1、 我国 DDoS 攻击资源分析报告 (2020 年第 2 季度) 国家计算机网络应急技术处理协调中心 2020 年 7 月 CNCERT 我国 DDoS 攻击资源分析报告（2020 年第 2 季度） 2/ 20 目 录 一、引言 . 3 （一）攻击资源定义 . 3 （二）本季度重点关注情况 . 4 二、DDoS 攻击资源分析 . 5 （一）控制端资源分析. 5 （二）肉鸡资源分析 . 7 （三）反射攻击资源分析 . 10 （1）Memcached 反射服务器资源 . 10 （2）NTP 反射服务器资源 . 12 （3）SSDP 反射服务器资源 . 14 （四）转发伪造流量的路由器分析 . 17

2、 （1）跨域伪造流量来源路由器 . 17 （2）本地伪造流量来源路由器 . 19 CNCERT CNCERT 我国 DDoS 攻击资源分析报告（2020 年第 2 季度） 3/ 20 一、引言 （一）攻击资源定义 本报告为 2020 年第 2 季度的 DDoS 攻击资源分析报告。围绕互联网环境威胁治理问题，基于 CNCERT 监测的 DDoS攻击事件数据进行抽样分析，重点对“DDoS 攻击是从哪些网络资源上发起的” 这个问题进行分析。 主要分析的攻击资源包括： 1、 控制端资源， 指用来控制大量的僵尸主机节点向攻击目标发起 DDoS 攻击的僵尸网络控制端。 2、 肉鸡资源，指被控制端利用，向攻

3、击目标发起 DDoS攻击的僵尸主机节点。 3、 反射服务器资源， 指能够被黑客利用发起反射攻击的服务器、主机等设施，它们提供的某些网络服务（如 DNS 服务器，NTP 服务器等），不需要进行认证并且具有放大效果，又在互联网上大量部署， 从而成为被利用发起 DDoS 反射攻击的网络资源。 4、 跨域伪造流量来源路由器， 是指转发了大量任意伪造IP 攻击流量的路由器。由于我国要求运营商在接入网上进行源地址验证， 因此跨域伪造流量的存在， 说明该路由器或其下路由器的源地址验证配置可能存在缺陷， 且该路由器下的网络中存在发动 DDoS 攻击的设备。 CNCERT 我国 DDoS 攻击资源分析报告（20

4、20 年第 2 季度） 4/ 20 5、 本地伪造流量来源路由器， 是指转发了大量伪造本区域 IP 攻击流量的路由器。说明该路由器下的网络中存在发动DDoS 攻击的设备。 在本报告中， 一次 DDoS 攻击事件是指在经验攻击周期内，不同的攻击资源针对固定目标的单个 DDoS 攻击， 攻击周期时长不超过 24 小时。如果相同的攻击目标被相同的攻击资源所攻击， 但间隔为 24 小时或更多， 则该事件被认为是两次攻击。此外，DDoS 攻击资源及攻击目标地址均指其 IP 地址，它们的地理位置由它的 IP 地址定位得到。 （二）本季度重点关注情况 1、本季度利用肉鸡发起攻击的活跃控制端中，境外控制端按国

5、家和地区统计，最多位于美国、荷兰和德国；境内控制端按省份统计，最多位于上海市、北京市和江苏省，按归属运营商统计，电信占比最大。 2、本季度参与攻击的活跃境内肉鸡中，按省份统计最多位于江苏省、广东省和浙江省；按归属运营商统计，电信占比最大。 3、 本季度被利用参与 Memcached 反射攻击的活跃境内反射服务器中， 按省份统计排名前三名的省份是广东省、 山东省、和湖南省；数量最多的归属运营商是电信。被利用参与 NTP反射攻击的活跃境内反射服务器中， 按省份统计排名前三名的CNCERT 我国 DDoS 攻击资源分析报告（2020 年第 2 季度） 5/ 20 省份是河北省、 湖北省和河南省； 数

6、量最多的归属运营商是联通。被利用参与 SSDP 反射攻击的活跃境内反射服务器中，按省份统计排名前三名的省份是辽宁省、 浙江省和广东省； 数量最多的归属运营商是联通。 4、本季度转发伪造跨域攻击流量的路由器中，位于北京市、 江苏省和甘肃省的路由器数量最多。 本季度转发伪造本地攻击流量的路由器中， 位于浙江省、 江苏省和四川省的路由器数量最多。 二、DDoS 攻击资源分析 （一）控制端资源分析 2020 年第 2 季度 CNCERT/CC 监测发现，利用肉鸡发起DDoS 攻击的活跃控制端有 1248 个，其中境外控制端占比 96.4%、云平台控制端占比 79.8%，如图 1 所示，与 2020 年

