剖析DDOS攻擊的原理 提供解決方法(圖文)
您當前位置：首頁 > 紅訊頻道 > 網(wǎng)絡技術(shù)
紅軟基地 推薦
2012-01-23
3.7 UDP DNS Query Flood攻擊
3.7.1 原理
UDP DNS Query Flood攻擊實質(zhì)上是UDP Flood的一種，但是由于DNS服務器的不可替代的關(guān)鍵作用，一旦服務器癱瘓，影響一般都很大。
UDP DNS Query Flood攻擊采用的方法是向被攻擊的服務器發(fā)送大量的域名解析請求，通常請求解析的域名是隨機生成或者是網(wǎng)絡世界上根本不存在的域名，被攻擊的DNS 服務器在接收到域名解析請求的時候首先會在服務器上查找是否有對應的緩存，如果查找不到并且該域名無法直接由服務器解析的時候，DNS 服務器會向其上層DNS服務器遞歸查詢域名信息。域名解析的過程給服務器帶來了很大的負載，每秒鐘域名解析請求超過一定的數(shù)量就會造成DNS服務器解析域名超時。
根據(jù)微軟的統(tǒng)計數(shù)據(jù)，一臺DNS服務器所能承受的動態(tài)域名查詢的上限是每秒鐘9000個請求。而我們知道，在一臺P3的PC機上可以輕易地構(gòu)造出每秒鐘幾萬個域名解析請求，足以使一臺硬件配置極高的DNS服務器癱瘓，由此可見DNS 服務器的脆弱性。同時需要注意的是，蠕蟲擴散也會帶來大量的域名解析請求。
3.7.2 UDP DNS Query Flood防護
在UDP Flood的基礎(chǔ)上對 UDP DNS Query Flood 攻擊進行防護
根據(jù)域名 IP 自學習結(jié)果主動回應，減輕服務器負載（使用 DNS Cache）
對突然發(fā)起大量頻度較低的域名解析請求的源 IP 地址進行帶寬限制 在攻擊發(fā)生時降低很少發(fā)起域名解析請求的源 IP 地址的優(yōu)先級
限制每個源 IP 地址每秒的域名解析請求次數(shù)
四. 總結(jié)
看完這篇文章，您已經(jīng)了解了7種主流的DDOS攻擊方式，并且也了解了相應的解決方法。雖然道高一尺，魔高一丈，新的攻擊方法也在源源不斷出現(xiàn)。但是，只要您掌握了相應的原理，破解DDOS攻擊并非難事，不過其前提是您在掌握原理的基礎(chǔ)上，還需要有相應的軟件、硬件來對抗。本文的最后，給出幾個小題目，幫您回憶一下前面所說的內(nèi)容。
1. 對上述方法的總結(jié)。
2. 如果您的主要業(yè)務是UDP音頻應用，為了維護利益，盡可能降低攻擊對其業(yè)務的影響，您平時應該如何關(guān)注？
3. 僵尸網(wǎng)絡是個無堅不摧的矛嗎？如何緩解來自僵尸網(wǎng)絡的攻擊帶來的影響？如果一次ACK-Flood的攻擊流量是通過僵尸網(wǎng)絡發(fā)出來的，那么它通常會帶有什么特征。
來源：紅訊頻道