Sản phẩm & Dịch vụSản phẩm & Dịch vụ
Giải phápGiải pháp
Bảng giáBảng giá
Công tyCông ty
Tài liệuTài liệu

Tin mới nhất

CyStack Blog

Nơi CyStack cung cấp cho bạn những tin tức, xu hướng và cảnh báo mới nhất về ngành công nghệ bảo mật và các sản phẩm, dịch vụ của chúng tôi.

Trang chủ BlogHơn 1400 máy chủ sử dụng ...

Hơn 1400 máy chủ sử dụng Memcached ở Việt Nam có nguy cơ bị biến thành botnet

4 phút đọc09/03/2018

Trung Nguyen

Hacker. Builder. Educator. On a mission to make the internet safer.

0 lượt xem

Theo thống kê từ CyStack Security, hơn 1400 máy chủ dịch vụ Memcached ở Việt Nam tồn tại lỗ hổng nguy hiểm có nguy cơ bị biến thành mạng botnet để thực hiện các cuộc tấn công DDoS với mức độ lớn.
Gần đây, một số chiến dịch tấn công DDoS lớn trên phạm vi toàn cầu đã được các nhà mạng lớn phát hiện có lưu lượng lên tới hơn 1.7Tbs (một con số cực kỳ khủng khiếp đối với một cuộc tấn công DDoS).
Để làm được điều này, những kẻ tấn công sử dụng hình thức tấn công giả mạo IP nguồn (IP Spoofing) kết hợp với tấn công khuếch đại gói tin (UDP-Based Amplification Attacks) thông qua việc lợi dụng một vấn đề trong ứng dụng Memcached (một ứng dụng mã nguồn mở, thường dùng để lưu trữ dữ liệu cache cho các ứng dụng web).
Theo kết quả phân tích, có 2 vấn đề chính ở Memcached mà tin tặc có thể lợi dụng để tấn công DDoS (CVE-2018-1000115):
1. Các dịch vụ Memcached này đang mở 1 cổng dịch vụ lỗi thời, cổng 11211: Mặc định khi cài thì cổng này sẽ bị hạn chế truy cập từ bên ngoài, nhưng trên một số Distro Linux hoặc do lỗi cấu hình của quản trị mà rất nhiều máy chủ dịch vụ Memcached này đang mở cổng 11211 và cho phép kết nối từ bên ngoài không cần xác thực.
2. Memcached có khả năng khuếch đại gói tin và giả mạo địa chỉ IP: Các thử nghiệm cho thấy một requests 15 bytes gửi đến cổng 11211 của Memcached có thể phản hồi về một dữ liệu lên tới 750kB (tức là gói tin đã bị khuếch đại hơn 51000 lần) và tin tặc có thể giả mạo địa chỉ IP để đổ toàn bộ dữ liệu phản hồi này vào địa chỉ IP của máy chủ mục tiêu.
Mặt khác cổng 11211 là cổng UDP, vì thế sẽ không có cơ chế nào kiểm soát được số lượng kết nối cũng như giới hạn dữ liệu phản hồi, những điểm yếu này đã được những kẻ tấn công lợi dụng triệt để.

Kịch bản tấn công

**Tin tặc lợi dụng vấn đề ở Memcached để tấn công DDoS**

Tin tặc sẽ quét mạng Internet hoặc sử dụng các dịch vụ (điển hình là Shodan) để tìm được các server mở cổng 11211 và chạy dịch vụ Memcached để biến các máy chủ này thành botnet.
Tin tặc gửi liên tục gói tin giả mạo IP nguồn thành IP của máy chủ mục tiêu mà tin tặc muốn tấn công đến cổng 11211 của danh sách các máy chủ dịch vụ Memcached.
Các máy chủ dịch vụ Memcached này sẽ đồng loại gửi gói tin phản hồi về địa chỉ IP mục tiêu mà tin tặc muốn tấn công, từ đó tạo thành 1 cuộc tấn công DDoS với dữ liệu rất lớn.

Server của tôi có thể gặp nguy hiểm bởi dạng tấn công này không?