7、第 1季度相比境外控制端占比进一步提高。 图 1 2020 年第 2 季度发起 DDoS 攻击的控制端数量境内外分布和云平台占比 云 79.8% 其他 20.2% 控制端云平台占比控制端云平台占比 境内 3.6% 境外 96.4% 控制端境内外分布控制端境内外分布 CNCERT 我国 DDoS 攻击资源分析报告（2020 年第 2 季度） 6/ 20 位于境外的控制端按国家或地区统计， 排名前三位的分别为美国（36.5%）、荷兰（18.3%）和德国（10.1%），其中如图 2 所示。 图 2 2020 年第 2 季度发起 DDoS 攻击的境外控制端数量按国家或地区分布 位于境内的控制端按省份统

8、计， 排名前三位的分别为上海省（28.9%）、北京市（24.4%）和江苏市（20.0%）；按运营商统计，电信占 24.4%，联通占 15.6%，移动占 4.4%，如图 3所示。 图 3 2020 年第 2 季度发起 DDoS 攻击的境内控制端数量按省份和运营商分布 发起攻击最多的境内控制端地址前二十名及归属如表 1美国 36.5% 荷兰 18.3% 德国 10.1% 中国香港 5.2% 俄罗斯 4.7% 匈牙利 4.2% 英国 4.2% 新加坡 2.5% 法国 2.4% 其他 12.0% 控制端境外分布控制端境外分布 电信 24.4% 联通 15.6% 移动 4.4% 其他 55.6% 控制端

9、境内运营商分布控制端境内运营商分布 上海 28.9% 北京 24.4% 江苏 20.0% 河南 8.9% 浙江 6.7% 广东 6.7% 吉林 2.2% 其他 2.2% 控制端境内分布控制端境内分布 CNCERT 我国 DDoS 攻击资源分析报告（2020 年第 2 季度） 7/ 20 所示，位于上海市的地址最多。 表 1 2020 年第 2 季度发起攻击的境内控制端 TOP20 控制端地址控制端地址 归属省份归属省份 归属运营商或云服务商归属运营商或云服务商 43.X.X.137 江苏 BGP 多线 223.X.X.237 江苏 移动 180.X.X.158 上海 电信 49.X.X.164

10、 上海 腾讯云 122.X.X.96 河南 BGP 多线 8.X.X.95 中国 阿里云 218.X.X.34 河南 联通 180.X.X.237 江苏 电信 122.X.X.232 上海 华为云 119.X.X.154 上海 华为云 122.X.X.98 上海 华为云 119.X.X.92 上海 华为云 122.X.X.62 上海 华为云 175.X.X.202 吉林 电信 121.X.X.3 浙江 阿里云 222.X.X.115 江苏 电信 121.X.X.183 上海 华为云 111.X.X.125 北京 联通 61.X.X.106 江苏 电信 111.X.X.213 北京 联通 （二）

11、肉鸡资源分析 2020 年第 2 季度 CNCERT/CC 监测发现，参与真实地址攻击（包含真实地址攻击与反射攻击等其他攻击的混合攻击）的肉鸡 484550 个，其中境内肉鸡占比 87.9%、云平台肉鸡占比 3.7%，如图 4 所示。 CNCERT 我国 DDoS 攻击资源分析报告（2020 年第 2 季度） 8/ 20 图 4 2020 年第 2 季度参与 DDoS 攻击的肉鸡数量境内外分布和云平台占比 位于境外的肉鸡按国家或地区统计， 排名前三位的分别为越南（18.9%）、美国（12.3%）和中国台湾（7.1%），其中如图 5 所示。 图 5 2020 年第 2 季度参与 DDoS 攻击的

12、境外肉鸡数量按国家或地区分布 位于境内的肉鸡按省份统计， 排名前三位的分别为江苏省（11.5%）、广东省（10.4%）和浙江省（9.0%）；按运营商统计，电信占 62.1%，联通占 30.3%，移动占 6.3%，如图 6所示。 越南 18.9% 美国 12.3% 中国台湾 7.1% 印度 4.9% 巴西 4.9% 马来西亚 4.1% 中国香港 4.1% 俄罗斯 3.7% 泰国 3.4% 其他 36.7% 肉鸡境外分布肉鸡境外分布 云 3.7% 其他 96.3% 肉鸡云平台占比肉鸡云平台占比 境内 87.9% 境外 12.1% 肉鸡境内外分布肉鸡境内外分布 CNCERT 我国 DDoS 攻击资源

