अपने समय सर्वर का उपयोग करके हमला करें: NTP प्रवर्धन हमला (CVE-2013-5211)

13 जनवरी को, यूएस कंप्यूटर आपातकालीन तैयारी टीम (यूएस-सीईआरटी) ने डीडीओएस हमलों के लिए एक नई विधि के बारे में चेतावनी जारी की। संक्रमित कंप्यूटर एनटीपी सर्वर के लिए एक नकली प्रेषक आईपी पते के साथ एक मोनलिस्ट अनुरोध भेजते हैं। मोनलिस्ट अनुरोध अंतिम 600 ntpd क्लाइंट की सूची देता है। इस प्रकार, एक छोटे से अनुरोध के साथ, एक बड़ी यूडीपी धारा संक्रमित कंप्यूटर से पीड़ित को भेजी जाती है। यह प्रवर्धन का सार है।

एक असुरक्षित NTP सर्वर एक हमले के लिए एक अनैच्छिक मध्यस्थ बन जाता है।
एनटीपीडी के 4.2.7p26 तक संस्करण हमला करने के लिए असुरक्षित हैं (अब स्थिर 4.2.6 पीपी 5)।

कमांड चलाकर आप अपने सर्वर को भेद्यता के लिए जाँच सकते हैं

ntpdc -c monlist _ 

यदि कमांड क्लाइंट की सूची प्रदर्शित करता है ("समय समाप्त, प्राप्त कुछ नहीं"), तो सिस्टम असुरक्षित है।

उन्मूलन

कम से कम 3 तरीके:
1) ntpd को संस्करण 4.2.7p26 पर अपडेट करें। FreeBSD पर, बंदरगाहों को अपग्रेड करें और नेट / ntp-devel से ntpd स्थापित करें।

एक अद्यतन के बिना, आप कर सकते हैं:
2) एक पंक्ति जोड़कर ntp.conf में मोनलिस्ट को अक्षम करें

 disable monitor 

3) या डिफ़ॉल्ट रूप से प्रतिबंधित में किसी भी सर्वर स्थिति अनुरोध को अक्षम करें

 restrict default kod nomodify notrap nopeer noquery restrict -6 default kod nomodify notrap nopeer noquery 

आप शायद यह नहीं जानते होंगे कि आपका NTP सर्वर बाहर दिखाई दे रहा है (-: फिर उस तक पहुंच को पूरी तरह से अक्षम कर दें।

मैं नवंबर में इस समस्या से पीछे हट गया जब मेरे सार्वजनिक NTP स्ट्रैटम 1. net पर NTP ट्रैफिक 30GB प्रति घंटा हो गया। मैंने तुरंत इस पर ध्यान नहीं दिया, क्योंकि एटम प्रोसेसर पर भी, लोड 5% से कम था। फिर मैंने एक बैश स्क्रिप्ट लिखी जो पिछले आधे घंटे ( netflow के माध्यम से) सीमा फ़ायरवॉल ट्रैफ़िक के आँकड़ों को देखती थी और स्वचालित रूप से बहुत सक्रिय ग्राहकों के लिए इनकार नियम जोड़ देती थी। और दो महीने बाद यह स्पष्ट हो गया कि यह क्या था।

सूत्रों का कहना है:

support.ntp.org/bin/view/Main/SecurityNotice#DRDoS_Amplification_Attack_using
www.kb.cert.org/vuls/id/348126
www.opennet.ru/opennews/art.shtml?num=38855

PS हाल के एक विषय में , vmware esxi के हमले के एक विशेष मामले का वर्णन किया गया था।