Tấn công DDoS có thể xảy ra với bất kỳ website/ server nào và bạn cũng không ngoại lệ. Trong trường hợp bạn có một server đang cài đặt Memcached thì chính bạn cũng có thể trở thành 1 phần trong mạng botnet mà những kẻ tấn công đang lợi dụng. Để bảo vệ cho chính mình và những người khác, bạn cần kiểm tra xem server của mình có thuộc nhóm này không, bằng một trong những cách sau:

Cách 1: Chủ động quét cổng dịch vụ của mình từ bên ngoài

Sử dụng nmap, chạy lệnh nmap TARGET_IP -p 11211 -sU -sS --script memcached-info, với TARGET_IP là IP server của bạn
Kết quả không mong đợi sẽ như sau:

Starting Nmap 7.60 ( https://nmap.org ) at 2018-03-08 18:52 SE Asia Standard Time
Nmap scan report for TARGET_IP
Host is up (0.0019s latency).
PORT STATE SERVICE
11211/tcp open memcache
| memcached-info:
| Process ID 32706
| Uptime 26597424 seconds
...

Cách 2: Thử nghiệm việc tồn tại vấn đề ở cổng 11211

Các quản trị có thể sử dụng netcat với câu lệnh: echo -en "\x00\x00\x00\x00\x00\x01\x00\x00stats\r\n" | nc -q1 -u TARGET_IP 11211. Những máy chủ gặp vấn đề sẽ gửi về kết quả như sau:

STAT pid 1977
STAT uptime 3527
STAT time 1520510728
...

Thống kê tại Việt Nam

Tại thời điểm thực hiện bài viết này (08/03/2018), CyStack Security đã có một thống kê nhỏ về các máy chủ đặt tại Việt Nam đang sử dụng dịch vụ Memcached có thể trở thành bot trong các chiến dịch tấn công DDoS dạng này. Kết quả cho thấy

Có 2529 máy chủ dùng memcached và mở cổng 11211 public.
Có 1482 máy chủ trong số đó (tương đương 58%) đang có nguy cơ trở thành bot trong mạng botnet của tin tặc.

Cách khắc phục

Hiện tại, Memcached đã đưa ra phiên bản mới 1.5.6 để khắc phục vấn đề này, trong đó ngừng kích hoạt cổng 11211 mặc định.
Trong trường hợp không cập nhật được Memcached do ảnh hưởng đến các dịch vụ bạn có thể sử dụng firewall để đóng cổng 11211 hoặc dừng kích hoạt cổng này trong cấu hình Memcached.

Về tác giả

Trung NguyenHacker. Builder. Educator. On a mission to make the internet safer.

Hacker. Builder. Educator. On a mission to make the internet safer.

Cập nhật thông tin mới nhấtNhận các thông tin mới nhất về mối đe dọa, báo cáo an ninh mạng từ CyStack về hòm thư điện tử của bạn

Thảo luận (0)

