我国 DDoS 攻击资源分析报告 （ 2020 年 第 1 季度 ） 国家计算机网络应急技术处理协调中心 2020 年 5 月 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 2/ 20 目 录 一、引言 . 3 （一）攻击资源定义 . 3 （二）本季度重点关注情况 . 4 二、 DDoS 攻击资源分析 . 5 （一）控制端资源分析 . 5 （二）肉鸡资源分析 . 7 （三）反射攻击资源分析 . 10 （ 1） Memcached反射服务器资源 . 10 （ 2） NTP反射服务器资源 . 12 （ 3） SSDP反射服务器资源 . 15 （四）转发伪造流量的路由器分析 . 17 （ 1）跨域伪造流量来源路由器 . 17 （ 2）本地伪造流量来源路由器 . 19 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 3/ 20 一、引言 （一）攻击资源定义 本报告为 2020年 第 1季度 的 DDoS攻击资源 分析报告。 围绕互联网环境威胁治理问题，基于 CNCERT 监测的 DDoS 攻击事件数据进行抽样分析，重点对“ DDoS攻击是从哪些网 络资源上发起的”这个问题进行分析。主要分析的攻击资源包 括： 1、 控制端资源，指用来控制大量的僵尸主机节点向攻击 目标发起 DDoS攻击的 僵尸网络控制端。 2、 肉鸡资源，指被控制端利用，向攻击目标发起 DDoS 攻击的僵尸主机节点。 3、 反射服务器资源，指能够被黑客 利用发起反射攻击的 服务器、主机等设施，它们提供的某些网络服务 （如 DNS 服 务器， NTP服务器等） ，不需要进行认证并且具有放大效果， 又在互联网上大量部署， 从而 成为被利用发起 DDoS反射 攻击 的网络资源。 4、 跨域伪造流量来源路由器，是指转发了大量任意伪造 IP 攻击流量的路由器。由于我国要求运营商在接入网上进行 源地址验证，因此跨域伪造流量的存在，说明该路由器或其下 路由器的源地址验证配置可能存在缺陷，且该路由器下的网络 中存在发动 DDoS攻击的设备。 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 4/ 20 5、 本地伪造流量来源路由器，是指转发了大量伪造本区 域 IP 攻击流量的路由器。说明该路由器下的网络中存在发动 DDoS攻击的设备。 在本报告中，一次 DDoS攻击事件是指在经验攻击周期内， 不同的攻击资源针对固定目标的单个 DDoS攻击，攻击周期时 长不超过 24 小时。如果相同的攻击目标被相同的攻击资源所 攻击，但间隔为 24小时或更多，则该事 件被认为是两次攻击。 此外， DDoS 攻击资源及攻击目标地址均指其 IP 地址，它们 的地理位置由它的 IP 地址定位得到。 （二） 本季度 重点关注情况 1、本季度 利用肉鸡发起攻击的 活跃 控制端中， 境外 控制 端 按 国家 和地区 统计 ， 最多 位于 美国 、荷兰和德国；境内控制 端按 省份 统计， 最多 位于 江苏省、上海市和北京市 ，按归属 运 营商统计， 电信 占比 最大 。 2、本季度 参与攻击的活跃 境内 肉鸡中 ，按 省份 统计最多 位于 江苏省、广东省和浙江省 ； 按 归属 运营商统计， 电信占比 最大 。 3、本季度 被利用 参与 Memcached反射攻击 的 活跃 境内反 射服务器 中 ，按省份统计排名前三名的省份是 广东省、湖南省 、 和广西省 ； 数量最多的归属运营商是电信 。 被利用 参与 NTP 反射攻击的 活跃 境内反射服务器 中， 按省份统计排名前三名的 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 5/ 20 省份是 河北省、湖北省 和河南省 ；数量最多的归属运营商 是 联 通。被利用参与 SSDP反射攻击的 活跃 境内反射服务器 中 ， 按 省份统计排名前三名的省份是 辽宁省、浙江省和广东省 ；数量 最多的归属运营商是 联通 。 4、 本季度 转发伪造跨域攻 击流量的路由器中， 位于 浙江 省、上海市和北京市 的 路由器 数量 最多 。本季度 转发伪造本地 攻击流量的路由器中， 位于 浙江省、四川省和江苏省 的 路由器 数量 最多 。 