Plex媒体播放平台DDoS反射攻击分析与防御指南

0x00 概述

百度智云盾团队于2021年1月首次捕获到利用Plex媒体播放平台的网络服务发起的DDoS反射攻击。这是全网首次发现的此类攻击方式。Plex是一套基于UDP协议提供服务的媒体播放平台，由于UDP协议的不可靠性，导致开启该服务的主机容易被黑客利用作为反射源进行DDoS反射攻击。

0x01 反射攻击原理

基本概念

反射式DDoS攻击是一种间接攻击方式，攻击者不直接向受害者发送攻击流量，而是利用互联网上开放的服务器作为"反射源"来放大攻击流量。

工作原理

1. 攻击者伪造受害者的IP地址作为源IP
2. 向反射源服务器发送特定的请求数据包
3. 服务器响应请求，将大量响应数据发送给受害者
4. 实现攻击流量的放大和攻击源的隐藏

攻击特点

• 隐蔽性：隐藏真实攻击IP
• 放大效应：响应数据通常是请求数据的数倍甚至数千倍
• 难以追踪：利用第三方服务器作为攻击媒介

0x02 Plex反射攻击分析

攻击特征

• 反射流量来自32414端口(也发现32410端口有响应)
• 攻击载荷固定包含"plex/media-server"字符串
• 使用UDP协议进行通信

攻击载荷分析

请求载荷示例：

M-SEARCH * HTTP/1.1

响应载荷示例：

HTTP/1.0 200 OK
Content-Type: plex/media-server
...其他响应头...

放大倍数计算

科学计算方法：

• 请求包大小：20字节(载荷) + 66字节(协议头和间隙) = 86字节
• 响应包大小：258字节(载荷) + 66字节(协议头和间隙) = 324字节
• 实际放大倍数：324/86 ≈ 3.77倍

业内流行计算方法：

• 仅计算载荷比：258/20 = 12.9倍

0x03 Plex服务与反射源分析

Plex服务介绍

Plex是一套全面的影音媒体播放平台，包括：

• 媒体播放器及服务器软件
• 支持整理电脑、NAS、XBOX等设备上的多媒体文件
• 支持朋友间分享
• 向个人用户免费开放
• 支持大多数平台

反射源分布特点

1. 地理分布：主要来源于海外
2. 主机特征：
   • 大多数主机标识不重复
   • 未使用默认主机标识
   • 多数为个人用户配置使用
3. 当前状况：全网Plex服务受关注度较低，反射源数量有限

0x04 防御建议

对于互联网服务提供者

1. 禁用不必要的UDP服务
2. 限制响应放大：确保响应与请求不要有倍数关系
3. 实施认证机制：对UDP服务采取授权认证，拒绝未授权请求
4. 监控异常流量：建立流量基线，检测异常UDP流量

对于企业用户

1. 网络层防护：

   • 若无UDP业务，可在交换机或防火墙过滤UDP包
   • 使用运营商提供的UDP黑洞IP网段对外服务

2. DDoS防护方案：

   • 部署本地DDoS防护设备
   • 接入云防安全服务对抗大规模攻击
   • 建立流量清洗机制

3. 应急响应：

   • 制定DDoS攻击应急预案
   • 建立与ISP的快速响应通道
   • 定期进行DDoS防护演练

对于Plex服务用户

1. 安全配置：

   • 修改默认配置
   • 限制服务访问范围
   • 定期更新软件版本

2. 网络设置：

   • 考虑在路由器级别限制UDP端口32410-32414
   • 使用VPN访问家庭媒体服务而非直接暴露在公网

0x05 总结

Plex反射攻击是一种新型的DDoS攻击方式，虽然当前放大倍数相对较小(3.77倍)，但随着Plex服务的普及，这种攻击方式可能会被更多利用。防御DDoS反射攻击需要服务提供商、企业用户和个人用户共同努力，从源头减少反射源，同时建立有效的防护体系。