1. 引言
反射放大攻击是 DDoS 家族中极具威胁性的一类攻击方式。攻击者无需控制大量真实主机，仅需伪造少量请求，就能借助互联网上大量无辜的公共服务，将攻击流量放大数十倍甚至数百倍，最终汇聚到受害者身上。本文将从底层原理出发，拆解 UDP 反射放大攻击的完整链路，并给出切实可行的识别与防御思路。
2. 什么是反射放大攻击
反射放大攻击由两个核心要素构成：反射 与放大。
- 反射：攻击者伪造源 IP 地址，向大量开放 UDP 服务的服务器发送请求，这些服务器将响应发送到伪造的源地址，即受害者。攻击者本身并不直接接触受害者。
- 放大：攻击者精心挑选那些响应体积远大于请求体积的服务，用很小的请求流量换取巨大的响应流量，实现流量放大。
由于 UDP 协议本身无连接、不校验源地址，攻击者可以轻松伪造源 IP，这使得反射放大攻击难以追溯到真正的攻击源头。
3. 底层原理：UDP 协议的无状态特性
要理解反射放大攻击，必须先理解 UDP 协议的设计特点。
UDP（User Datagram Protocol）是一种无连接的传输层协议。与 TCP 不同，UDP 在发送数据前不需要建立三次握手，接收方收到数据报后也不会确认是否收到。这种设计带来了两个关键后果：
- 源地址可伪造：由于没有握手和确认机制，发送方可以随意填写 IP 头中的源地址字段，接收方无法验证该地址是否真实。
- 无状态处理：UDP 服务器在处理请求时，不会维护连接状态，只要收到数据报就进行处理并回复，这为攻击者提供了可乘之机。
正是这两个特性，让攻击者能够以极低的成本发起大规模反射攻击。
4. 攻击链路拆解
一次完整的 UDP 反射放大攻击，通常包含以下五个环节：
- 扫描与收集：攻击者通过互联网扫描，收集大量开放特定 UDP 服务的服务器，这些服务器被称为反射器。
- 伪造源地址：攻击者将受害者的 IP 地址填入数据报的源地址字段。
- 发送触发请求：攻击者向反射器发送精心构造的请求数据报，请求内容通常是能够触发大响应的小请求。
- 反射器响应：反射器收到请求后，将响应数据报发送到伪造的源地址，即受害者。
- 流量汇聚：大量反射器的响应流量在短时间内汇聚到受害者，耗尽受害者的带宽或系统资源，导致服务不可用。
整个过程中，攻击者只需要发送少量请求，就能驱动大量反射器向受害者发起流量冲击。
5. 常见放大向量与放大倍数
不同的 UDP 服务具有不同的放大倍数，攻击者通常会选择放大倍数高、部署广泛的服务作为反射器。以下是几种常见的放大向量：
| 服务 | 默认端口 | 请求大小 | 响应大小 | 放大倍数 |
|---|---|---|---|---|
| DNS | 53 | 约 60 字节 | 约 4000 字节 | 约 60 倍 |
| NTP | 123 | 约 90 字节 | 约 5500 字节 | 约 60 倍 |
| Memcached | 11211 | 约 15 字节 | 约 750000 字节 | 约 50000 倍 |
| SSDP | 1900 | 约 50 字节 | 约 7500 字节 | 约 150 倍 |
| CLDAP | 389 | 约 60 字节 | 约 7000 字节 | 约 100 倍 |
其中，Memcached 曾创下高达 50000 倍的放大纪录，成为 DDoS 攻击史上最著名的放大向量之一。
6. 识别方法：如何发现反射放大攻击
对于网络运维人员和安全团队来说，及时识别反射放大攻击是防御的第一步。以下是几种有效的识别手段：
6.1 流量特征分析
- 源端口集中：大量攻击流量来自少数几个 UDP 端口，如 53、123、11211 等，且这些端口并非业务所需端口。
- 目的 IP 单一：大量 UDP 流量汇聚到同一个目标 IP，且流量来源分散在大量不同 IP 上。
- 流量突增：目标服务器的入向带宽在短时间内急剧上升，远超正常业务峰值。
- 协议单一：攻击流量几乎全部为 UDP，且协议类型集中在少数几种服务上。
6.2 日志与抓包分析
在边界路由器或防火墙处进行抓包，观察数据报的源地址分布。如果发现大量不同源 IP 的 UDP 数据报都指向同一目标，且源端口高度集中，基本可以判定为反射放大攻击。
6.3 与正常流量对比
建立正常业务流量的基线，包括带宽占用、源端口分布、数据报大小等。当实时流量偏离基线时，触发告警并进一步分析。
7. 防御思路
反射放大攻击的防御需要从多个层面协同推进，单一手段难以完全奏效。
7.1 网络层防御
- 入口过滤（BCP38）：在边界路由器上实施源地址验证，丢弃源地址不属于内部网络的伪造数据报，从源头阻断反射攻击。
- 限速与流量清洗：在骨干网或 IDC 出口部署流量清洗设备，对异常 UDP 流量进行限速或丢弃。
- 黑洞路由：当攻击流量超过阈值时，将目标 IP 的流量引导至黑洞路由，牺牲该 IP 以保护整体网络。
7.2 服务层防御
- 关闭不必要的 UDP 服务：对于不需要对外提供服务的 UDP 端口，一律关闭或限制访问来源。
- 限制响应来源：对于 DNS、NTP 等服务，配置只响应来自可信来源的请求，避免被利用为反射器。
- 升级服务版本：及时更新服务软件，修复已知的放大漏洞，如限制 NTP monlist 请求、Memcached 禁用 UDP 等。
7.3 协同防御
与上游 ISP 和云服务商建立联动机制，在遭受大规模攻击时，及时请求上游进行流量清洗或黑洞路由，缩短攻击影响时间。
8. 总结
反射放大攻击之所以难以防御，根源在于 UDP 协议的无状态特性和互联网上大量可被利用的公共服务。理解其底层原理，是制定有效防御策略的前提。通过入口过滤、服务加固、流量清洗等多层手段协同配合，可以显著降低反射放大攻击的风险。对于企业而言，建立常态化的流量监控和应急响应机制，是应对此类攻击的关键保障。