NTP、DNS反射和放大攻击的本质

反射攻击

反射攻击利用网络协议(UDP,ICMP)的无连接性，向服务器发送一个NTP/DNS请求，在这个请求数据报中，伪造源IP（这个源IP就是你要攻击的主机IP），服务器收到请求后，正常情况下返回一个应答，应答报文的目的IP就是你伪造的源IP，即被攻击的主机IP。比较著名的反射型DDoS攻击有smurf.

如果利用僵尸网络，发送大量的请求，设置所有的请求包中源IP为同一被攻击主机IP，当服务器响应时，被攻击主机就遭受了DDoS攻击.

放大攻击

放大攻击的原理是利用了请求和响应的不平衡性，举个简单的例子，发送一个50字节大小的请求包，返回1个或多个上百字节的应答包，即数十倍、上百倍的放大的攻击流量。结合反射攻击，使应答包的目的IP指向被攻击主机IP，可达到四两拨千斤的效果。

NTP放大攻击

NTP放大攻击是一种新兴的DDoS攻击形式，参看2013年利用漏洞CVE-2013-5211的NTP放大攻击。

NTP协议包含一个monlist功能，用于监控 NTP 服务器，NTP 服务器响应monlist指令后就会返回与其进行过时间同步的最 近 600 个客户端的IP地址。响应包按照每6个IP进行分割，最多一个NTP monlist请求会形成100 个响应包,具有强的放大的能力。实验 室模拟测试显示,当请求包的大小为234字节时，每个响应包为 482 字节，单纯按照这个数据,计算出放大的倍数 是：482*100/234 = 206倍。

DNS放大攻击

普通的DNS请求包的大小一般70字节左右，DNS应答包最大512字节(请求包的查询类型为ANY)，超过512字节会被截断。实施DNS反射攻击，攻击流量也能被放大7倍多。

DNS的扩展机制EDNS，支持响应UDP数据包最大可达4000字节，这样攻击流量能被放大60倍左右。这个方法需要攻击者控制一个第三方DNS服务器，在上面存储一个4000字节的记录文本，用于响应查询请求。