UDP reflection and amplification attacks 反射放大攻擊

http://blog.cloudflare.com/deep-inside-a-dns-amplification-ddos-attack

DNS reflection attack

攻擊：

$ dig +bufsize=4096 +dnssec any net.tw @DNS_SERVER

預防：

1. 關閉 Open resolvers
2.實作 BCP-38

NTP reflection attack

攻擊：

# nmap -sU -pU:123 -Pn -n --script=ntp-monlist TIME_SERVER

攻擊包：

from scapy.all import *
hexdump(NTP(version=2, mode=7, stratum=0, poll=3, precision=42))

預防：

1. 升級 NTP Server 到 4.2.7，移除了 monlist 命令
2. 在舊版的話，啓用 noquery。禁止模式 6,7 的查詢 (包括 monlist (mode 7))

References :
Deep Inside a DNS Amplification DDoS Attack | CloudFlare Blog
Hardening DNS Against Reflection Attacks « ShortestPathFirst

我的牌坊 » [译]圣诞节后黑客发动了大规模NTP-Reflection Attacks
ntp-monlist NSE Script