搜索

[21036] 2020-05-17_浅析DNS反射放大攻击

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2020-05-17_浅析DNS反射放大攻击 浅 析 D N S 反 射 放 大 攻 击 L e m o n S e c   2 0 2 0 - 0 5 - 1 7 简 介 D N S 反 射 放 大 攻 击 主 要 是 利 用 D N S 回 复 包 比 请 求 包 大 的 特 点 ， 放 大 流 量 ， 伪 造 请 求 包 的 源 回 复 包 比 请 求 包 大 的 特 点 ， 放 大 流 量 ， 伪 造 请 求 包 的 源 I P 地 址 为 受 害 者 地 址 为 受 害 者 I P ， 将 应 答 包 的 流 量 引 入 受 害 的 服 务 器 。 简 单 对 比 下 正 常 的 D N S 查 询 和 攻 击 者 的 攻 击 方 式 ： 正 常 D N S 递 归 查 询 D N S 放 大 攻 击 示 例 正 常 D N S 查 询 ： D N S 攻 击 ： 首 先 ， D N S 放 大 攻 击 ， 简 单 解 释 有 两 点 ： 1 . 伪 造 源 I P 为 其 他 人 的 i p 地 址 2 . 被 请 求 的 记 录 ， 要 求 比 较 大 ， 比 如 T X T 格 式 ， 4 0 0 0 K B 在 A 机 器 上 ， 向 D N S 发 送 查 询 那 个 T X T 的 记 录 ， 并 伪 造 成 别 人 的 i p ， 即 可 理 解 为 D N S 放 大 攻 击 。 可 以 用 p y t h o n 的 s c a p y 模 拟 ： 模 拟 结 束 。 在 1 0 . 3 2 . 1 3 2 . 8 5 上 抓 d n s 的 包 ， 就 会 收 到 一 条 D N S 响 应 ， 是 1 0 . 3 2 . 8 . 1 1 发 来 的 。 分 析 分 析 从 服 务 器 上 抓 了 一 些 攻 击 包 ， 根 据 这 些 数 据 包 可 以 来 看 看 这 种 攻 击 都 是 什 么 特 点 。 全 部 是 大 量 的 D N S 响 应 请 求 （ R e s p o n s e 请 求 ） 通 常 里 面 包 含 一 些 不 存 在 或 者 生 僻 的 域 名 ， 经 过 循 环 查 询 从 而 放 大 D N S 流 量 会 将 将   O P T   R R   字 段 中 的   U D P   报 文 大 小 设 置 为 很 大 的 值 （ 如   4 0 9 6 ）         通 过 这 样 放 大 了 攻 击 流 量 。 发 送 的   D N S   查 询 请 求 数 据 包 大 小 一 般 为   6 0   字 节 左 右 ， 而 查 询 返 回 结 果 的 数 据 包 大 小 通 常 为   3 0 0 0   字 节 以 上 ， 因 此 ， 使 用 该 方 式 进 行 放 大 攻 击 能 够 达 到   5 0   倍 以 上 的 放 大 效 果 。 源 I P 地 址   — – D N S 查 询 — - >   D N S 服 务 器   — – D N S 回 复 包 — - >   源 I P 地 址 伪 造 I P 地 址   — – D N S 查 询 — - >   D N S 服 务 器   — – D N S 回 复 包 — - >   伪 造 的 I P 地 址 （ 攻 击 目 标 ） f r o m   s c a p y   i m p o r t   * a   =   I P ( d s t = ' 1 0 . 3 2 . 8 . 1 1 ' , s r c = ' 1 0 . 3 2 . 1 3 2 . 8 5 ' )           # 1 0 . 3 2 . 1 3 2 . 8 5 即 为 伪 造 的 源 i p b   =   U D P ( d p o r t = ' 5 3 ' ) c   =   D N S ( i d = 1 , q r = 0 , o p c o d e = 0 , t c = 0 , r d = 1 , q d c o u n t = 1 , a n c o u n t = 0 , n s c o u n t = 0 , a r c o u n t = 0 ） c . q d = D N S Q R ( q n a m e = ' w w w . q q . c o m ' , q t y p e = 1 , q c l a s s = 1 ) p   =   a / b / c s e n d ( p )
