dig +short test.openresolver.com TXT @IP

nmap -sU -pU:53 -sV -P0 --script="dns-recursion" -oN open-dns-resolver.txt

nmap -sU -p 1900 --script=upnp-info 

nmap -sU -pU:1900 -Pn -n --script=upnp-info

#chargen dgram udp wait root internal

UDP Flood  - UDP: User Datagram Protocol

• Envío masivo de paquetes a puertos UDP aleatorios
• Destinatario (víctima)
• Comprueba si alguna aplicación está escuchando en ese puerto
• Puerto aleatorio -> ninguna aplicación estará a la escucha
• Responde con un paquete ICMP Destination Unreachable
• Si el número de paquetes enviados (puertos analizados) es suficientemente elevado el destino será incapaz de responder

Detección - Ejemplo

• wireshark (tshark es la versión en línea de comandos)
• tcpdump
• iptraf

Mon Jun  9 20:16:27 2014; UDP; eth0; 347 bytes; from 182.220.16.2:19 to 91.126.237.80:2001
Mon Jun  9 20:16:27 2014; UDP; eth0; 235 bytes; from 182.18.128.146:19 to 91.126.237.80:2001
Mon Jun  9 20:16:27 2014; UDP; eth0; 247 bytes; from 182.18.128.146:19 to 91.126.237.80:2001
Mon Jun  9 20:16:27 2014; UDP; eth0; 247 bytes; from 182.18.128.146:19 to 91.126.237.80:2001

Mon Jun  9 20:16:27 2014; ICMP; eth0; 576 bytes; from 91.126.237.80 to 182.18.128.146; dest unrch (port)

cat ip_traffic-1.log | grep ":19 to 91.126.237.80:2001" | awk '{ print $11 }' | awk -F: '{ print $1 }' | sort | uniq -c | sort -n > listado-ips-conexiones.log

   1056 - 49.50.228.5
   1066 - 176.197.159.6
   1124 - 50.202.107.101
   1134 - 64.38.225.40
   1160 - 173.215.169.2
   1185 - 66.135.35.85
   1256 - 66.118.174.178
   1795 - 213.176.143.42
   2038 - 182.18.128.146

telnet 182.18.128.146 19

nmap -sU -p 19

-A INPUT -p udp -m udp --sport 19 -j DROP 

Pero el ataque puede tener un random port de origen y destino:

iptables -A INPUT -p udp -m limit --limit 5/s  -j RETURN

iptables -A INPUT -p udp -m limit --limit 5/s  -j LOG

Ejemplo Ataque NTP Port 123 udp

 tcpdump -n udp  -C 100 -W 50 -w /tmp/traffic.pcap & 

tshark -b filesize:10000 -a files:250 -w /tmp/traffic.pcap & 

Source port: ntp (123)
Length: 448

Network Time Protocol (NTP Version 2, private)
Implementation: XNTPD (3)
Request code: MON_GETLIST_1 (42)

 tshark -T fields -e ip.src -r /tmp/traffic.pcap | sort | uniq -c | sort -n | tail -50

[..] top 10
hits - ip
  17768 - 212.227.126.49
  18133 - 212.227.126.37
  18357 - 80.82.78.2
  18629 - 206.197.60.7
  18645 - 94.20.20.40
  19357 - 193.110.75.146
  19743 -  202.10.82.10
  21386 -  208.118.234.238
  26894 -  85.111.0.148
  28985 -  118.69.250.27

# tcpdump -i eth0 -nnn port 53 and not port 22

tcpdump -i eth0 -nnn port 53 and not port 22 | awk '{print $3}' | sed 's/\./ /g' | awk '{print $1"."$2"."$3"."$4}' >> /root/udp_flood.log

Mostrar las ips con más número de hits:

cat /root/udp_flood.log | sort | uniq -c | sort -n

-A INPUT -p udp --sport 123 -j LOG  --log-prefix "Ataque 123 udp ntp " --log-level 4

