Компания Cloudflare предупредила об увеличении интенсивности применения протокола SSDP (Simple Service Discovery Protocol), используемого в системах с поддержкой UPnP, в качестве усилителя трафика при проведении DDoS-атак. Cloudflare обращает внимание на практику оставления доступа к 1900 UDP-порту, который позволяет при обработке некоторых запросов, формировать ответы, по размеру многократно превышающие запрос, чем пользуются организаторы DDoS-атак.       Смысл атаки с использованием усилителя трафика сводится к тому, что запросы с участвующих в DDoS-атаке компьютеров направляются не напрямую на систему жертвы, а через промежуточный усилитель трафика, путем отправки UDP-пакетов с подставным обратным адресом жертвы (спуфинг). SSDP позволяет в 7 раз приумножить число используемых в атаке пакетов и в 20 раз приумножить трафик. Для сравнения коэффициент усиления для NTP составляет 556 раз, DNS - 28-54, RIPv2 - 21, SNMPv2 - 6. Имея современный сервер с подключением 10 Gbps и используя SSDP как усилитель, c учётом необходимости проведения спуфинга, можно сформировать поток на уровне 43 миллионов пакетов в секунду с трафиком в 112 гигабит в секунду.   
    Сетевой UDP-порт 1900 применяется протоколами SSDP и UPnP для обнаружения новых устройств в локальной сети. В качестве одного из методов обнаружения поддерживается M-SEARCH, подразумевающий отправку   multicast-запросов по адресу 239.255.255.250. Все устройства, принимающие соединения на данном multicast-IP, получив запрос M-SEARCH  с заголовком "ssdp:all", в ответ сообщают информацию о себе,    uuid, тип сервера и URL Web API. Проблема заключается в том, что подобные запросы не ограничиваются локальной сетью, обрабатываются  при поступлении на обычный (unicast)  IP и используют протокол UDP, позволяющий выполнить спуфинг (указать фиктивный обратный IP-адрес). В итоге, в ответ на один пакет с запросом, UPnP-устройство отправляет 8 пакетов с информацией.        Пользователям и администраторам рекомендуется обеспечить блокировку доступа к сетевому UDP-порту 1900 из внешних сетей. Наибольшее число участвовавших в атаках систем с открытым портом 1900 отмечается в Китае (439126), России (135783, в top10  операторов через которые выполняется усиление трафика фигурируют Вымпелком/Билайн и ЭР Телеком/Дом.ru), Аргентине (74825), США (51222) и республике Тайвань (41353). Сетевым операторам рекомендуется настроить фильтры для блокирования спуфинга. Проверить свою систему на предмет возможности её применения в качестве усилителя трафика можно через web-сервис Bad UPnP.    Рейтинг идентификаторов устройств, участвовавших в атаке в качестве усилителей трафика:       12863 Ubuntu/7.10 UPnP/1.0 miniupnpd/1.0     11544 ASUSTeK UPnP/1.0 MiniUPnPd/1.4     10827 miniupnpd/1.0 UPnP/1.0      8070 Linux UPnP/1.0 Huawei-ATP-IGD      7941 TBS/R2 UPnP/1.0 MiniUPnPd/1.4      7546 Net-OS 5.xx UPnP/1.0      6043 LINUX-2.6 UPnP/1.0 MiniUPnPd/1.5      5482 Ubuntu/lucid UPnP/1.0 MiniUPnPd/1.4      4720 AirTies/ASP 1.0 UPnP/1.0 miniupnpd/1.0      4667 Linux/2.6.30.9, UPnP/1.0, Portable SDK for UPnP devices/1.6.6      3334 Fedora/10 UPnP/1.0 MiniUPnPd/1.4      2044 miniupnpd/1.5 UPnP/1.0       1325 Linux/2.6.21.5, UPnP/1.0, Portable SDK for UPnP devices/1.6.6       843 Allegro-Software-RomUpnp/4.07 UPnP/1.0 IGD/1.00       776 Upnp/1.0 UPnP/1.0 IGD/1.00       675 Unspecified, UPnP/1.0, Unspecified       648 WNR2000v5 UPnP/1.0 miniupnpd/1.0       562 MIPS LINUX/2.4 UPnP/1.0 miniupnpd/1.0       518 Fedora/8 UPnP/1.0 miniupnpd/1.0       372 Tenda UPnP/1.0 miniupnpd/1.0       346 Ubuntu/10.10 UPnP/1.0 miniupnpd/1.0       330 MF60/1.0 UPnP/1.0 miniupnpd/1.0 
    Источник: http://www.opennet.ru/opennews/art.shtml?num=46780
   
_источник