13、分析报告（2020 年第 2 季度） 9/ 20 图 6 2020 年第 2 季度参与 DDoS 攻击的境内肉鸡数量按省份和运营商分布 参与攻击最多的境内肉鸡地址前二十名及归属如表 2 所示，位于北京市的地址最多。 表 2 2020 年第 2 季度参与攻击最多的境内肉鸡地址 TOP20 肉鸡地址肉鸡地址 归属省份归属省份 归属运营商归属运营商 111.X.X.145 北京 联通 124.X.X.117 北京 BGP 多线 111.X.X.233 北京 联通 111.X.X.201 北京 联通 111.X.X.227 北京 联通 111.X.X.195 北京 联通 36.X.X.5 北京 电信

14、123.X.X.121 北京 BGP 多线 39.X.X.75 广东 阿里云 219.X.X.205 湖北 电信 39.X.X.100 北京 阿里云 36.X.X.69 北京 电信 36.X.X.66 北京 电信 120.X.X.18 广东 移动 106.X.X.116 广东 腾讯云 222.X.X.181 四川 电信 58.X.X.215 北京 腾讯云 106.X.X.136 北京 百度云 134.X.X.144 广东 腾讯云 121.X.X.22 河北 联通 电信 62.1% 联通 30.3% 移动 6.3% 其他 1.3% 肉鸡境内运营商分布肉鸡境内运营商分布 江苏 11.5% 广东 1

15、0.4% 浙江 9.0% 山东 8.1% 安徽 7.1% 辽宁 5.4% 河南 5.1% 福建 4.2% 江西 4.1% 其他 35.2% 肉鸡境内分布肉鸡境内分布 CNCERT 我国 DDoS 攻击资源分析报告（2020 年第 2 季度） 10/ 20 （三）反射攻击资源分析 2020 年第 2 季度 CNCERT/CC 监测发现，参与反射攻击的三类重点反射服务器 3654265 台， 其中境内反射服务器占比67.8%，Memcached 反射服务器占比 2.4%，NTP 反射服务器占比 34.9%，SSDP 反射服务器占比 62.7%。 （1）Memcached 反射服务器资源 Memca

16、ched反射攻击利用了在互联网上暴露的大批量Memcached 服务器（一种分布式缓存系统）存在的认证和设计缺陷，攻击者通过向 Memcached 服务器 IP 地址的默认端口 11211 发送伪造受害者 IP 地址的特定指令 UDP 数据包， 使 Memcached 服务器向受害者 IP 地址返回比请求数据包大数倍的数据，从而进行反射攻击。 2020 年第 2 季度 CNCERT/CC 监测发现，参与反射攻击的 Memcached 反射服务器 87727 个，其中境内反射服务器占比 94.1%、云平台反射服务器占比 4.3%，如图 7 所示。 云 4.3% 其他 95.7% 反射服务器云平台

17、占比反射服务器云平台占比 境内 94.1% 境外 5.9% 反射服务器境内外分布反射服务器境内外分布 CNCERT 我国 DDoS 攻击资源分析报告（2020 年第 2 季度） 11/ 20 图 7 2020 年第 2 季度 Memcached 反射服务器数量境内外分布和云平台占比 位于境外的反射服务器按国家或地区统计， 排名前三位的分别为美国（20.9%）、德国（8.0%）和法国（6.7%），其中如图 8 所示。 图 8 2020 年第 2 季度境外 Memcached 反射服务器数量按国家或地区分布 位于境内的反射服务器按省份统计， 排名前三位的分别为广东省（17.0%）、山东省（7.0%

18、）和湖南省（6.5%）；按运营商统计，电信占 73.2%，移动占 16.3%，联通占 9.2%，如图9 所示。 图 9 2020 年第 2 季度境内 Memcached 反射服务器数量按省份和运营商分布 美国 20.9% 德国 8.0% 法国 6.7% 俄罗斯 5.2% 中国香港 5.1% 英国 3.8% 荷兰 3.2% 日本 3.2% 印度 3.1% 其他 40.8% 反射服务器反射服务器境外分布境外分布 电信 73.2% 移动 16.3% 联通 9.2% 其他 1.3% 反射服务器反射服务器境内运营商分布境内运营商分布 广东 17.0% 山东 7.0% 湖南 6.5% 广西 5.4% 河北

