2018-03-28 17:50:122862人阅读
0x00 前言
百度智云盾平台在近期,防御了一次峰值2Gbps反射类型的DDOS攻击,通过安全分析,认定这是一次新型的反射DDoS攻击,该攻击使用了IPMI协议进行攻击,在国内尚未查到相关的案例。
IPMI(Intelligent PlatformManagement Interface)智能平台管理接口,原本是一种Intel架构的企业系统的周边设备所采用的一种工业标准。IPMI亦是一个开放的免费标准,用户无需支付额外的费用即可使用此标准。
IPMI 能够横跨不同的操作系统、固件和硬件平台,可以智能的监视、控制和自动回报大量服务器的运行状况,以降低服务器系统成本。IPMI基于UDP协议进行传输,基于该协议建立的远程管理控制服务,默认绑定在623端口。
0x01 攻击分析
这个攻击过程持续了15分钟,峰值超过2Gbps。攻击来源IP共有50613个,攻击来源端口都是623,使用协议IPMI,长度为72字节。对数据包的内容进行具体分析,判断攻击包几乎都是IPMI协议的ping响应包。如图所示:
最初怀疑是攻击者伪造源IP实施的Flood攻击,但验证这50613个攻击源IP的623端口,存活率超过98%,很明显是一种反射攻击。分析反射源的地址位置特征,全球分布如下图示:
美国占了接近40%,TOP30国家排名如下图示:
0x02 关联风险分析
本次攻击采用的IPMIping攻击包,与常规的ping 类似,不同之处ping使用了ICMP协议传输。
IPMI 协议广泛用在Supermicro,Dell, HP, IBM的板载卡管理系统中。而这些存在着默认密码,甚至有些存在长久的Web漏洞可以直接获取密码。认证后可以操作除了ping之外更多的操作,如监控等数据。此时返回数据字节数会远大于请求数据。
设备分布:
全网分析共有13364个IPMI设备暴露在公网中。其中HP iLO, Supermicro IPMI, Dell iDARC三种设备占据75%以上的份额。因此,之前暴露出的安全问题也基本围绕着这几款设备。
IPMI设备攻击面:
1、Web管理接口
通常是HTTP的80或者443端口,出现过的漏洞:存在默认账号密码登录,Webserver接口溢出等漏洞。详细如下:
CVE-2013-4782 Supermicro任意IPMI命令执行
CVE-2013-3623 Supermicrocgi/close_window.cgi缓冲区溢出任意命令执行
CVE-2013-3622 Supermicro logout.cgi缓冲区溢出任意命令执行
CVE-2013-3609 Supermicro 权限绕过漏洞
CVE-2013-3607 Supermicro 任意代码执行
CVE-2013-4037 IBM IPMI明文凭证泄漏
CVE-2014-0860 IBM BladeCenter高级管理模块IPMI明文凭证泄漏
2、KVM console接口
通常为TCP 5900端口,出现过的漏洞:弱口令。
3、IPMI通讯接口
通常为UDP的623端口,出现过的漏洞:存在默认账号密码登录,协议漏洞。详细如下:
CVE-2014-8272 IPMI 1.5会话ID随机性不足
CVE-2013-4786 IPMI2.0离线密码爆破漏洞
CVE-2013-4037 IPMI密码哈希值泄漏漏洞
CVE-2013-4031 IPMI用户默认账号登录漏洞
CVE-2013-4782 Supermicro 身份验证绕过导致任意代码执行
CVE-2013-4783 Dell iDRAC6 身份验证绕过导致任意代码执行
CVE-2013-4784 Hp iLO 任意密码绕过
4、SMASH接口
通常为TCP的22端口,出现过的漏洞:弱口令。
漏洞统计:
对危害性评级为高危的漏洞进行统计。共有249个IP存在高危漏洞。总体占比18.5%。
1、IPMI 2.0 Cipher ZeroAuthentication Bypass。(涉及的漏洞编号CVE-2013-4782,CVE-2013-4783,CVE-2013-4784)远程攻击者可通过使用密码套件0(又名cipher zero)和任意的密码,利用该漏洞绕过身份认证,执行任意IPMI命令。IPMI 2.0使用cipher zero加密组件时,攻击者只需要知道一个有效的用户名就可以接管IPMI的功能。而大部分设备都存在默认账号和密码。
全网扫描结果:
10235个IP存在Cipher ZeroAuthentication Bypass漏洞。
2、IPMI V1.5会话ID随机性不足
IPMI v1.5 使用Session-ID 进行认证,Session-ID的取值范围(2^32)。部分远程控制卡在实现过程中,采用的Session-ID是0x0200XXYY格式。其中XX可以直接预测,黑客伪造YY的数值,可以在低权限或者未认证的情况下,启用新session执行任意命令。
全网扫描结果:
2918 个IP存在会话ID随机性不足的漏洞。
3、开启匿名帐户登录或明文密码泄露
SuperMicro老版本在49152放置了明文密码文件。攻击者可以通过请求服务器49152端口的/PSBlock文件,就可得到80端口web管理界面的密码,密码放在PSBlock文件中。
全网扫描结果:
588个IP存在明文密码泄露,183个IP允许匿名帐户登录。
漏洞地理分布:
板载卡管理系统往往不注重Web安全,更新也需要升级固件,很多公司往往忽略这些工作,导致很多有漏洞的平台裸露在公网中,非常容易成为黑客攻击的目标。
通过扫描此次DDoS攻击源进行分析,有近一半的IP属于Supermicro IPMI管理平台。而Supermicro IPMI管理平台也曾被爆出很多漏洞,其中“明文格式存储密码文件PSBlock漏洞”影响较大,存在这类漏洞的机器被黑客劫持后,常用来当作DDoS攻击的“肉鸡”。根据安全人员的分析,在2014年8月就有攻击者劫持了多达100,000的此类“肉鸡”发起了针对ComputerworldUK.com的混合DDoS攻击,攻击峰值达300Gbps,持续一天以上。
0x03 反射攻击趋势分析
本次攻击使用的IPMIping包
IPMIping 传输如下:
Req请求 65字节,返回72字节。放大比例1.1倍。
但从放大比例上看,IPMI的ping包并不是一个好的“反射”放大协议。
但IPMIping 由于攻击包小,来源广泛,可能会穿透部分传统设备。
从最近的几次反射攻击事件看,一些使用量中等规模的UDP服务逐渐黑客利用起来,包括之前的Memcached反射,放大倍数利率达到50000倍,非常惊人。即使互联网上公共开放的数量只有10几万,也能产生大于1T的流量攻击。
无认证逻辑,或者弱认证逻辑(包含默认密码),不常见的UDP服务逐渐成为黑客发动攻击的首选。
0x04 关于团队
智云盾基于百度安全成熟的防御技术,通过灵活的合作模式,旨在为合作伙伴的idc环境内建设和提供安全基础设施,为其本地快速检测和防御ddos攻击提供解决方案,同时还能为其客户提供自动化且无限扩展的ddos云防服务。此外智云盾平台集成包括资产弱点评估、黑客攻击检测、实时安全防御和威胁情报等一系列百度安全能力,在提高idc安全能力的同时,为最终客户提供安全增值服务。了解更多请访问:https://dun.chjunkong.com
本文来自,百度安全经授权发布
文章图片来源于网络,如有问题请联系我们