Đăng nhập để thảo luận

Bài viết liên quan

{"success":true,"head":"<title>Hơn 1400 máy chủ Memcached ở Việt Nam có nguy cơ bị biến thành botnet</title>\n<meta name=\"description\" content=\"Hơn 1400 máy chủ dịch vụ Memcached ở Việt Nam tồn tại lỗ hổng nguy hiểm có nguy cơ bị biến thành mạng botnet để thực hiện các cuộc tấn công DDOS với mức độ lớn.\"/>\n<meta name=\"robots\" content=\"nofollow, noindex\"/>\n<meta property=\"og:locale\" content=\"en_US\" />\n<meta property=\"og:type\" content=\"article\" />\n<meta property=\"og:title\" content=\"Hơn 1400 máy chủ Memcached ở Việt Nam có nguy cơ bị biến thành botnet\" />\n<meta property=\"og:description\" content=\"Hơn 1400 máy chủ dịch vụ Memcached ở Việt Nam tồn tại lỗ hổng nguy hiểm có nguy cơ bị biến thành mạng botnet để thực hiện các cuộc tấn công DDOS với mức độ lớn.\" />\n<meta property=\"og:url\" content=\"https://blog.cystack.org/vi/blog/2018/03/09/tan-cong-ddos-quy-mo-lon-dua-vao-loi-cau-hinh-memcached/\" />\n<meta property=\"og:site_name\" content=\"CyStack Blog\" />\n<meta property=\"article:author\" content=\"CEO@CyStack\" />\n<meta property=\"article:tag\" content=\"DDoS\" />\n<meta property=\"article:tag\" content=\"Memcached\" />\n<meta property=\"article:tag\" content=\"Memcrashed\" />\n<meta property=\"article:tag\" content=\"vi\" />\n<meta property=\"article:tag\" content=\"Việt Nam\" />\n<meta property=\"article:section\" content=\"An toàn vận hành\" />\n<meta property=\"og:updated_time\" content=\"2026-06-23T20:09:22+07:00\" />\n<meta property=\"og:image\" content=\"https://s.cystack.net/resource/home/content/05143822/2.png\" />\n<meta property=\"og:image:secure_url\" content=\"https://s.cystack.net/resource/home/content/05143822/2.png\" />\n<meta property=\"og:image:width\" content=\"1280\" />\n<meta property=\"og:image:height\" content=\"720\" />\n<meta property=\"og:image:alt\" content=\"memcached\" />\n<meta property=\"og:image:type\" content=\"image/png\" />\n<meta property=\"article:published_time\" content=\"2018-03-09T17:41:54+07:00\" />\n<meta property=\"article:modified_time\" content=\"2026-06-23T20:09:22+07:00\" />\n<meta name=\"twitter:card\" content=\"summary_large_image\" />\n<meta name=\"twitter:title\" content=\"Hơn 1400 máy chủ Memcached ở Việt Nam có nguy cơ bị biến thành botnet\" />\n<meta name=\"twitter:description\" content=\"Hơn 1400 máy chủ dịch vụ Memcached ở Việt Nam tồn tại lỗ hổng nguy hiểm có nguy cơ bị biến thành mạng botnet để thực hiện các cuộc tấn công DDOS với mức độ lớn.\" />\n<meta name=\"twitter:image\" content=\"https://s.cystack.net/resource/home/content/05143822/2.png\" />\n<meta name=\"twitter:label1\" content=\"Written by\" />\n<meta name=\"twitter:data1\" content=\"Trung Nguyen\" />\n<meta name=\"twitter:label2\" content=\"Time to read\" />\n<meta name=\"twitter:data2\" content=\"4 minutes\" />\n<script type=\"application/ld+json\" class=\"rank-math-schema\">{\"@context\":\"https://schema.org\",\"@graph\":[{\"@type\":\"Organization\",\"@id\":\"https://blog.cystack.org/#organization\",\"name\":\"CyStack\",\"url\":\"https://blog.cystack.org\"},{\"@type\":\"WebSite\",\"@id\":\"https://blog.cystack.org/#website\",\"url\":\"https://blog.cystack.org\",\"name\":\"CyStack\",\"publisher\":{\"@id\":\"https://blog.cystack.org/#organization\"},\"inLanguage\":\"en-US\"},{\"@type\":\"ImageObject\",\"@id\":\"https://s.cystack.net/resource/home/content/05143822/2.png\",\"url\":\"https://s.cystack.net/resource/home/content/05143822/2.png\",\"width\":\"1280\",\"height\":\"720\",\"inLanguage\":\"en-US\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https://blog.cystack.org/vi/blog/2018/03/09/tan-cong-ddos-quy-mo-lon-dua-vao-loi-cau-hinh-memcached/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":\"1\",\"item\":{\"@id\":\"https://blog.cystack.org\",\"name\":\"Home\"}},{\"@type\":\"ListItem\",\"position\":\"2\",\"item\":{\"@id\":\"https://blog.cystack.org/vi/blog/2018/03/09/tan-cong-ddos-quy-mo-lon-dua-vao-loi-cau-hinh-memcached/\",\"name\":\"H\\u01a1n 