大 量 的 流 量 都 来 自 正 常 的 D N S 服 务 器       攻 击 者 通 过 伪 造 I P 向 正 常 的 D N S 服 务 器 发 送 这 些 恶 意 的 查 询 请 求 ， 将 流 量 引 入 受 害 者 的 服 务 器 ， 受 害 者 查 不 到 攻 击 者 的 真 实 I P 解 决 方 案 1 .   如 果 没 有 必 要 可 以 关 闭 D N S 服 务 （ 废 话 么 不 是 ) 2 .   如 果 有 D N S 服 务 ， 做 好 响 应 限 制 ， D N S 服 务 不 应 对 互 联 网 上 的 域 名 解 析 服 务 ， 而 只 响 公 司 内 部 网 络 D N S 解 析 请 求 3 .   限 制 D N S 响 应 数 据 包 大 小 的 阈 值 ， 直 接 丢 弃 超 大 的 响 应 数 据 包     与 老 式 的 “ s m u r f   a t t a c k s ” 攻 击 非 常 相 似 ， D N S 放 大 攻 击 使 用 针 对 无 辜 的 第 三 方 的 欺 骗 性 的 数 据 包 来 放 大 通 讯 量 ， 其 目 的 是 耗 尽 受 害 者 的 全 部 带 宽 。 但 是 ， “ s m u r f   a t t a c k s ” 攻 击 是 向 一 个 网 络 广 播 地 址 发 送 数 据 包 以 达 到 放 大 通 讯 的 目 的 。 D N S 放 大 攻 击 不 包 括 广 播 地 址 。 相 反 ， 这 种 攻 击 向 互 联 网 上 的 一 系 列 无 辜 的 第 三 方 D N S 服 务 器 发 送 小 的 和 欺 骗 性 的 询 问 信 息 。 这 些 D N S 服 务 器 随 后 将 向 表 面 上 是 提 出 查 询 的 那 台 服 务 器 发 回 大 量 的 回 复 ， 导 致 通 讯 量 的 放 大 并 且 最 终 把 攻 击 目 标 淹 没 。 因 为 D N S 是 以 无 状 态 的 U D P 数 据 包 为 基 础 的 ， 采 取 这 种 欺 骗 方 式 是 司 空 见 惯 的 。         如 何 防 御 这 种 大 规 模 攻 击 呢 ? 首 先 ， 保 证 你 拥 有 足 够 的 带 宽 足 够 的 带 宽 承 受 小 规 模 的 洪 水 般 的 攻 击 。 一 个 单 一 的 T 1 线 路 对 于 重 要 的 互 联 网 连 接 是 不 够 的 ， 因 为 任 何 恶 意 的 脚 本 少 年 都 可 以 消 耗 掉 你 的 带 宽 。 如 果 你 的 连 接 不 是 执 行 重 要 任 务 的 ， 一 条 T 1 线 路 就 够 了 。 否 则 ， 你 就 需 要 更 多 的 带 宽 以 便 承 受 小 规 模 的 洪 水 般 的 攻 击 。 不 过 ， 几 乎 任 何 人 都 无 法 承 受 每 秒 钟 数 G B 的 D N S 放 大 攻 击 。               因 此 ， 你 要 保 证 手 边 有 能 够 与 你 的 I S P （ 互 联 网 服 务 提 供 商 ） 随 时 取 得 联 系 的 应 急 电 话 号 码 。 这 样 ， 一 旦 发 生 这 种 攻 击 ， 你 可 以 马 上 与 I S P 联 系 ， 让 他 们 在 上 游 过 滤 掉 这 种 攻 击 。 要 识 别 这 种 攻 击 ， 你 要 查 看 包 含 D N S 回 复 的 大 量 通 讯 ( 源 U D P 端 口 5 3 ) ， 特 别 是 要 查 看 那 些 拥 有 大 量 D N S 记 录 的 端 口 。 一 些 I S P 已 经 在 其 整 个 网 络 上 部 署 了 传 感 器 以 便 检 测 各 种 类 型 的 早 期 大 量 通 讯 。 这 样 ， 你 的 I S P 很 可 能 在 你 发 现 这 种 攻 击 之 前 就 发 现 和 避 免 了 这 种 攻 击 。 你 要 问 一 下 你 的 I S P 是 否 拥 有 这 个 能 力 。     最 后 ， 为 了 阻 止 恶 意 人 员 使 用 你 的 D N S 服 务 器 作 为 一 个 实 施 这 种 D N S 放 大 攻 击 的 代 理 ， 你 要 保 证 你 的 可 以 从 外 部 访 问 的 D N S 服 务 器 仅 为 你 自 己 的 网 络 执 行 循 环 查 询 ， 不 为 任 何 互 联 网 上 的 地 址 进 行 这 种 查 询 。 