Ejemplo 

Feb 18 20:09:30 ns2 kernel: Ataque 123 udp ntp IN=eth0 OUT= MAC=XX 

SRC=194.78.180.122 DST=IP LEN=468 TOS=0x00 PREC=0x00 TTL=50

ID=17019 DF PROTO=UDP SPT=123 DPT=8363 LEN=448 

nmap -sU -pU:123 -Pn -n --script=ntp-monlist 194.78.180.122

Nmap scan report for 194.78.180.122
Host is up (0.037s latency).
PORT    STATE SERVICE
123/udp open  ntp
| ntp-monlist:
|   Target is synchronised with 127.127.1.1 (reference clock)
|   Public Servers (1)
|       204.124.183.210
|   Other Associations (527)
|       91.126.240.73 (You?) seen 10 times. last tx was unicast v2 mode 7
|       180.96.80.229 seen 10573 times. last tx was unicast v2 mode 7
|       94.177.106.114 seen 2061 times. last tx was unicast v2 mode 7
|       127.0.0.1 seen 2303 times. last tx was unicast v2 mode 6
|       113.82.114.157 seen 2076 times. last tx was unicast v2 mode 7
|       114.80.252.46 seen 218 times. last tx was unicast v2 mode 7
|       61.49.57.18 seen 1187 times. last tx was unicast v2 mode 7
|       49.67.208.168 seen 3425 times. last tx was unicast v2 mode 7
|       183.61.233.247 seen 1127 times. last tx was unicast v2 mode 7
|       81.97.24.75 seen 5622 times. last tx was unicast v2 mode 7
|       173.61.103.240 seen 37578 times. last tx was unicast v2 mode 7
|       111.78.226.130 seen 2027 times. last tx was unicast v2 mode 7
|       60.222.246.6 seen 506 times. last tx was unicast v2 mode 7
|       183.61.234.99 seen 1110 times. last tx was unicast v2 mode 7
|       198.50.241.229 seen 2793 times. last tx was unicast v2 mode 7
|       111.176.137.39 seen 1914 times. last tx was unicast v2 mode 7
|       80.60.16.43 seen 90 times. last tx was unicast v2 mode 7
|       176.31.115.196 seen 124 times. last tx was unicast v2 mode 7
|       185.25.204.79 seen 3 times. last tx was unicast v2 mode 7
|       185.62.188.231 seen 1266 times. last tx was unicast v2 mode 7

ntpdc -c monlist ip_servidor_ntp

iptables -I  INPUT -p udp --dport 123 -m u32 --u32 "0x1C=0x1700032a && 0x20=0x00000000" -m comment --comment "NTP amplification packets" -j DROP

iptables -I INPUT -p 17 -m multiport --ports 123 \-m u32 --u32 "0>>22&0x3C@8&0xFF=42" -j LOG --log-prefix="NTP MONLIST "

-A INPUT -p udp -dport 123 -m u32 --u32 0x0>>0x16&0x3c@0x8&0xff=0x2a -j DROP 

Ejemplo Ataque Simple Service Discovery Protocol SSDP (upnp) 1900 UDP

msf > use auxiliary/scanner/upnp/ssdp_msearch

nmap -sU -pU:1900 -Pn -n --script=upnp-info  74.193.198.x

Nmap scan report for 74.193.198.x
Host is up.
PORT     STATE SERVICE
1900/udp open  upnp
| upnp-info:
| 74.193.198.158
|     Server: Linux/2.4.22-1.2115.nptl UPnP/1.0 miniupnpd/1.0
|     ST: upnp:rootdevice
|     USN: uuid:1b3a60b8-1dd2-11b2-a962-c354ab4f61f7::upnp:rootdevice
|_    Location: http://192.168.0.1:65530/rootDesc.xml

HTTP/1.1 200 OK
CACHE-CONTROL: max-age = seconds until advertisement expires
DATE: when response was generated
EXT:
LOCATION: URL for UPnP description for root device
SERVER: OS/version UPnP/1.1 product/version
ST: search target
USN: composite identifier for the advertisement BOOTID.UPNP.ORG: number
 increased each time device sends an initial announce or an update message

M-SEARCH * HTTP/1.1
HOST: 239.255.255.250:1900
MAN: "ssdp:discover"
MX: seconds to delay response
ST: search target
USER-AGENT: OS/version UPnP/1.1 product/version

M-SEARCH * HTTP/1.1
HOST: hostname:portNumber
MAN: "ssdp:discover"
ST: search target
USER-AGENT: OS/version UPnP/1.1 product/version

Contramedidas - Mitigación

# Limitar el UDP flood

# Crear la cadena para UDP flood
iptables -N cadena-udp-flood

# Saltar a la cadena cuando el UDP es detectado
iptables -A INPUT -p  udp -j cadena-udp-flood

# Limitar la velocidad UDP  a 10/segundos con limite de 20
iptables -A cadena-udp-flood -m limit – -limit 10/s – -limit-burst 20 -m comment – -comment “Limite velocidad UDP” -j RETURN

# Logear
iptables -A cadena-udp-flood -m limit – -limit 6/h – -limit-burst 1 -j LOG – -log-prefix “Probable udp flood “

# Baneados durante 5 minutos los que más floodean
iptables -A cadena-udp-flood -m recent – -name blacklist_300 – -set -m comment – -comment “BlackList origen IP” -j DROP 

Módulo limit (iptables)

Diferencias entre limit y limit burst

-m limit

 iptables -I FORWARD -p udp -m limit --limit 200/s --limit-burst -j DROP

• /second (/s)
• /minute (/m)
• /hour (/h)
• /day (/d)

Módulo Recent (iptables)

Soluciones - Mitigación - Contramedidas

Evitar el Spoofing: BCP38

• BCP38 (RFC2827)
• BCP84 (RFC3704)

¿Qué es BCP38?

El documento BCP38 corresponde al estándar RFC2827: Filtrado de redes en ingreso: derrotando los ataques de denegación de servicio que utilizan direcciones IP de origen falsificadas (Network Ingress Filtering: Defeating Denial of Service Attacks which employ IP Source Address Spoofing, en el inglés original). Es decir, es un documento que explica estos ataques, y recomienda a los operadores de redes las mejores forma de evitarlos.

Los ataques de Denegación de Servicio (DoS), y sus primos aún peores de Denegación de Servicio Distribuido (DDoS), siempre han sido difíciles de manejar. Y si a eso le sumamos que los paquetes que componen el ataque podrían tener su origen falsificado, no solo se hace más dificil detener el ataque, sino también se hace imposible deternimar desde dónde viene.

La solución a este problema, descrito en el RFC2827 escrito hace 13 años atrás por Paul Ferguson y Daniel Senie, es bloquear los paquetes IP en el momento de entrar a Internet si es que tienen direcciones IP falsificadas -- es decir, direcciones IP que no fueron asignadas al dispositivo que los está enviando. Existe un pequeño número de casos en los que esos paquetes not son fraudulentos, pero ese porcentaje es tan bajo que se pueden manejar como excepciones mantenidas a mano, incluso en ambientes donde tales paquetes serían bloqueados en su origen -- el título 'Filtrado en ingreso' mencionado en el RFC. 

• https://www.caida.org/projects/spoofer/

• DoS UDP Misuse
• DoS IP Private Misuse
• DoS TCP SYN Misuse
• DoS TCP RST Misuse
• DoS Fragmentation Misuse 

Herramientas - Tools - DrDoS

• Scripts Python (usando librería scapy) (DrDoS)

• hping3
• packit
• nemesis
• r2dr2-udp-drdos-tool
• AMP-Research (UDP/TCP amplification vectors, payloads and mitigations)
• LOIC (Low orbit Ion Canon) (udp flood directo), no hay spoofing, por lo tanto no amplifica) 
• HOIC (High Orbit Ion Cannon)
• HTTP Unbearable Load King (HULK) . Tor's Hammer
• Low and Slow Attacks: SLOWLORIS (SlowSloris, SlowPost, nkiller2, recoil)
• ApacheKiller, RefRef. Rudy (R-U-Dead-Yet), thc-ssl-dos
• http2 (hpack)
• ufonet

• Posee una alta velocidad en las tareas de multi-thread HTTP Flood (inundación HTTP). 
• Capaz de saturar simultáneamente más de 256 websites. 
• Construido sobre sistema de scripts para permitir el despliegue de 'boosters'(refuerzos): secuencias de comandos diseñadas para frustrar contramedidas y aumentar la potencia de salida del DoS.
• Selección de Boost previamente creados (Targets ya predeterminados).
• Posibilidad de regular la cantidad de threads para el ataque (piensa en cada thread como en un cañón).
• Posibilidad de regular la cantidad de threads para el ataque (piensa en cada thread como en un cañón).
• Desarrollado en lenguaje REAL BASIC.
• No requiere de instalación, y sólo utiliza un ejecutable.

Hping3 permite manipular paquetes TCP/IP

• v –version muestra la versión actual de hping3
• -c –count contador de paquetes
• -i –interval tiempo de espera (uX para X microsegundos, por ejemplo -i u1000)
  • –fast alias para -i u10000 (10 paquetes por segundo)
  • –faster alias para -i u1000 (100 paquetes por segundo)
  • –flood envía paquetes lo más rápido posible, no muestra las respuestas.
• -n –numeric salida con números
• -q –quiet comando silencioso sin que lo muestre por pantalla
• -I –interface nombre de la interfaz, si no se pone nada, por defecto es la interfaz de la puerta de encima predeterminada.
• -V –verbose modo verbose para depuración
• -D –debug información de debugging
• -z –bind enlaza ctrl+z a ttl (por defecto al puerto de destino)
• -Z –unbind desenlaza ctrl+z
• –beep beep por cada paquete recibido que coincida

• -c número paquetes
• -i intervalo espera (uX para esperar X microsegundos, eg. -i u1000)
• --fast alias -i u10000 (10 paquetes/segundo)
• --faster alias -i u1000 (100 paquetes/segundo) 
• --flood envío de paquetes sin espera (lo más rápido posible)

• -0 --rawip RAW IP mode
• -1 --icmp ICMP mode
• -2 --udp UDP mode
• -8 --scan SCAN mode
• -9 --listen listen mode
• -a --spoof spoof dirección origen
• --rand-source especificar dirección de origen aleatoria

• -s --baseport puerto de origen
• -p --destport puerto destino
• -S --syn flag SYN
• -R --rst flag RST

Packit

• -t protocolo TCP (defecto), UDP, ICMP, ARP
• -c número Número de paquetes a inyectar (0: continuo)
• -w número Intervalo (en seg.) entre cada conjunto de paquetes (def. 1)
• -b número Número paquetes a inyectar en cada intervalo (0: máximo)
• -s dirección IP origen (spoofing)
• -sR Establece dirección IP origen aleatoria
• -d dirección IP destino
• -dR dirección Establece una dirección destino aleatoria
• -S puerto Indica puerto origen en TCP y/o UDP
• -D puerto Indica puerto destino en TCP y/o UDP
• -F flags Flags TCP : S(SYN), F(FIN), A(ACK), P(PSH), U(URG), R(RST)
• -h Host Response: salida por pantalla 20