[论文解读] Untraceable Email Cluster Bombs: On Agent-Based Distributed Denial of Service

Markus Jakobsson, Filippo Menczer|ArXiv.org|May 23, 2003

Spam and Phishing Detection参考文献 7被引用 11

一句话总结

本文提出了一种新型的、不可追踪的基于电子邮件和短信的分布式拒绝服务（DDoS）攻击，利用自动化代理通过第三方网页表单向受害者发送大量请求，从而利用发送方身份验证缺失的漏洞。该攻击易于发起，几乎无法追踪，且仅需极少努力即可使电子邮件收件箱、移动消息应用和在线服务瘫痪。

ABSTRACT

We uncover a vulnerability that allows for an attacker to perform an email-based attack on selected victims, using only standard scripts and agents. What differentiates the attack we describe from other, already known forms of distributed denial of service (DDoS) attacks is that an attacker does not need to infiltrate the network in any manner -- as is normally required to launch a DDoS attack. Thus, we see this type of attack as a poor man's DDoS. Not only is the attack easy to mount, but it is also almost impossible to trace back to the perpetrator. Along with descriptions of our attack, we demonstrate its destructive potential with (limited and contained) experimental results. We illustrate the potential impact of our attack by describing how an attacker can disable an email account by flooding its inbox; block competition during on-line auctions; harm competitors with an on-line presence; disrupt phone service to a given victim; cheat in SMS-based games; disconnect mobile corporate leaders from their networks; and disrupt electronic elections. Finally, we propose a set of countermeasures that are light-weight, do not require modifications to the infrastructure, and can be deployed in a gradual manner.

研究动机与目标

• 揭示一种新型攻击向量，可在不入侵系统的情况下实现不可追踪的大规模电子邮件和短信泛洪攻击。
• 展示自动化代理如何利用第三方网站上的网页表单对特定受害者实施攻击。
• 强调此类攻击对关键系统（如在线选举和应急通信）造成的社会与基础设施风险。
• 提出实用且轻量级的防御方案，无需基础设施变更或密码学机制。
• 激发关于隐私、匿名性以及通信技术伦理使用的讨论。

提出的方法

• 攻击利用自动化网页爬虫，将受害者的电子邮箱地址或电话号码提交至大量网站上的第三方网页表单。
• 这些‘发射平台’是合法网站，因表单提交而无意中向受害者发送大量电子邮件或短信。
• 该方法依赖于网页表单中缺乏非交互式发送方验证机制，从而允许大规模注入受害者的联系方式。
• 由于攻击行为模仿正常用户操作，且无需系统入侵或IP欺骗，因此具有不可追踪性。
• 防御措施包括过滤来自非通讯录联系人的邮件，以及通过服务器端启发式方法检测异常的表单提交模式。
• 作者主张逐步部署这些防御机制，而无需修改现有的电子邮件或网络基础设施。

实验结果

研究问题

• RQ1 攻击者如何仅使用标准脚本和代理，在不入侵任何系统的情况下发起大规模DDoS攻击？
• RQ2 为何与需要系统入侵的传统DDoS方法相比，此攻击方式几乎无法追踪？
• RQ3 此类攻击在现实世界中对电子邮件、短信和在线服务的实际影响是什么？
• RQ4 如何实施轻量级、非侵入式防御措施，以缓解此威胁而不破坏现有系统？
• RQ5 此类攻击类型对数字通信和隐私问题引发的更广泛社会与伦理影响是什么？

主要发现

• 实验表明，该攻击可在短短几秒内填满一部普通手机的收件箱，使其无法使用。
• 实验显示，单个代理每分钟可生成数千条消息，通过向多个网页表单提交数据。
• 该方法可通过向竞标系统注入虚假竞标，扰乱在线拍卖，阻止合法竞标者参与。
• 通过针对电子邮件和短信服务中常见的姓名，该攻击可使企业高管的移动设备瘫痪。
• 该攻击可被用于通过向选民或服务器发送虚假提交信息，干扰电子投票系统。
• 所提出的防御措施（如过滤非通讯录联系人发送的邮件）效果显著，且可无需基础设施变更逐步部署。