大 多 数 主 要 D N S 服 务 器 拥 有 限 制 循 环 查 询 的 能 力 ， 因 此 ， 它 们 仅 接 受 某 些 网 络 的 查 询 ， 比 如 你 自 己 的 网 络 。 通 过 阻 止 坏 蛋 利 用 循 环 查 询 装 载 大 型 有 害 的 D N S 记 录 ， 你 就 可 以 防 止 你 的 D N S 服 务 器 成 为 这 个 问 题 的 一 部 分 。           注 ： 这 是 一 个 非 常 好 的 攻 击 思 路 。 这 些 D N S 服 务 器 ， 不 分 善 恶 ， 被 动 响 应 ， 如 同 愚 笨 的 仆 人 。   解 决 办 法 ： 分 段             让 大 多 数 主 要 D N S 服 务 器 拥 有 限 制 循 环 查 询 的 能 力 ， 还 要 同 时 缩 小 D N S 的 服 务 范 围 ， 减 少 交 集 。 其 实 对 一 台 主 机 来 讲 ， 能 访 问 的 D N S 越 多 ， 被 攻 击 的 就 越 惨 。 参 考 链 接 ： h t t p s : / / b l o g . c s d n . n e t / e a s y l i f e 2 0 6 / a r t i c l e / d e t a i l s / 9 5 5 6 0 9 6 5 h t t p s : / / b l o g . c s d n . n e t / f o r c e _ e a g l e / a r t i c l e / d e t a i l s / 6 3 7 2 5 7 4 ? u t m _ m e d i u m = d i s t r i b u t e . p c _ r e l e v a n t . n o n e - t a s k - b l o g - B l o g C o m m e n d F r o m M a c h i n e L e a r n P a i 2 - 5 . n o n e c a s e & d e p t h _ 1 - u t m _ s o u r c e = d i s t r i b u t e . p c _ r e l e v a n t . n o n e - t a s k - b l o g - B l o g C o m m e n d F r o m M a c h i n e L e a r n P a i 2 - 5 . n o n e c a s e h t t p s : / / w w w . c n b l o g s . c o m / y d 1 2 2 7 / a r c h i v e / 2 0 1 1 / 0 1 / 2 4 / 1 9 4 3 4 1 2 . h t m l h t t p s : / / b l o g . c s d n . n e t / w e i x i n _ 3 0 7 0 0 0 9 9 / a r t i c l e / d e t a i l s / 9 9 2 5 7 4 9 4 ? u t m _ m e d i u m = d i s t r i b u t e . p c _ r e l e v a n t . n o n e - t a s k - b l o g - b a i d u j s - 8 h t t p s : / / b l o g . c s d n . n e t / F a r i s _ W / a r t i c l e / d e t a i l s / 6 3 6 7 8 8 3 ? u t m _ m e d i u m = d i s t r i b u t e . p c _ r e l e v a n t . n o n e - t a s k - b l o g - B l o g C o m m e n d F r o m B a i d u - 9 . n o n e c a s e & d e p t h _ 1 - u t m _ s o u r c e = d i s t r i b u t e . p c _ r e l e v a n t . n o n e - t a s k - b l o g - B l o g C o m m e n d F r o m B a i d u - 9 . n o n e c a s e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理