二、 DDoS 攻击资源分析 （一）控制端资源分析 2020 年 第 1 季度 CNCERT/CC 监测发现，利用肉鸡发起 DDoS 攻击的活跃控制端有 1294 个，其中境外 控制端占比 94.4%、云平台 控制端占比 83.9%， 如图 1所示， 与 2019年 相 比 境外 控制端 占比 进一步 提高。 图 1 2020 年 第 1 季度 发起 DDoS 攻击的控制端数量境内外 分布和云平台 占比 云 83.9% 其他 16.1% 控制端云平台占比 境内 5.6% 境外 94.4% 控制端境内外分布 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 6/ 20 位于境外的控制端按国家或 地区 统计，排名前三位的分别 为美国（ 35.4%）、荷兰（ 13.8%）和德国（ 13.3%），其中如 图 2所示。 图 2 2020 年 第 1 季度 发起 DDoS 攻击的境外控制端数量按国家或地区分布 位于境内的控制端按省份 统计，排名前三位的分别为江苏 省（ 23.6%）、上海市 （ 20.8%）和 北京市 （ 15.3%） ；按运营 商统计，电信 占 38.8%，联通占 32.1%，移动占 21.6%， 如图 3所示。 图 3 2020 年 第 1 季度 发起 DDoS 攻击的境内控制端数量 按省份 和 运营商 分布 发起 攻击 最多 的境内 控制端 地址 前 二十名 及归属如表 1 美国 35.4% 荷兰 13.8% 德国 13.3% 英国 4.8% 中国香港 4.7% 加拿大 3.8% 新加坡 3.3% 俄罗斯 2.0% 法国 2.0% 其他 16.8% 控制端境外分布 电信 38.8% 联通 32.1% 移动 21.6% 其他 7.5% 控制端境内运营商分布 江苏 23.6% 上海 20.8% 北京 15.3% 浙江 6.9% 广东 5.6% 吉林 5.6% 辽宁 4.2% 河南 4.2% 山东 4.2% 其他 9.7% 控制端境内分布 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 7/ 20 所示，位于 江苏省 和 上海市的地址最多。 表 1 2020 年 第 1 季度 发起攻击的境内控制端 TOP20 控制端地址 归属省份 归属运营商或云服务商 180.X.X.237 江苏 电信 122.X.X.163 河南 BGP 多线 61.X.X.106 江苏 电信 183.X.X.217 广东 电信 61.X.X.121 江苏 电信 111.X.X.179 安徽 移动 193.X.X.99 广东 腾讯云 180.X.X.50 江苏 电信 218.X.X.64 江苏 电信 125.X.X.39 广东 电信 122.X.X.232 上海 华为云 119.X.X.92 上海 华为云 119.X.X.154 上海 华为云 122.X.X.98 上海 华为云 122.X.X.62 上海 华为云 121.X.X.197 浙江 阿里云 222.X.X.162 江苏 电信 111.X.X.16 江苏 BGP 多线 122.X.X.228 上海 腾讯云 49.X.X.111 上海 腾讯云 （二）肉鸡资源分析 2020 年 第 1 季度 CNCERT/CC 监测发现，参与真实地址 攻击（包含真实地址攻击与反射攻击等其他攻击的混合攻击） 的 肉鸡 810081 个 ，其中境内 肉鸡占比 91.5%、云平台肉鸡 占 比 2.8%， 如图 4所示。 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 8/ 20 图 4 2020 年 第 1 季度 参与 DDoS 攻击的肉鸡数量境内外 分布和云平台 占比 位于境外的肉鸡按国家 或地区 统计，排名前三位的分别为 美国（ 19.9%）、越南 （ 7.6%）和 巴西 （ 6.2%），其中如图 5 所示。 图 5 2020 年 第 1 季度 参与 DDoS 攻击的境外肉鸡数量按国家或地区分布 位于境内的肉鸡按省份 统计，排名前三位的分别为江苏 省 （ 12.6%）、广东 省（ 10.5%）和浙江省（ 9.1%）； 按运营商 统计，电信占 54.8%，联通占 25.9%，移动占 9.7%， 如图 6 所示。 