19、 5.0% 河南 4.4% 陕西 3.7% 四川 3.5% 湖北 3.5% 其他 44.0% 反射服务器反射服务器境内分布境内分布 CNCERT 我国 DDoS 攻击资源分析报告（2020 年第 2 季度） 12/ 20 被利用参与 Memcached 反射攻击最多的境内反射服务器地址前二十名及归属如表 3 所示，位于北京市的地址最多。 表 3 2020 年第 2 季度被利用参与 Memcached 反射攻击最多的反射服务器地址 Top20 反射服务器地址反射服务器地址 归属省份归属省份 归属运营商或云服务商归属运营商或云服务商 210.X.X.98 北京 联通 118.X.X.3 甘肃 电信

20、 180.X.X.253 北京 百度云 182.X.X.240 广东 百度云 180.X.X.185 北京 百度云 180.X.X.230 北京 百度云 180.X.X.149 北京 百度云 117.X.X.56 甘肃 移动 223.X.X.22 北京 移动 106.X.X.148 北京 百度云 180.X.X.192 北京 百度云 61.X.X.62 北京 联通 139.X.X.209 上海 阿里云 106.X.X.142 北京 电信 122.X.X.226 广东 联通 121.X.X.221 广东 BGP 多线 180.X.X.238 北京 百度云 58.X.X.30 广东 联通 61.X

21、.X.141 北京 联通 183.X.X.143 山西 移动 （2）NTP 反射服务器资源 NTP 反射攻击利用了 NTP（一种通过互联网服务于计算机时钟同步的协议） 服务器存在的协议脆弱性， 攻击者通过向NTP服务器 IP地址的默认端口123发送伪造受害者 IP地址的Monlist 指令数据包，使 NTP 服务器向受害者 IP 地址反射返回比原始数据包大数倍的数据，从而进行反射攻击。 2020 年第 2 季度 CNCERT/CC 监测发现，参与反射攻击的 NTP 反射服务器 1274394 个， 其中境内反射服务器占比 25.CNCERT 我国 DDoS 攻击资源分析报告（2020 年第 2

22、 季度） 13/ 20 9%、云平台反射服务器占比 2.7%，如图 10 所示。 图 10 2020 年第 2 季度 NTP 反射服务器数量境内外分布和云平台占比 位于境外的反射服务器按国家或地区统计， 排名前三位的分别为越南（56.6%）、巴西（11.0%）和巴基斯坦（5.2%），其中如图 11 所示。 图 11 2020 年第 2 季度境外 NTP 反射服务器数量按国家或地区分布 位于境内的反射服务器按省份统计， 排名前三位的分别为河北省（30.2%）、湖北省（14.9%）和河南省（14.3%）；按运营商统计，联通占 65.3%，电信占 26.6%，移动占 7.3%，如图 12 所示。 越

23、南 56.6% 巴西 11.0% 巴基斯坦 5.2% 美国 4.1% 委内瑞拉 3.3% 印度 2.7% 乌克兰 1.6% 中国香港 1.1% 俄罗斯 1.0% 其他 13.2% 反射服务器反射服务器境外分布境外分布 云 2.7% 其他 97.3% 反射服务器云平台占比反射服务器云平台占比 境内 25.9% 境外 74.1% 反射服务器境内外分布反射服务器境内外分布 CNCERT 我国 DDoS 攻击资源分析报告（2020 年第 2 季度） 14/ 20 图 12 2020 年第 2 季度境内 NTP 反射服务器数量按省份和运营商分布 被利用参与 NTP 反射攻击最多的境内反射服务器地址前二十

24、名及归属如表 4 所示，位于河南省的地址最多。 表 4 2020 年第 2 季度被利用参与 NTP 反射攻击最多的反射服务器地址 Top20 反射服务器地址反射服务器地址 归属省份归属省份 归属运营商归属运营商 123.X.X.126 内蒙古 电信 61.X.X.10 河南 联通 202.X.X.52 海南 电信 218.X.X.70 河南 联通 220.X.X.154 海南 电信 218.X.X.107 河南 联通 222.X.X.3 贵州 电信 211.X.X.106 山西 移动 218.X.X.78 河南 联通 218.X.X.100 宁夏 电信 211.X.X.202 山西 移动 21

25、8.X.X.66 河南 联通 211.X.X.250 山西 移动 218.X.X.236 河南 联通 218.X.X.102 宁夏 电信 111.X.X.9 湖南 移动 111.X.X.3 湖南 移动 111.X.X.6 湖南 移动 222.X.X.150 湖南 电信 218.X.X.117 河南 联通 （3）SSDP 反射服务器资源 联通 65.3% 电信 26.6% 移动 7.3% 其他 0.7% 反射服务器反射服务器境内运营商分布境内运营商分布 河北 30.2% 湖北 14.9% 河南 14.3% 山西 8.2% 浙江 6.2% 山东 5.2% 广东 4.8% 辽宁 4.8% 四川 1.

