DNS 放大攻击描述

与其他放大类攻击相同，DNS放大是一种反射攻击。在这种情况下，反射是通过一个DNS解析器诱发一个响应到一个虚假的IP地址上。 在DNS 放大攻击期间，攻击者将一个伪造的IP地址（受害者的）发送到一个开放的DNS解析器中，促使它使用DNS响应回复该地址。无数的伪造查询被发送出去，并且有若干DNS解析器同时回复，受害者的网络很容易被大量的DNS响应所淹没。

当被放大时，反射攻击甚至更加危险。”放大” 是指诱发一个与其发送的原始包请求不成比例的服务器响应。 为了放大DNS攻击，可利用EDNS0 DNS协议扩展发送每个DNS请求，这样可允许产生较大的DNS信息，或利用DNS安全扩展(DNSSEC) 的加密功能扩大信息的规模。也可以使用类型为”ANY”的欺骗查询，可以在单个请求中返回有关DNS区域的所有已知信息。 通过上述和其他的方法，可以配置约60字节的DNS请求信息，向目标服务器诱发一个超过4000字节的响应信息，从而达到70：1的放大倍数。这大幅增加了目标服务器接收到的流量，从而加速了服务器资源的枯竭。 此外，DNS放大攻击通常通过一个或多个僵尸网络转发DNS请求 — 极大增加了针对目标服务器的攻击流量，并使其很难追踪攻击者的身份。

 

转载于:https://my.oschina.net/u/3778497/blog/1924593