筆者發(fā)現(xiàn)一臺(tái)國(guó)內(nèi)的機(jī)器流量異常，檢查發(fā)現(xiàn)這臺(tái)機(jī)器上運(yùn)行的DNS緩存服務(wù)被人用作了攻擊的放大杠桿，這里簡(jiǎn)單記一下。

發(fā)現(xiàn)流量異常，首先當(dāng)然是檢查服務(wù)器上的TCP會(huì)話(huà)，發(fā)現(xiàn)了一些不太正常的東西，關(guān)閉之后流量減少，但仍然沒(méi)有回到正常水平。

于是聽(tīng)包。這一聽(tīng)發(fā)現(xiàn)一大片：

07:39:53.271744 IP 158.XX.XX.238.53019 > XX.XX.XX.XX.53: 56854+ [1au] ANY? isc.org. (36)

07:39:53.271772 IP 158.XX.XX.238.53019 > XX.XX.XX.XX.53: 56854+ [1au] ANY? isc.org. (36)

07:39:53.271784 IP 158.XX.XX.238.53019 > XX.XX.XX.XX.53: 56854+ [1au] ANY? isc.org. (36)

07:39:53.271792 IP 158.XX.XX.238.53019 > XX.XX.XX.XX.53: 56854+ [1au] ANY? isc.org. (36)

07:39:53.274225 IP 92.XX.XX.148.31650 > XX.XX.XX.XX.53: 23600+ [1au] ANY? isc.org. (36)

07:39:53.274252 IP 92.XX.XX.148.31650 > XX.XX.XX.XX.53: 23600+ [1au] ANY? isc.org. (36)

07:39:53.274262 IP 92.XX.XX.148.31650 > XX.XX.XX.XX.53: 23600+ [1au] ANY? isc.org. (36)

07:39:53.274270 IP 92.XX.XX.148.31650 > XX.XX.XX.XX.53: 23600+ [1au] ANY? isc.org. (36)

07:39:53.291822 IP 158.XX.XX.238.13616 > XX.XX.XX.XX.53: 56854+ [1au] ANY? isc.org. (36)

07:39:53.291850 IP 158.XX.XX.238.13616 > XX.XX.XX.XX.53: 56854+ [1au] ANY? isc.org. (36)

07:39:53.291860 IP 158.XX.XX.238.13616 > XX.XX.XX.XX.53: 56854+ [1au] ANY? isc.org. (36)

07:39:53.291869 IP 158.XX.XX.238.13616 > XX.XX.XX.XX.53: 56854+ [1au] ANY? isc.org. (36)

07:39:53.291877 IP 92.XX.XX.148.56278 > XX.XX.XX.XX.53: 23600+ [1au] ANY? isc.org. (36)

顯然，這樣來(lái)自同一個(gè) IP 地址，在短時(shí)間內(nèi)反復(fù)查詢(xún)同一個(gè)域名的現(xiàn)象是不正常的。為什么會(huì)是 isc.org?暫時(shí)不清楚，但是這樣的行為，顯然是利用這臺(tái)機(jī)器作為放大攻擊的杠桿。攻擊者發(fā)出偽造成最終受害者為源 IP 地址的DNS查詢(xún)包(這類(lèi)包的尺寸較回應(yīng)來(lái)說(shuō)要小的多)到受害的DNS緩存服務(wù)器，而這些緩存服務(wù)器由于在本地已經(jīng)有了查詢(xún)到的域名信息副本(這些域名是存在的)，會(huì)立即向最終的受害者發(fā)出回應(yīng)。這樣，攻擊者就能夠用較小的帶寬代價(jià)占滿(mǎn)最終受害者的下行帶寬，實(shí)現(xiàn) DDoS 攻擊了。

由于是DDoS，在防御一方的角度看，阻止這類(lèi)攻擊并不容易。不過(guò)，在傳統(tǒng)的網(wǎng)絡(luò)設(shè)計(jì)中，DNS緩存服務(wù)器是放在DMZ 里的，因此可以通過(guò)在路由上直接過(guò)濾掉全部來(lái)自外部的 DNS 回應(yīng)包來(lái)緩解這類(lèi)攻擊造成的影響。在運(yùn)行DNS緩存服務(wù)器的管理員方面，則應(yīng)限制對(duì)自己運(yùn)行的DNS緩存服務(wù)器的訪問(wèn)，例如只在內(nèi)網(wǎng)接口上監(jiān)聽(tīng)DNS查詢(xún)請(qǐng)求，而外網(wǎng)接口只用來(lái)發(fā)出DNS請(qǐng)求和接收這些請(qǐng)求的回應(yīng)，避免被壞人利用成為DDoS的杠桿。