美国 19.9% 越南 7.6% 巴西 6.2% 中国台湾 5.3% 俄罗斯 4.3% 中国香港 4.3% 印度 4.1% 日本 3.5% 泰国 3.3% 其他 41.4% 肉鸡境外分布 云 2.8% 其他 97.2% 肉鸡云平台占比 境内 91.5% 境外 8.5% 肉鸡境内外分布 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 9/ 20 图 6 2020 年 第 1 季度 参与 DDoS 攻击的境内肉鸡数量按省份 和 运营商 分布 参与 攻击 最多 的境内 肉鸡 地址 前 二十名 及归属如表 2 所 示，位于 北京市 的地址最多。 表 2 2020 年 第 1 季度 参 与攻击最多的 境内 肉鸡地址 TOP20 肉鸡地址 归属省份 归属运营商 111.X.X.145 北京 联通 39.X.X.75 广东 阿里云 101.X.X.51 上海 360 云 39.X.X.100 北京 阿里云 124.X.X.117 北京 BGP 多线 111.X.X.131 北京 联通 111.X.X.139 北京 联通 111.X.X.124 北京 联通 111.X.X.93 北京 联通 123.X.X.121 北京 BGP 多线 111.X.X.233 北京 联通 111.X.X.201 北京 联通 36.X.X.5 北京 电信 111.X.X.227 北京 联通 154.X.X.237 北京 腾讯云 111.X.X.195 北京 联通 122.X.X.52 上海 腾讯云 118.X.X.241 重庆 腾讯云 94.X.X.120 重庆 腾讯云 122.X.X.218 上海 腾讯云 电信 54.8% 联通 25.9% 移动 9.7% 其他 9.6% 肉鸡境内运营商分布 江苏 12.6% 广东 10.5% 浙江 9.1% 山东 7.9% 安徽 7.7% 河南 5.1% 江西 5.0% 四川 4.8% 辽宁 4.0% 其他 33.3% 肉鸡境内分布 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 10/ 20 （三）反射攻击资源分析 2020 年 第 1 季度 CNCERT/CC 监测发现， 参与反射攻击 的 三类重点反射服务器 5379142台 ，其中 境内反射服务器 占比 64.7%， Memcached 反射服务器占比 3.0%， NTP 反射服务器 占比 41.0%， SSDP反射服务器占比 56.0%。 （ 1） Memcached反射服务器资源 Memcached反射攻击利用了在互联网上暴露的大批量 Me mcached服务器（一种分布式缓存系统）存在的认证和设计缺 陷，攻击者通过向 Memcached 服务器 IP 地址的默认端口 112 11 发送伪造受害者 IP 地址的特定指令 UDP数据包，使 Memc ached 服务器向受害者 IP 地址返回比请求数据包大数倍的数 据，从而进行反射攻击。 2020 年 第 1 季度 CNCERT/CC 监测发现，参与反射攻击 的 Memcached反射服务器 158855个 ，其中境内反射 服务器占 比 97.6%、云平台反射 服务器占比 2.2%， 如图 7所示。 图 7 2020 年 第 1 季度 Memcached 反射服务器数量境内外 分布和云平台 占比 云 2.2% 其他 97.8% 反射服务器云平台占比 境内 97.6% 境外 2.4% 反射服务器境内外分布 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 11/ 20 位于境外的反射服务器按国家或地区 统计，排名前三位的 分别为美国（ 22.7%）、中国 香港 （ 7.1%）和法国（ 6.9%）， 其中如图 8所示。 图 8 2020 年 第 1 季度 境外 Memcached 反射服务器数量按国家或地区分布 位于境内的反射服务器按省份 统计，排名前三位的分别为 广东省（ 14.7%）、湖南 省（ 7.7%）和广西 省（ 6.9%） ； 按运 营商统计，电信占 76.7%，联通占 14.4%，移动占 8.4%， 如图 9所示。 图 9 2020 年 第 1 季度 境内 Memcached 反射服务器数量按省份 和 运营商 分布 被利用参与 Memcached 反射 攻击 最多 的境内 反射 服务器 美国 22.7% 中国香港 7.1% 法国 6.9% 德国 6.4% 俄罗斯 4.8% 印度 4.1% 日本 4.0% 越南 3.6% 加拿大 3.5% 其他 37.0% 反射服务器 境外分布 电信 76.7% 移动 14.4% 联通 8.4% 其他 0.5% 反射服务器 境内运营商分布 广东 14.7% 湖南 7.7% 广西 6.9% 河北 6.0% 山东 5.3% 四川 4.9% 甘肃 4.4% 陕西 3.9% 安徽 3.7% 其他 42.4% 反射服务器 境内分布 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 12/ 20 地址 前 二十名 及归属如表 3所示，位于 上海市 和 北京市 的地址 最多。 