hiddos

近日，一种新型攻击技术被发现，能够针对基于用户数据报协议（UDP）的网络系统发起循环拒绝服务（DoS）攻击，这种攻击能够在两个网络应用之间形成循环，无限期地阻断合法访问其服务器。

这项由德国研究公司CISPA发现的攻击技术，是一种针对应用层的攻击，目标是运行易受攻击传输层协议——UDP的系统。UDP由于其无连接的特性，本质上缺乏请求验证，从而容易受到此类攻击。

CISPA在其博客中表示：“应用层循环DoS攻击依赖于IP欺骗，并且可以从单个能够进行欺骗的主机触发。攻击将两个网络服务配对，使它们无限期地响应彼此的消息。”

UDP是一种传输层协议，负责在通过网络系统通信的应用层协议传输数据包。UDP专为时间敏感的传输设计，如视频播放或DNS查询，其无连接原则使其能够在不建立连接的情况下传输数据。

虽然UDP的传输速度更快，但这种本质有时是以风险为代价的，因为UDP的固有特性可能导致数据在传输过程中丢失，或者在这种情况下，允许攻击者发动DDoS攻击。这种固有的UDP漏洞被追踪为CVE-2024-2169。

CISPA研究人员解释说，攻击循环可以通过向任一对有缺陷的服务器发送一个单一的IP欺骗错误消息来启动。“脆弱的服务器随后将继续相互发送错误消息，给两台服务器以及它们之间的任何网络链路带来压力。”研究人员在博客中说。

一旦触发器被注入并且循环开始，即使是攻击者也无法停止攻击。这种漏洞影响到了包括Daytime、Time、Active Users、Echo、Chargen和QOTD等传统协议，以及TFTP、DNS和NTP等应用层的现代协议。

CISPA警告说，虽然到目前为止还没有已知的利用这一漏洞的案例，但这种漏洞有可能影响近30万个互联网主机及其所在的网络。CISPA的研究人员Christian Rossow表示：“据我们所知，这种攻击尚未在野外实施。然而，如果不采取行动来降低风险，攻击者很容易利用这一漏洞。”

传输控制协议（TCP）是一种更可靠的传输层协议，虽然不如UDP快，但它在系统之间建立连接之前，会进行一个名为“握手”的自动验证过程。

在UDP传输中增加额外的请求验证层或完全切换到TCP实现，可以帮助防止这一漏洞的利用。