开放DNS解析器、NTP的monlist功能、Memcached默认无认证实例、SSDP/CLDAP发现协议，这四类UDP服务最容易被黑客当成反射放大攻击的“免费扩音器”。它们的共同点是：请求包小、响应包大、协议天生无连接、大量设备出厂即开放，如果你的服务器上跑着其中任何一种，又没有做访问控制，那你可能已经在不知情中替别人打DDoS了。
反射放大为什么盯上UDP
UDP协议天生适合“借刀杀人”
反射放大攻击的逻辑很朴素：攻击者伪造受害者IP，向互联网上大量开放UDP服务发送小请求，服务把大得多的响应包砸向受害者，攻击者自己几乎不出带宽，放大倍数全由协议设计决定。
TCP要三次握手,伪造源IP基本走不通，UDP不需要握手，服务器收到包就回，源IP是不是真的它根本不验证，这个特性本身不是漏洞，但配上“小请求大响应”的协议，就成了放大器。
一个合格反射源要满足三个条件
- 服务对公网开放,且没有IP白名单或速率限制
- 响应体积明显大于请求体积,放大倍数越高越抢手
- 协议交互简单,攻击者可以批量扫描和利用
业内专家指出,扫描全网开放UDP服务早已工具化，一个存在缺陷的协议从被披露到被大规模利用，窗口期往往只有几天。
哪些UDP端口容易被DDoS利用
DNS：开放递归解析器是经典靶子
DNS查询一个几十字节的包,响应可能几百甚至上千字节，开放递归解析器允许任何人从任何IP发起递归查询，攻击者伪造源IP后，把ANY记录或DNSSEC相关查询打过去，响应全流向受害者，近年来ANY记录查询在多数递归服务器上已被限制，但配置不当的解析器仍然存在。
自查方法很直接,从外部机器执行：
dig @你的服务器IP example.com ANY如果返回了完整记录而不是拒绝或超时,说明它对公网开放递归，正确配置是在named.conf或unbound配置里只允许内网网段递归，allow-recursion 写死可信地址段。
NTP：monlist命令的放大倍数是“教科书级”
老版本NTP服务的monlist功能,一个请求能返回最近600个客户端列表，放大倍数在业界被反复引用为数百倍，虽然现代NTP实现默认关闭monlist，但物联网设备、老旧路由器、未升级的嵌入式系统里仍大量存在。
验证命令：
ntpdc -c monlist 目标IP有响应就说明该功能开着,加固方式是把NTP升级到新版，配置里加 disable monitor，并在边界防火墙封掉外部对UDP 123的非常规查询。
Memcached：一个被低估的“万倍放大器”
Memcached默认监听UDP 11211，且早期版本没有认证，攻击者写入一个键值后，用伪造源IP发统计查询，响应体积可达请求的数千倍，这个协议在反射放大圈子里被公开讨论后，大量暴露在公网的实例被迅速利用。
检查端口是否对外：
nmap -sU -p 11211 你的公网IP加固要点：关闭UDP监听（启动参数加 -U 0），只绑定127.0.0.1或内网地址，边界防火墙默认拒绝11211。
SSDP与CLDAP：物联网和域环境里的隐形放大器
SSDP是UPnP设备发现协议,UDP 1900端口，大量家用路由器、智能摄像头、打印机默认响应M-SEARCH请求，响应里的设备描述URL比请求大得多，CLDAP是LDAP的无连接版本，UDP 389，域控制器默认响应，响应包体积可观，这两类服务的特点是“没人觉得自己需要它”，但设备出厂就开着。
怎么查自己的服务器有没有中招
从外到内做一次UDP暴露面盘点
别只信本机 netstat，要从公网视角扫，用授权范围内的扫描器对公网IP做UDP探测，重点看123、389、1900、5353、11211这几个端口，本机侧再用 ss -ulnp 对照监听列表，把“监听在0.0.0.0”且协议无认证的服务全部标出来。
配置清单比扫描结果更重要
扫描只能看到当下,配置才决定长期，逐项核对：
- DNS递归是否限定来源网段
- NTP是否关闭monlist、是否只对内网提供
- Memcached是否禁用UDP
- SSDP/UPnP是否在不需要时彻底关闭
- 边界ACL是否默认拒绝入站UDP,只放行确有业务需要的端口
行业共识认为,多数反射放大事件中，被利用的服务并非业务必需，而是“装完就忘了关”的默认配置。
Memcached放大攻击怎么消停：加固路径实操
分三步收口
- 关协议：非必要不监听UDP，Memcached加
-U 0，NTP加disable monitor，DNS关掉公网递归。 - 限来源：必须保留的服务，绑定内网地址，防火墙只放行可信网段，云环境优先用安全组而非主机防火墙做第一道过滤。
- 加监测：对UDP出向流量做基线，单IP短时间内大量大包外发、目的地址分散，基本就是被当反射源了。
一个容易被忽略的细节
出向流量限速同样重要,即使服务配置正确，一旦被利用，出向带宽被打满会直接影响同机房其他业务，在交换机或云平台侧对UDP出向设阈值，是成本最低的止损手段。
常见疑问
哪些UDP端口容易被DDoS利用，是不是关掉就万事大吉
不是,端口只是表象，根因是服务对公网开放且无来源校验，关端口有效，但更稳妥的做法是按“默认拒绝入站UDP、按业务白名单放行”的原则重建边界策略，出向也要管，否则内网一台被控主机照样能向外发起反射攻击。
开放DNS解析器有什么风险，内网用也需要改吗
风险在于被伪造源IP利用,把你的带宽和信誉一起消耗掉，内网递归服务器如果只服务内部地址段，本身没问题；问题出在“监听0.0.0.0且allow-recursion写成any”这类配置被带到公网环境，检查配置时看两处：监听地址和递归来源限制，两者都收紧才算闭环。
NTP反射放大攻击原理是什么，普通企业也要防吗
原理是伪造源IP发monlist类查询,服务把数百倍于请求的响应打向受害者，普通企业同样要防，因为办公网里的老设备、分支路由器、监控NVR都可能自带开放NTP，处置方式统一：升级固件、关闭monitor、边界封禁外部对UDP 123的非必要查询，这类服务一旦暴露，被扫描到只是时间问题。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/787881.html
