dns服務(wù)面臨的安全

1、DNS服務(wù)面臨的安全隱患主要包括：DNS欺騙（DNSSpoffing）、拒絕服務(wù)（Denialofservice，DoS）攻擊、分布式拒絕服務(wù)攻擊和緩沖區(qū)漏洞溢出攻擊（BufferOverflow）。1.DNS欺騙欺騙DNS欺騙即域名信息欺騙是最常見的DNS安全問題。當(dāng)一個(gè)DNS服務(wù)器掉入陷阱，使用了來自一個(gè)惡意DNS服務(wù)器的錯(cuò)誤信息，那么該DNS服務(wù)器就被欺騙了。DNS欺騙會(huì)使那些易受攻擊的DNS服務(wù)器產(chǎn)生許多安全問題，例如：將用戶引

2、導(dǎo)到錯(cuò)誤的互聯(lián)網(wǎng)站點(diǎn)，或者發(fā)送一個(gè)電子郵件到一個(gè)未經(jīng)授權(quán)的郵件服務(wù)器。網(wǎng)絡(luò)攻擊者通常通過兩種方法進(jìn)行DNS欺騙。（1）緩存感染黑客會(huì)熟練的使用DNS請求，將數(shù)據(jù)放入一個(gè)沒有設(shè)防的DNS服務(wù)器的緩存當(dāng)中。這些緩存信息會(huì)在客戶進(jìn)行DNS訪問時(shí)返回給客戶，從而將客戶引導(dǎo)到入侵者所設(shè)置的運(yùn)行木馬的Web服務(wù)器或郵件服務(wù)器上，然后黑客從這些服務(wù)器上獲取用戶信息。（2）DNS信息劫持入侵者通過監(jiān)聽客戶端和DNS服務(wù)器的對話，通過猜測服務(wù)器響應(yīng)給客戶

3、端的DNS查詢ID。每個(gè)DNS報(bào)文包括一個(gè)相關(guān)聯(lián)的16位ID號，DNS服務(wù)器根據(jù)這個(gè)ID號獲取請求源位置。黑客在DNS服務(wù)器之前將虛假的響應(yīng)交給用戶，從而欺騙客戶端去訪問惡意的網(wǎng)站。（3）DNS重定向攻擊者能夠?qū)NS名稱查詢重定向到惡意DNS服務(wù)器。這樣攻擊者可以獲得DNS服務(wù)器的寫權(quán)限。2.拒絕服務(wù)攻擊拒絕服務(wù)攻擊黑客主要利用一些DNS軟件的漏洞，如在BIND9版本（版本9.2.0以前的9系列）如果有人向運(yùn)行BIND的設(shè)備發(fā)送特定的

4、DNS數(shù)據(jù)包請求，BIND就會(huì)自動(dòng)關(guān)閉。攻擊者只能使BIND關(guān)閉，而無法在服務(wù)器上執(zhí)行任意命令。如果得不到DNS服務(wù)，那么就會(huì)產(chǎn)生一場災(zāi)難：由于網(wǎng)址不能解析為IP地址，用戶將無方訪問互聯(lián)網(wǎng)。這樣，DNS產(chǎn)生的問題就好像是互聯(lián)網(wǎng)本身所產(chǎn)生的問題，這將導(dǎo)致大量的混亂。3、分布式拒絕服務(wù)攻擊、分布式拒絕服務(wù)攻擊DDOS攻擊通過使用攻擊者控制的幾十臺或幾百臺計(jì)算機(jī)攻擊一臺主機(jī)，使得服務(wù)拒絕攻擊更難以防范：使服務(wù)拒絕攻擊更難以通過阻塞單一攻擊源主

5、機(jī)的數(shù)據(jù)流，來防范服務(wù)拒絕攻擊。SynFlood是針對DNS服務(wù)器最常見的分布式拒絕服務(wù)攻擊。SYNFlood攻擊利用的是IPv4中TCP協(xié)議的三次握手（ThreeWayHshake）過程進(jìn)行的攻擊。大家知道協(xié)議規(guī)定，如果一端想向另一端發(fā)起TCP連接，它需要首先發(fā)送TCPSYN包到對方，對方收到后發(fā)送一個(gè)TCPSYNACK包回來，發(fā)起方再發(fā)送TCPACK包回去，這樣三次握手就結(jié)束了。我們把TCP連接的發(fā)起方叫作“TCP客戶機(jī)（TCPCl