反射放大攻击的核心是“借力打力”：攻击者伪造源IP发出极小请求，借助开放反射器返回的大响应，把流量成倍压向受害者；放大效果取决于协议响应比、反射器数量和链路带宽。 你可以把反射器想成扩音器，攻击者只对着话筒说一句话，受害者听到的却是成排音箱叠加后的轰鸣，理解这个机制,防御才有抓手。
反射放大攻击为什么请求小响应大？
小请求如何撬动大响应
反射放大攻击通常分三步走，第一步，攻击者控制少量主机，向互联网上的开放DNS、NTP、SSDP、Memcached等服务发送查询请求，第二步，请求的源IP被伪造成受害者IP，第三步，反射器把响应发回“看起来是受害者”的地址,受害者收到的是远大于请求体积的流量。
- 攻击者成本低：一条小查询包即可触发响应。
- 反射器数量多：配置不当的服务器、路由器、物联网设备都可能被利用。
- 追踪难度高：受害者看到的是反射器IP,不是真实攻击源。
- 放大不只看体积：包量放大同样会压垮会话表和带宽。
据国家互联网应急中心公开信息，开放DNS递归、NTP、SSDP等服务长期是反射放大攻击的重要跳板，业内专家指出，反射放大的关键不是攻击者自己发多少流量，而是能调动多少“帮凶”设备。
常见反射协议对比
| 协议/服务 | 常见端口 | 请求特征 | 响应特征 | 放大潜力 | 处置重点 |
|---|---|---|---|---|---|
| DNS | 53/UDP | 小查询包 | 可能返回较大记录集 | 较高 | 关闭开放递归，限制ANY查询 |
| NTP | 123/UDP | 小控制请求 | 可能返回较大列表 | 较高 | 关闭monlist，限制查询来源 |
| SSDP | 1900/UDP | 小发现请求 | 设备描述响应较大 | 中等偏高 | 关闭公网UPnP发现 |
| Memcached | 11211/UDP | 小get请求 | 可能返回大缓存值 | 极高 | 禁用UDP，绑定内网 |
| CLDAP | 389/UDP | 小查询 | 目录响应较大 | 较高 | 限制公网访问 |
| CharGen | 19/UDP | 小字符请求 | 持续字符响应 | 较高 | 直接封禁 |
表格里的“较高”“极高”是相对判断，不是精确倍数，真实放大效果受响应内容、链路MTU、反射器带宽和攻击编排影响。请求通常只有几十字节，响应可能膨胀到数KB甚至更大，再乘以成千上万个反射器,就可能形成成倍增压。
放大倍数的真实来源
放大倍数不是单一数字，它由协议响应比、反射器在线数量、攻击持续时间、受害者入口带宽共同决定，多数情况下，攻击者会混合使用DNS、NTP和SSDP，让防御设备难以用单一规则识别。包量放大和带宽放大要分开看：有的反射响应单包不大，但包数量多，先打满防火墙新建连接；有的单包很大,直接压垮出口带宽。
你可以在自己的服务器上做基础自查：
ss -lunp tcpdump -nn -i eth0 udp and port 53
第一条命令查看本机开放的UDP服务，第二条命令抓取DNS相关UDP流量，发现对公网开放且不需要的UDP服务,优先关闭或限制来源。
DDoS反射放大攻击防御方案多少钱？
价格由什么决定
反射放大防护没有统一价，费用通常由保底带宽、清洗容量、协议识别能力、接入方式、SLA和地域资源决定，基础云防护套餐和运营商清洗服务价格跨度较大，不能只看“多少G防护”一个参数。
- 保底带宽：业务正常峰值越大,保底成本越高。
- 清洗容量：能否扛住突发大流量,决定套餐档位。
- 协议识别：能否区分DNS反射、NTP反射和普通UDP泛洪。
- 接入方式：DNS牵引、BGP引流、本地设备串联,成本和时延不同。
- SLA：7×24响应和分钟级切换通常计入价格。
不要只看报价单上的“防护峰值”，有些方案标称清洗能力高，但对UDP反射的包量攻击识别较慢；有些方案价格低,但需要你自行处理运营商侧牵引。
自建、云清洗、运营商清洗对比
| 方案 | 成本特点 | 响应速度 | 适用场景 | 注意点 |
|---|---|---|---|---|
| 自建清洗设备 | 前期投入高，日常运维重 | 本地快，受出口带宽限制 | 流量稳定、合规要求高 | 清洗容量受机房带宽约束 |
| 云清洗服务 | 按套餐或弹性计费 | 分钟级牵引 | 网站、API、游戏登录 | 关注回源带宽和时延 |
| 运营商清洗 | 通常结合专线或增值服务 | 靠近骨干网，容量较大 | 大流量攻击、地域集中 | 开通流程和联动机制要提前确认 |
| 混合方案 | 成本组合灵活 | 视调度策略而定 | 核心业务+边缘业务 | 需要统一监控和切换预案 |
上海地区企业反射放大攻击防护怎么选
