被任意來源IP請求
- Memcached反射的倍數(shù)達到數(shù)萬倍，非常利于用于放大報文倍數(shù)行成超大流量的DDoS攻擊
針對如何防范Memcached，阿里云安全專家有兩個方面的建議：
首先，如何避免被利用成為Memcached反射端：
建議對運行的Memccached服務進行安全檢查和加固，防止被黑客利用發(fā)起DDoS攻擊造成不必要的帶寬流量；
如果您的Memcached版本低于1.5.6，且不需要監(jiān)聽UDP。您可以重新啟動Memcached 加入 -U 0啟動參數(shù)，例如：Memcached -U 0，禁止監(jiān)聽在udp協(xié)議上
更多Memcached服務安全加固文檔：
https://help.aliyun.com/knowledge_detail/37553.html
如果您購買了阿里云云盾安騎士，您可以在安騎士控制臺根據(jù)引導進行修復。
第二，如何防護Memcached DDoS反射攻擊
建議優(yōu)化業(yè)務架構，將業(yè)務分散到多個IP上；
利用Memcached可以相對容易發(fā)起超大流量DDoS攻擊，防御Memcached攻擊需要儲備足夠的帶寬。如果遇到大流量反射攻擊，可以采購云清洗服務，并建議采用針對UDP反射進行過濾的云清洗服務。阿里云高防IP已推出UDP封堵服務。
參考鏈接：
https://blog.cloudflare.com/memcrashed-major-amplification-attacks-from-port-11211/
