NTP 放大攻击

NTP 放大攻击利用配置不当的 NTP 服务器对控制查询做出超大响应 —— 历史上以 4.2.7 之前的 ntpd 中的 MONLIST 命令最为典型,该命令最多返回 600 条最近客户端记录。攻击者将源 IP 伪造成受害者地址,发送小型 MONLIST 查询,引发约 200–500 倍的响应数据反射回受害者。该技术在 2016 年之前驱动了若干当时最大的 DDoS 攻击。防御包括升级 ntpd、在 ntp.conf 中通过 "noquery"/"limited" 等限制 MONLIST 与其它控制命令、做源地址验证(BCP 38)、对 NTP 响应限速,以及使用清洗中心。尽管这一问题广为人知,网络扫描中仍能发现易受攻击的 NTP 服务器。