linux中ntp安全性漏洞修複教程

CVE-2013-5211漏洞說明：

CVE-2013-5211最早公布是2014年1月10日，由於NTP本身不會驗證寄件者的源ip地址。這就類似於DNS解析器使用的DRDoS（分布式反射型拒絕服務的攻擊）。攻擊者HACK發送了一個偽造報文發送給NTP伺服器Server A，將資料包中的源ip地址改成了受害者Client A的ip地址。NTP伺服器Server A會響應這個請求，相對於初始請求，響應包發送的位元組數是一個被放大的量，導致受害者Client A被dos攻擊。最高的兩個訊息類型：REQ_MON_GETLIST 和REQ_MON_GETLIST_1，通過高達3660和5500的一個因素分別放大原始請求。

【解決方案】:

放大反射dos攻擊由CVE-2013-5211所致。且這漏洞是與molist功能有關。Ntpd4.2.7p26之前的版本都會去響應NTP中的mode7“monlist”請求。ntpd-4.2.7p26版本後，“monlist”特性已經被禁止，取而代之的是“mrulist”特性，使用mode6控制報文，並且實現了握手過程來阻止對第三方主機的放大攻擊。

操作步驟：

echo "disable monitor" >> /etc/ntp.conf

重啟ntp服務

驗證：

運行 # ntpdc
ntpdc> monlist
***Server reports data not found
ntpdc>

此時monlist已經被禁止了，也不會影響其時間同步 。或者在設定檔中增加以下兩行並重啟ntp服務：

restrict default kod nomodify notrap nopeer noquery
restrict -6 default kod nomodify notrap nopeer noquery