26、2% 其他 10.2% 反射服务器反射服务器境内分布境内分布 CNCERT 我国 DDoS 攻击资源分析报告（2020 年第 2 季度） 15/ 20 SSDP 反射攻击利用了 SSDP（一种应用层协议，是构成通用即插即用(UPnP)技术的核心协议之一） 服务器存在的协议脆弱性，攻击者通过向 SSDP 服务器 IP 地址的默认端口 1900发送伪造受害者 IP 地址的查询请求，使 SSDP 服务器向受害者 IP 地址反射返回比原始数据包大数倍的应答数据包，从而进行反射攻击。 2020 年第 2 季度 CNCERT/CC 监测发现，参与反射攻击的 SSDP 反射服务器 2292144 个，其中境

27、内反射服务器占比 90.0%、云平台反射服务器占比 0.1%，如图 13 所示。 图 13 2020 年第 2 季度 SSDP 反射服务器数量境内外分布和云平台占比 位于境外的反射服务器按国家或地区统计， 排名前三位的分别为俄罗斯 （17.9%） 、 中国台湾 （10.2%） 和美国 （6.8%） ，其中如图 14 所示。 云 0.1% 其他 99.9% 反射服务器云平台占比反射服务器云平台占比 境内 90.0% 境外 10.0% 反射服务器境内外分布反射服务器境内外分布 CNCERT 我国 DDoS 攻击资源分析报告（2020 年第 2 季度） 16/ 20 图 14 2020 年第 2 季

28、度境外 SSDP 反射服务器数量按国家或地区分布 位于境内的反射服务器按省份统计， 排名前三位的分别为辽宁省（17.5%）、浙江省（14.6%）和广东省（11.3%）；按运营商统计，联通占 55.9%，电信占 42.6%，移动占 0.7%，如图 15 所示。 图 15 2020 年第 2 季度境内 SSDP 反射服务器数量按省份和运营商分布 被利用参与 SSDP 反射攻击最多的境内反射服务器地址前二十名及归属如表 5 所示，位于陕西省的地址最多。 俄罗斯 17.9% 中国台湾 10.2% 美国 6.8% 韩国 6.4% 日本 4.6% 巴西 4.4% 乌克兰 4.3% 泰国 4.2% 加拿大

29、4.0% 其他 37.2% 反射服务器反射服务器境外分布境外分布 联通 55.9% 电信 42.6% 移动 0.7% 其他 0.8% 反射服务器反射服务器境内运营商分布境内运营商分布 辽宁 17.5% 浙江 14.6% 广东 11.3% 吉林 8.6% 黑龙江 6.8% 山西 4.7% 江苏 4.2% 广西 4.1% 四川 3.2% 其他 25.1% 反射服务器反射服务器境内分布境内分布 CNCERT 我国 DDoS 攻击资源分析报告（2020 年第 2 季度） 17/ 20 表 5 2020 年第 2 季度被利用参与 SSDP 反射攻击最多的反射服务器地址 Top20 反射服务器地址反射服务

30、器地址 归属省份归属省份 归属运营商归属运营商 124.X.X.174 陕西 电信 118.X.X.118 甘肃 电信 58.X.X.110 上海 联通 59.X.X.242 山西 电信 219.X.X.60 陕西 电信 58.X.X.226 上海 联通 61.X.X.175 陕西 电信 222.X.X.245 上海 电信 219.X.X.42 陕西 电信 117.X.X.6 陕西 电信 124.X.X.30 陕西 电信 117.X.X.3 甘肃 移动 61.X.X.124 陕西 电信 219.X.X.146 山西 电信 117.X.X.57 甘肃 移动 219.X.X.78 陕西 电信 58