表 3 2020 年 第 1 季度 被利用参与 Memcached 反射攻击 最多 的反射服务器 地址 Top20 反射服务器地址 归属省份 归属运营商或云服务商 58.X.X.30 广东 联通 210.X.X.98 北京 联通 120.X.X.166 上海 移动 120.X.X.253 上海 金山云 113.X.X.112 广东 电信 120.X.X.112 上海 移动 119.X.X.93 北京 BGP 多线 121.X.X.221 广东 BGP 多线 60.X.X.82 安徽 电信 117.X.X.51 甘肃 移动 106.X.X.69 北京 百度云 114.X.X.60 上海 京东云 139.X.X.209 上海 阿里云 221.X.X.43 黑龙江 联通 120.X.X.175 上海 金山云 123.X.X.192 北京 联通 122.X.X.68 浙江 电信 202.X.X.85 北京 联通 61.X.X.141 北京 联通 27.X.X.166 上海 联通 （ 2） NTP反射服务器资源 NTP 反射攻击 利用 了 NTP（一种通过互联网服务于计算 机时钟同步的协议） 服务器 存在 的 协议脆弱性 ， 攻击者通过向 NTP服务器 IP地址的默认端口 123发送伪造受害者 IP地址的 Monlist 指令数据包，使 NTP 服务器向受害者 IP 地址反射返 回比原始数据包大数倍的数据，从而进行反射攻击。 2020 年 第 1 季度 CNCERT/CC 监测发现，参与反射攻击 的 NTP反射服务器 2207483个 ，其中境内反射 服务器占比 36. CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 13/ 20 4%、云平台反射 服务器占比 1.7%， 如图 10所示 ，与 2019年 相比境外 反射服务器 占比 大幅度 提高 。 图 10 2020 年 第 1 季度 NTP 反射服务器数量境内外 分布和云平台 占比 位于境外的反射服务器按国家或地区 统计，排名前三位的 分别为越南（ 59.5%）、巴西（ 11.8%）和巴基斯坦（ 5.2%）， 其中如图 11 所示。 图 11 2020 年 第 1 季度 境外 NTP 反射服务器数量按国家或地区分布 位于境内的反射服务器按省份 统计，排名前三位的分别为 河北 省（ 20.3%）、湖北 省（ 18.3%）和河南省（ 10.5%） ； 按 运营商统计， 联通 占 51.3%，电信 占 41.5%，移动占 7.0%，如 越南 59.5% 巴西 11.8% 巴基斯坦 5.2% 委内瑞拉 3.9% 乌克兰 2.6% 美国 2.4% 俄罗斯 2.3% 印度 1.1% 波兰 0.9% 其他 10.2% 反射服务器 境外分布 云 1.7% 其他 98.3% 反射服务器云平台占比 境内 36.4% 境外 63.6% 反射服务器境内外分布 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 14/ 20 图 12所示。 图 12 2020 年 第 1 季度 境内 NTP 反射服务器数量按省份 和 运营商 分布 被利用参与 NTP 反射 攻击 最多 的境内 反射 服务器 地址 前 二十名 及归属如表 4所示，位于 安徽省 的地址最多。 