剖析DDOS攻擊的原理 提供解決方法(圖文)
您當(dāng)前位置：首頁 > 紅訊頻道 > 網(wǎng)絡(luò)技術(shù)
紅軟基地 推薦
2012-01-23
3.7 UDP DNS Query Flood攻擊
3.7.1 原理
UDP DNS Query Flood攻擊實(shí)質(zhì)上是UDP Flood的一種，但是由于DNS服務(wù)器的不可替代的關(guān)鍵作用，一旦服務(wù)器癱瘓，影響一般都很大。
UDP DNS Query Flood攻擊采用的方法是向被攻擊的服務(wù)器發(fā)送大量的域名解析請(qǐng)求，通常請(qǐng)求解析的域名是隨機(jī)生成或者是網(wǎng)絡(luò)世界上根本不存在的域名，被攻擊的DNS 服務(wù)器在接收到域名解析請(qǐng)求的時(shí)候首先會(huì)在服務(wù)器上查找是否有對(duì)應(yīng)的緩存，如果查找不到并且該域名無法直接由服務(wù)器解析的時(shí)候，DNS 服務(wù)器會(huì)向其上層DNS服務(wù)器遞歸查詢域名信息。域名解析的過程給服務(wù)器帶來了很大的負(fù)載，每秒鐘域名解析請(qǐng)求超過一定的數(shù)量就會(huì)造成DNS服務(wù)器解析域名超時(shí)。
根據(jù)微軟的統(tǒng)計(jì)數(shù)據(jù)，一臺(tái)DNS服務(wù)器所能承受的動(dòng)態(tài)域名查詢的上限是每秒鐘9000個(gè)請(qǐng)求。而我們知道，在一臺(tái)P3的PC機(jī)上可以輕易地構(gòu)造出每秒鐘幾萬個(gè)域名解析請(qǐng)求，足以使一臺(tái)硬件配置極高的DNS服務(wù)器癱瘓，由此可見DNS 服務(wù)器的脆弱性。同時(shí)需要注意的是，蠕蟲擴(kuò)散也會(huì)帶來大量的域名解析請(qǐng)求。
3.7.2 UDP DNS Query Flood防護(hù)
在UDP Flood的基礎(chǔ)上對(duì) UDP DNS Query Flood 攻擊進(jìn)行防護(hù)
根據(jù)域名 IP 自學(xué)習(xí)結(jié)果主動(dòng)回應(yīng)，減輕服務(wù)器負(fù)載（使用 DNS Cache）
對(duì)突然發(fā)起大量頻度較低的域名解析請(qǐng)求的源 IP 地址進(jìn)行帶寬限制 在攻擊發(fā)生時(shí)降低很少發(fā)起域名解析請(qǐng)求的源 IP 地址的優(yōu)先級(jí)
限制每個(gè)源 IP 地址每秒的域名解析請(qǐng)求次數(shù)
四. 總結(jié)
看完這篇文章，您已經(jīng)了解了7種主流的DDOS攻擊方式，并且也了解了相應(yīng)的解決方法。雖然道高一尺，魔高一丈，新的攻擊方法也在源源不斷出現(xiàn)。但是，只要您掌握了相應(yīng)的原理，破解DDOS攻擊并非難事，不過其前提是您在掌握原理的基礎(chǔ)上，還需要有相應(yīng)的軟件、硬件來對(duì)抗。本文的最后，給出幾個(gè)小題目，幫您回憶一下前面所說的內(nèi)容。
1. 對(duì)上述方法的總結(jié)。
2. 如果您的主要業(yè)務(wù)是UDP音頻應(yīng)用，為了維護(hù)利益，盡可能降低攻擊對(duì)其業(yè)務(wù)的影響，您平時(shí)應(yīng)該如何關(guān)注？
3. 僵尸網(wǎng)絡(luò)是個(gè)無堅(jiān)不摧的矛嗎？如何緩解來自僵尸網(wǎng)絡(luò)的攻擊帶來的影響？如果一次ACK-Flood的攻擊流量是通過僵尸網(wǎng)絡(luò)發(fā)出來的，那么它通常會(huì)帶有什么特征。
來源：紅訊頻道