1400 m\\u00e1y ch\\u1ee7 s\\u1eed d\\u1ee5ng Memcached \\u1edf Vi\\u1ec7t Nam c\\u00f3 nguy c\\u01a1 b\\u1ecb bi\\u1ebfn th\\u00e0nh botnet\"}}]},{\"@type\":\"WebPage\",\"@id\":\"https://blog.cystack.org/vi/blog/2018/03/09/tan-cong-ddos-quy-mo-lon-dua-vao-loi-cau-hinh-memcached/#webpage\",\"url\":\"https://blog.cystack.org/vi/blog/2018/03/09/tan-cong-ddos-quy-mo-lon-dua-vao-loi-cau-hinh-memcached/\",\"name\":\"H\\u01a1n 1400 m\\u00e1y ch\\u1ee7 Memcached \\u1edf Vi\\u1ec7t Nam c\\u00f3 nguy c\\u01a1 b\\u1ecb bi\\u1ebfn th\\u00e0nh botnet\",\"datePublished\":\"2018-03-09T17:41:54+07:00\",\"dateModified\":\"2026-06-23T20:09:22+07:00\",\"isPartOf\":{\"@id\":\"https://blog.cystack.org/#website\"},\"primaryImageOfPage\":{\"@id\":\"https://s.cystack.net/resource/home/content/05143822/2.png\"},\"inLanguage\":\"en-US\",\"breadcrumb\":{\"@id\":\"https://blog.cystack.org/vi/blog/2018/03/09/tan-cong-ddos-quy-mo-lon-dua-vao-loi-cau-hinh-memcached/#breadcrumb\"}},{\"@type\":\"Person\",\"@id\":\"https://blog.cystack.org/author/trungnh/\",\"name\":\"Trung Nguyen\",\"url\":\"https://blog.cystack.org/author/trungnh/\",\"image\":{\"@type\":\"ImageObject\",\"@id\":\"https://secure.gravatar.com/avatar/5e1e19d9b81295eeafdbc4175f18cc5b99a688411b0b5a2189c63881dff568b1?s=96&d=mm&r=g\",\"url\":\"https://secure.gravatar.com/avatar/5e1e19d9b81295eeafdbc4175f18cc5b99a688411b0b5a2189c63881dff568b1?s=96&d=mm&r=g\",\"caption\":\"Trung Nguyen\",\"inLanguage\":\"en-US\"},\"sameAs\":[\"CEO@CyStack\"],\"worksFor\":{\"@id\":\"https://blog.cystack.org/#organization\"}},{\"@type\":\"BlogPosting\",\"headline\":\"H\\u01a1n 1400 m\\u00e1y ch\\u1ee7 Memcached \\u1edf Vi\\u1ec7t Nam c\\u00f3 nguy c\\u01a1 b\\u1ecb bi\\u1ebfn th\\u00e0nh botnet\",\"keywords\":\"memcached\",\"datePublished\":\"2018-03-09T17:41:54+07:00\",\"dateModified\":\"2026-06-23T20:09:22+07:00\",\"author\":{\"@id\":\"https://blog.cystack.org/author/trungnh/\",\"name\":\"Trung Nguyen\"},\"publisher\":{\"@id\":\"https://blog.cystack.org/#organization\"},\"description\":\"H\\u01a1n 1400 m\\u00e1y ch\\u1ee7 d\\u1ecbch v\\u1ee5 Memcached \\u1edf Vi\\u1ec7t Nam t\\u1ed3n t\\u1ea1i l\\u1ed7 h\\u1ed5ng nguy hi\\u1ec3m c\\u00f3 nguy c\\u01a1 b\\u1ecb bi\\u1ebfn th\\u00e0nh m\\u1ea1ng botnet \\u0111\\u1ec3 th\\u1ef1c hi\\u1ec7n c\\u00e1c cu\\u1ed9c t\\u1ea5n c\\u00f4ng DDOS v\\u1edbi m\\u1ee9c \\u0111\\u1ed9 l\\u1edbn.\",\"name\":\"H\\u01a1n 1400 m\\u00e1y ch\\u1ee7 Memcached \\u1edf Vi\\u1ec7t Nam c\\u00f3 nguy c\\u01a1 b\\u1ecb bi\\u1ebfn th\\u00e0nh botnet\",\"@id\":\"https://blog.cystack.org/vi/blog/2018/03/09/tan-cong-ddos-quy-mo-lon-dua-vao-loi-cau-hinh-memcached/#richSnippet\",\"isPartOf\":{\"@id\":\"https://blog.cystack.org/vi/blog/2018/03/09/tan-cong-ddos-quy-mo-lon-dua-vao-loi-cau-hinh-memcached/#webpage\"},\"image\":{\"@id\":\"https://s.cystack.net/resource/home/content/05143822/2.png\"},\"inLanguage\":\"en-US\",\"mainEntityOfPage\":{\"@id\":\"https://blog.cystack.org/vi/blog/2018/03/09/tan-cong-ddos-quy-mo-lon-dua-vao-loi-cau-hinh-memcached/#webpage\"}}]}</script>\n"}