31、.X.X.154 上海 联通 27.X.X.62 上海 联通 140.X.X.174 上海 联通 60.X.X.38 天津 联通 （四）转发伪造流量的路由器分析 （1）跨域伪造流量来源路由器 2020 年第 2 季度 CNCERT/CC 监测发现，转发跨域伪造流量的路由器 37 个；按省份统计，排名前三位的分别为北京市（24.3%）、江苏省（18.9%）和甘肃省（10.8%）；按运营商统计，电信占 80.7%，联通占 12.3%，移动占 7.0%，如图 16 所示。 CNCERT 我国 DDoS 攻击资源分析报告（2020 年第 2 季度） 18/ 20 图 16 跨域伪造流量来源路由器数量按

32、省份和运营商分布 根据参与攻击事件的数量统计， 参与攻击事件最多的跨域伪造流量来源路由器地址前二十名及归属如表 6 所示， 位于江苏省的地址最多。 表 6 2020 年第 2 季度参与攻击最多的跨域伪造流量来源路由器 TOP20 跨域伪造流量来源路由器跨域伪造流量来源路由器 归属省份归属省份 归属运营商归属运营商 202.X.X.60 北京 电信 202.X.X.61 北京 电信 202.X.X.116 天津 电信 202.X.X.194 江苏 电信 202.X.X.118 天津 电信 202.X.X.191 江苏 电信 202.X.X.235 甘肃 电信 202.X.X.234 甘肃 电信

33、202.X.X.191 江苏 电信 202.X.X.160 浙江 电信 202.X.X.194 江苏 电信 202.X.X.192 江苏 电信 202.X.X.193 江苏 电信 202.X.X.195 江苏 电信 202.X.X.232 甘肃 电信 202.X.X.233 甘肃 电信 202.X.X.223 四川 电信 202.X.X.17 上海 电信 202.X.X.222 四川 电信 202.X.X.16 上海 电信 电信 83.8% 联通 13.5% 移动 2.7% 跨域伪造流量来源路由器跨域伪造流量来源路由器运营运营商分布商分布 北京 24.3% 江苏 18.9% 甘肃 10.8%

34、四川 10.8% 上海 10.8% 浙江 8.1% 湖南 5.4% 广东 5.4% 天津 5.4% 跨域伪造流量来源路由器跨域伪造流量来源路由器分布分布 CNCERT 我国 DDoS 攻击资源分析报告（2020 年第 2 季度） 19/ 20 （2）本地伪造流量来源路由器 2020 年第 2 季度 CNCERT/CC 监测发现，转发本地伪造流量的路由器 214 个； 按省份统计， 排名前三位的分别为浙江省（15.0%）、江苏省（14.5%）和四川省（9.8%）；按运营商统计，电信占 87.1%，移动占 8.4%，联通占 4.5%，如图 17所示。 图 17 2020 年第 2 季度本地伪造流量

35、来源路由器数量按省份和运营商分布 根据参与攻击事件的数量统计， 参与攻击事件最多的本地伪造流量来源路由器地址前二十名及归属如表 7 所示， 位于江苏省的地址最多。 表 7 2020 年第 2 季度参与攻击最多的本地伪造流量来源路由器 TOP20 本地伪造流量来源路由器本地伪造流量来源路由器 归属省份归属省份 归属运营商归属运营商 220.X.X.127 浙江 电信 220.X.X.126 浙江 电信 202.X.X.137 浙江 电信 202.X.X.136 浙江 电信 124.X.X.1 上海 电信 202.X.X.17 上海 电信 123.X.X.1 内蒙古 电信 123.X.X.2 内蒙

36、古 电信 电信 87.1% 移动 8.4% 联通 4.5% 本地伪造流量来源路由器本地伪造流量来源路由器运营运营商分布商分布 浙江 15.0% 江苏 14.5% 四川 9.8% 广东 9.3% 北京 6.5% 上海 5.6% 江西 5.1% 黑龙江 5.1% 湖南 3.7% 其他 25.2% 本地本地伪造流量来源路由器伪造流量来源路由器分布分布 CNCERT 我国 DDoS 攻击资源分析报告（2020 年第 2 季度） 20/ 20 61.X.X.1 江苏 电信 61.X.X.2 江苏 电信 222.X.X.128 江苏 电信 222.X.X.127 江苏 电信 222.X.X.1 江苏 电信 61.X.X.252 江苏 电信 61.X.X.255 江苏 电信 222.X.X.2 江苏 电信 202.X.X.21 上海 电信 61.X.X.220 浙江 电信 61.X.X.70 江苏 电信 61.X.X.71 江苏 电信