DE-CIX 等机构通过自建靶场与骨干流量分析，实测四大 Booter 服务的攻击能力，并对比 2018 年 12 月 FBI 查封 15 个网站前后的流量特征，发现 NTP 放大最强、VIP 套餐实测仅达宣称峰值 25%，且攻击流量交付路径随协议差异显著。
放大协议与反射器规模
自攻击实验显示，NTP 放大攻击在四个测试 Booter 中破坏力最强。单次攻击动用 100–1000 个反射器，分布于 20–55 个对等 AS。NTP 流量 80.81% 经中转运营商进入受害 AS，Memcached 则 88.59% 走 IXP 对等互联，说明协议选择直接决定流量汇聚路径与清洗压力点。
VIP 套餐实测与宣称差距
某典型 Booter 非 VIP 套餐 19.83 美元、宣称 8–12 Gbps；VIP 套餐 178.84 美元、宣称 80–100 Gbps。实测两次 VIP 攻击，NTP 峰值约 20 Gbps、Memcached 峰值约 10 Gbps，均仅为宣称值 25% 左右。高价套餐并未带来成比例流量提升，反射器池与带宽资源疑似超售。
执法行动后的流量演变
研究团队抓取五个月域间流量，对比 2018 年 12 月查封前后的时空分布。原文未给出具体数据，但指出查封导致部分服务下线、攻击总量短期下降，剩余 Booter 迅速迁移基础设施并更换域名，攻击向量与反射器分布在数周内恢复至查封前水平，呈现“打地鼠”式对抗特征。
对运维而言，NTP 与 Memcached 的入向路径差异意味着清洗策略需按协议分流；VIP 套餐虚高宣称提醒采购方以实测为准；执法打击虽能短期压制，但基础设施弹性极强，持续部署反射器指纹库与跨 AS 协同清洗才是长效手段。
原文: APNIC Blog（2020-10-12）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog