DNS云学堂 | 超实用！金融机构互联网域名系统常见风险及防范建议（下篇）3977
发表时间：2021-07-15 18:15 书接上回，本篇继续讨论两种针对DNS的常见攻击类型：
风险三：二级域名NS记录篡改和域名劫持 NS篡改通常是攻击者通过各种攻击手段或社会工程学控制了域名管理密码和域名管理邮箱，然后将该域名的NS记录指向到攻击者可以控制的权威服务器，通过在该权威服务器上添加相应域名记录，从而使用户访问该域名时，进入攻击者所指向的内容。终端客户打开的网站可能被植入了广告，也可能是钓鱼网站，导致隐私数据泄露。对于域名发布者来说，域名劫持现象比较隐蔽，往往收到终端客户投诉才发现，此时已经造成客户流失，企业形象和业务收入受损。域名劫持不定期发生在运营商递归服务器，缺少能够快速发现问题的手段，即便定位问题原因，也很难主动干预，并且由于运营商递归缓存因素（NS缓存时间一般为24小时或48小时），劫持故障持续时间长，难以及时恢复。 防范建议：
风险四:用户侧Local DNS缓存窥探和缓存投毒（或DNS欺骗） DNS缓存窥探是一个确定某一资源记录是否存在于一个特定的DNS缓存中的过程。通过这个过程攻击者可以得到一些信息，例如DNS服务器处理了哪些域名查询。攻击者通常利用缓存窥探寻找可攻击对象。在获取相关信息后，攻击者通过向DNS服务器注入非法域名及网络地址实现缓存中毒攻击，运营商对该类安全威胁的检测十分困难。利用该攻击轻则可以让终端用户无法打开网页，重则利用网络钓鱼和金融诈骗，使用户造成巨大损失。由于软件实现技术水平参差不齐，端口、报文ID随机算法落后的域名服务器更容易遭受缓存中毒攻击。 防范建议：
风险五:分布式拒绝服务攻击 DoS攻击手段是在传统的DoS攻击基础之上产生的更有效的攻击方式。其攻击手段往往是攻击者组织大量的傀儡机同时向域名服务器发送大量查询报文，这些报文看似完全符合规则，但往往需要DNS服务器花费大量时间进行查询，从而使DNS服务器资源耗尽并瘫痪。2019年10月23日亚马逊的DNS服务故障原因即为DDoS攻击。 防范建议：
风险六:DNS放大、反射攻击 目前的DDoS攻击通常与“DNS放大攻击”和“DNS反射攻击”配合实施。在这两类攻击中，DNS服务器往往不是被攻击目标，而是充当了无辜的被利用的角色。攻击者冒充被攻击目标向互联网上的DNS服务器发送欺骗性的查询信息，发送的DNS查询请求数据包大小一般为 60 字节左右，DNS服务器收到请求后将向表面上提出查询的那台服务器（被攻击目标）发出大量回复，回复数据包大小通常为请求数据包的数倍。使用该方式可以使攻击流量放大数倍，最终耗尽被攻击目标带宽并导致攻击目标瘫痪。 防范建议：
声明：此篇为ZDNS-国家工程研究中心原创文章，转载请标明出处链接：https://zdns.cn/news/140.html
|
 |