上海地区企业选防护，先看本地出口和业务时延，金融、贸易、在线服务对回源时延敏感，适合优先评估本地运营商清洗和云清洗POP就近接入，行业共识认为，防护方案要结合本地出口带宽、业务时延要求和等保义务，而不是只比较每G单价，跨境电商或面向全国用户的业务，可以把上海作为主接入点,再叠加异地清洗做备份。
企业网站遭遇反射放大攻击怎么办？
先判断是不是反射放大
典型现象包括：入向UDP流量突然升高、源IP分散且多为常见服务端口、网站并未出现应用层异常但出口带宽被打满、防火墙会话数暴涨,你可以先抓包看响应包大小和端口分布：
tcpdump -nn -i eth0 udp and port 53 -c 100 tcpdump -nn -i eth0 udp and port 123 -c 100
如果大量包来自不同反射器，且请求端口集中在53、123、1900、11211等,基本可以判断为反射放大类型。
10分钟应急清单
- 立即联系云服务商或运营商，说明遭受UDP反射放大攻击,申请流量清洗或临时黑洞。
- 在云防火墙或边界设备启用UDP Flood防护,设置包速率和带宽阈值。
- 对非核心业务端口做临时限速,优先保住网站主站和支付链路。
- 保留抓包证据，记录攻击目的IP、反射器IP、端口和时间段。
- 检查自身是否运行开放DNS递归、NTP、SSDP等服务,发现后立即限制公网访问。
- 通知上游CDN或接入商,确认回源链路是否被攻击流量挤占。
攻击后的加固动作
边界路由器可评估启用uRPF入口过滤，减少伪造源IP包进入，主机侧用ACL限制不需要的UDP端口,例如关闭Memcached公网UDP：
iptables -A INPUT -p udp --dport 11211 -j DROP
云安全组中删除对公网开放的11211、1900等入方向规则，DNS递归服务器只对授权网段开放，NTP关闭monlist类查询，监控侧采集NetFlow或sFlow,重点看入向UDP包速率和反射器端口分布。
UDP反射放大攻击和TCP攻击区别
| 对比项 | UDP反射放大 | TCP类攻击 |
|---|---|---|
| 连接状态 | 无连接，易伪造源IP | 需握手或半连接，状态明显 |
| 流量方向 | 反射器向受害者回大响应 | 攻击流量多直接指向目标 |
| 放大方式 | 借协议响应比放大 | 借连接耗尽或带宽压制 |
| 防御重点 | 入口过滤、关闭开放服务、清洗 | SYN Cookie、连接限制、清洗 |
| 追踪难度 | 反射器分散，源IP伪造 | 可结合连接状态分析 |
为什么UDP反射更难防
UDP没有握手，源IP伪造成本低，反射器分布在不同网络，受害者很难逐个封禁，攻击者还会混合多个协议，让单一端口封禁失效，防御要把入口过滤、反射器治理和流量清洗组合起来,不能只靠受害者侧加黑名单。
把放大倍数压下去的加固清单
反射器侧：关闭不必要的UDP服务
| 服务 | 端口 | 处置动作 |
|---|---|---|
| DNS递归 | 53 | 仅对授权客户端开放，关闭开放递归 |
| NTP | 123 | 升级并关闭monlist，限制查询来源 |
| SSDP/UPnP | 1900 | 公网接口关闭发现功能 |
| Memcached | 11211 | 禁用UDP，绑定127.0.0.1或内网 |
| CLDAP | 389 | 限制公网访问，最小化暴露面 |
网络侧：入口过滤与限速
在边界设备启用uRPF或等价源地址校验，减少伪造源IP，对UDP入向流量设置分级限速，对DNS、NTP等常见反射端口做异常包检测，大流量场景可评估BGP Flowspec下发丢弃或限速规则，操作路径上，先小范围灰度，再逐步扩大,避免误伤正常DNS查询。
监控侧：看入向UDP异常
采集出口和入口流量，按协议、端口、包大小、源IP分散度做基线。单包响应明显大于请求、源IP高度分散、目标端口集中，就是值得告警的组合特征，把清洗演练纳入日常运维,确认牵引切换时间符合业务容忍度。
反射放大攻击常见问题Q&A
反射放大攻击一定需要大量僵尸网络吗？
不一定，反射放大更依赖开放反射器和源IP伪造能力，攻击者用少量控制端就能调动较多反射器，因此不能只按“肉鸡数量”评估风险。
只封受害者端口能解决反射放大攻击吗？
不能，反射流量来自外部反射器，封受害者端口只能减少业务暴露，不能阻止带宽被占满，有效做法是入口过滤、关闭开放服务、运营商或云清洗联动。
云清洗能100%防住反射放大攻击吗？
不能保证100%，清洗效果取决于清洗容量、协议识别精度、牵引速度和回源链路，对超大流量或混合攻击，仍需运营商协同和业务侧限流预案，反射放大攻击的防御本质是压缩可用反射器数量、过滤伪造源IP,并保留足够的清洗余量。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/787877.html
