حملات DDoS با سوء‌استفاده از پیکربندی نامناسب TFTP

TFTP (Trivial File Transfer Protocol) یک پروتکل ساده برای انتقال فایل­ در درون شبکه می­باشد که این امکان را در اختیار کلاینت قرار می­دهد تا فایل مورد نظرش را به یک سیستم راه دور ارسال و یا از آن دریافت کند. این پروتکل قدیمی بوده و در سال 1981 میلادی در قالب یک استاندارد ارائه شده است. در سال‌های بعد نسخه‌های تکمیلی به استاندارد افزوده شده است. از عمده‌ترین کاربردهای این پروتکل می‌توان به انتقال خودکار فایل‌های مربوط به تنظیمات یک دستگاه و یا فایل‌های مورد نیاز یک دستگاه برای بوت شدن در یک شبکه محلی اشاره کرد.
TFTP از پروتکل UDP و شماره پورت 69 برای انتقال فایل استفاده می­کند. این پروتکل از TCP و شماره پورت 8099 نیز گاهی به منظور انتقال اطلاعات مربوط به رابط کاربری استفاده می­کند. هدف طراحی پروتکل TFTP کوچک بودن و سادگی پیاده­سازی آن بوده و بنابراین فاقد بسیاری از ویژگی­هایی است که توسط دیگر پروتکل‌های انتقال فایل قدرتمند ارائه می­گردد. تنها کاری که TFTP انجام می­دهد، خواندن و یا نوشتن فایل­ها از و یا روی سیستم راه دور می­باشد و نمی­تواند فایل­ها و یا دایرکتوری­ها را حذف، تغییر نام و یا لیست کند. همچنین فاقد قابلیت احراز اصالت کاربران می­باشد که بزرگترین نقطه ضعف امنیتی آن محسوب می­شود. TFTP بهترین مصداق "امنیت از طریق گمنام می­باشد و اگر شخصی قصد سوء استفاده از این سرویس را داشته باشد، باید نام فایل مورد نظرش را حتماً بداند. اگرچه این مورد ساده به نظر می­رسد ولی با توجه به عدم امکان ارسال درخواست مبنی بر لیست کردن فایل­ها و یا دایرکتوری­ها در پروتکل TFTP، این گمنامی می­تواند زمان نتیجه گرفتن حمله را به تأخیر بیاندازد. با توجه به امنیت بسیار پایین این پروتکل، توصیه شده است که این پروتکل حداکثر در شبکه‌های محلی به‌کار گرفته شود.
یکی دیگر از تهدیدهای پر اهمیت پروتکل TFTP، امکان سوء استفاده از آن برای انجام حملات DDOS می‌باشد. عدم تعیین سایز پیش فرض برای برخی از فیلدهای پرسش و پاسخ پروتکل، Stateless بودن پروتکل و عدم استفاده از روش‌های احراز اصالت از مهمترین دلایل پیدایش این حمله است. برای اجرای حمله، فرد حمله‌کننده ابتدا اقدام به یافتن سرورهای TFTP ای می‌نماید که از طریق شبکه اینترنت قابل دسترسی هستند. پس از آن یک درخواست PRQ TFTP با حداقل سایز ممکن را ارسال نموده که پاسخ آن حداکثر بوده و به‌جای قرار دادن آدرس IP خود در فیلد آدرس IP فرستنده، آدرس IP فرد قربانی را قرار می‌دهد. درنتیجه پاسخ تولیدی برای فرد قربانی ارسال خواهد شد. به دلیل اینکه تعداد بایت موجود در پیامی که سرور در پاسخ باز می­گرداند نسبت به تعداد بایت موجود در پرسش ارسال شده از سوی کلاینت قابل توجه است، حمله­ کننده می­تواند به ضریب تقویت بالایی دست پیدا کند. بدین صورت با به‌کارگیری یک شبکه بات‌نت می‌توان حجم بسیار زیادی ترافیک به سوی فرد قربانی هدایت نمود. درنتیجه یک سرویس‌دهنده TFTP که پیکربندی صحیحی ندارد می‌تواند به‌طور ناخواسته در حمله DDoS مورد سوء‌استفاده قرار گیرد.
اگر تمام شرایط مورد نظر به درستی وجود داشته باشد، با استفاده از این حمله، ترافیک خروجی می­تواند به میزان 60 برابر ترافیک اولیه نیز برسد. بررسی­ها نشان می­دهد بسیاری از نرم­افزارهای TFTP به طور خودکار ترافیک خروجی در حدود 6 برابر ترافیک ورودی تولید می­کنند.
برای امن­سازی تجهیزات در برابر سوء استفاده از این آسیب‌پذیری، موارد زیر باید اعمال شوند:

• بایستی در صورت عدم نیاز به TFTP، این سرویس غیرفعال گردد.
• بایستی در صورت نیاز به TFTP، تنها در شبکه محلی قابل دسترسی باشد. در صورت نیاز به دسترسی به این سرویس از طریق شبکه اینترنت، بایستی ترافیک وارد شده از بیرون شبکه به این سرویس و همچنین ترافیک خروجی از آن از داخل شبکه به بیرون کنترل شوند. این کار با کنترل کردن ترافیک UDP/69 توسط دیواره آتش قابل انجام است.