表 4 2020 年 第 1 季度 被利用 参与 NTP 反射攻击 最多 的反射服务器 地址 Top20 反射服务器地址 归属省份 归属运营商 112.X.X.102 安徽 移动 202.X.X.52 海南 电信 122.X.X.5 吉林 联通 122.X.X.20 吉林 联通 111.X.X.217 山西 移动 222.X.X.3 贵州 电信 222.X.X.150 湖南 电信 111.X.X.7 湖南 移动 211.X.X.138 山西 移动 220.X.X.154 海南 电信 203.X.X.44 辽宁 电信 120.X.X.206 安徽 移动 111.X.X.71 安徽 移动 111.X.X.99 安徽 移动 112.X.X.80 安徽 移动 111.X.X.62 宁夏 电信 111.X.X.245 山西 移动 220.X.X.229 云南 电信 202.X.X.148 贵州 电信 218.X.X.102 宁夏 电信 联通 51.3% 电信 41.5% 移动 7.0% 其他 0.2% 反射服务器 境内运营商分布 河北 20.3% 湖北 18.3% 河南 10.5% 山西 7.3% 山东 7.0% 广东 5.4% 浙江 5.3% 辽宁 4.7% 江苏 2.5% 其他 18.7% 反射服务器 境内分布 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 15/ 20 （ 3） SSDP反射服务器资源 SSDP 反射攻击 利用 了 SSDP（一种应用层协议，是构成 通用即插即用 (UPnP)技术的核心协议之一） 服务器 存在 的 协议 脆弱性 ， 攻击者通过向 SSDP服务器 IP 地址的默认端口 1900 发送伪造受害者 IP 地址的查询请求，使 SSDP 服务器向受害 者 IP 地址反射返回比原始数据包大数倍的应答数据包，从而 进行反射攻击。 2020 年 第 1 季度 CNCERT/CC 监测发现， 参与反射攻击 的 SSDP反射服务器 3012804个 ，其中境内反射 服务器占比 8 3.7%、云平台反射 服务器占比 0.1%， 如图 13所示。 图 13 2020 年 第 1 季度 SSDP 反射服务器数量境内外 分布和云平台 占比 位于境外的反射服务器按国家或地区 统计，排名前三位的 分别为中国 台湾 （ 16.6%）、 俄罗斯 （ 13.0%）和加拿大 （ 5.5%）， 其中如图 14所示。 云 0.1% 其他 99.9% 反射服务器云平台占比 境内 83.7% 境外 16.3% 反射服务器境内外分布 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 16/ 20 图 14 2020 年 第 1 季度 境外 SSDP 反射服务器数量按国家或地区分布 位于境内的反射服务器按省份 统计，排名前三位的分别为 辽宁省（ 20.7%）、浙江省（ 13.0%）和广东 省（ 10.7%） ； 按 运营商统计， 联通 占 60.5%，电信 占 38.0%，移动占 0.9%， 如 图 15所示。 图 15 2020 年 第 1 季度 境内 SSDP 反射服务器数量按 省份 和运营商 分布 被利用参与 SSDP 反射 攻击 最多 的境内 反射 服务器 地址 前 二十名 及归属如表 5所示，位于 上海市 的地址最多。 中国台湾 16.6% 俄罗斯 13.0% 加拿大 5.5% 韩国 5.3% 意大利 5.2% 美国 4.9% 巴西 4.3% 乌克兰 3.7% 日本 3.5% 其他 38.0% 反射服务器 境外分布 联通 60.5% 电信 38.0% 移动 0.9% 其他 0.6% 反射服务器 境内运营商分布 辽宁 20.7% 浙江 13.0% 广东 10.7% 吉林 9.4% 黑龙江 6.9% 山西 5.2% 江苏 4.6% 北京 3.4% 广西 2.9% 其他 23.3% 反射服务器 境内分布 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 17/ 20 表 5 2020 年 第 1 季度 被利用 参与 SSDP 反射攻击 最多 的反射服务器 地址 Top20 反射服务器地址 归属省份 归属运营商 116.X.X.98 上海 电信 222.X.X.245 上海 电信 101.X.X.206 上海 电信 116.X.X.140 上海 电信 180.X.X.167 上海 电信 58.X.X.110 上海 联通 180.X.X.10 上海 电信 112.X.X.118 上海 联通 116.X.X.222 上海 电信 219.X.X.146 山西 电信 220.X.X.155 湖南 电信 220.X.X.175 安徽 电信 27.X.X.62 上海 联通 140.X.X.166 上海 联通 58.X.X.66 上海 联通 125.X.X.73 上海 BGP 多线 220.X.X.11 湖南 电信 59.X.X.242 山西 电信 118.X.X.118 甘肃 电信 140.X.X.174 上海 联通 （四）转发 伪造流量的路由器分析 （ 1） 跨域伪造流量来源路由器 2020 年 第 1 季度 CNCERT/CC 监测发现， 转发 跨域伪造 流量 的 路由器 34 个 ； 按省份 统计，排名前三位的分别为浙江 省 （ 26.5%）、上海市 （ 23.5%）和北京 市 （ 20.6%）；按运营 商统计，电信 占 76.5%，联通 占 11.8%，移动占 11.8%，如图 16所示。 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 18/ 20 图 16 跨域伪造流量来源路由器数量按省份 和运营商分布 根据参与攻击事件的数量统计， 参与 攻击事件最多的 跨域 伪造 流量来源 路由器 地址前二十名及归属如表 6所示，位于上 海市和 北京市 的地址最多。 表 6 2020 年 第 1 季度 参与攻击最多的跨域伪造流量来源路由器 TOP20 跨域伪造流量来源路由器 归属省份 归属运营商 124.X.X.1 上海 电信 124.X.X.250 上海 电信 202.X.X.23 上海 电信 202.X.X.24 上海 电信 202.X.X.21 上海 电信 219.X.X.70 北京 电信 202.X.X.17 上海 电信 202.X.X.223 四川 电信 202.X.X.222 四川 电信 219.X.X.30 北京 电信 221.X.X.253 广东 联通 202.X.X.60 北京 电信 202.X.X.61 北京 电信 219.X.X.144 北京 电信 219.X.X.45 北京 电信 211.X.X.8 浙江 移动 211.X.X.3 浙江 移动 202.X.X.241 江苏 电信 221.X.X.1 天津 电信 202.X.X.136 浙江 电信 电信 76.5% 联通 11.8% 移动 11.8% 跨域伪造流量来源路由器 运营 商分布 浙江 26.5% 上海 23.5% 北京 20.6% 天津 8.8% 江苏 5.9% 广东 5.9% 四川 5.9% 河北 2.9% 跨域伪造流量来源路由器 分布 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 19/ 20 （ 2） 本地伪造流量来源路由器 2020 年 第 1 季度 CNCERT/CC 监测发现， 转发 本地 伪造 流量 的路由器 71 个；按省份 统计，排名前三位的分别为 浙江 省 （ 19.7%）、四川省 （ 18.3%）和 江苏 省（ 15.5%）；按运营 商统计，移动 占 49.3%， 电信 占 43.7%， 联通 占 7.0%，如图 17所示。 图 17 2020 年 第 1 季度本地伪造流量来源路由器数量按省份 和运营商分布 根据参与攻击事件的数量统计， 参与 攻击事件最多的 本地 伪造 流量来源 路由器 地址前二十名及归属如表 7所示，位于浙 江省 和 四川省 的地址最多。 表 7 2020 年 第 1 季度参与攻击最多的本地 伪造流量来源路由器 TOP20 本地伪造流量来源路由器 归属省份 归属运营商 220.X.X.127 浙江 电信 220.X.X.126 浙江 电信 202.X.X.137 浙江 电信 202.X.X.136 浙江 电信 218.X.X.130 四川 电信 218.X.X.129 四川 电信 202.X.X.2 四川 电信 118.X.X.168 四川 电信 移动 49.3% 电信 43.7% 联通 7.0% 本地伪造流量来源路由器 运营 商分布 浙江 19.7% 四川 18.3% 江苏 15.5% 贵州 7.0% 新疆 4.2% 广西 4.2% 云南 2.8% 广东 2.8% 黑龙江 2.8% 其他 22.5% 本地 伪造流量来源路由器 分布 CNCERT 我国 DDoS 攻击资源分析报告（ 2020 年第 1 季度） 20/ 20 本地伪造流量来源路由器 归属省份 归属运营商 118.X.X.169 四川 电信 61.X.X.1 四川 电信 202.X.X.65 四川 电信 61.X.X.221 浙江 电信 61.X.X.220 浙江 电信 61.X.X.1 浙江 电信 61.X.X.1 浙江 电信 61.X.X.4 浙江 电信 61.X.X.8 浙江 电信 202.X.X.65 四川 电信 202.X.X.66 四川 电信 211.X.X.9 贵州 移动