3.3 DNS分布拒绝服务攻击

原理介绍
DNS拒绝服务攻击原理同DrDoS攻击相同，只是在这里被欺骗利用的不是一般的计算机，而是DNS服务器。黑客通过向多个DNS服务器发送大量的伪造的查询请求，查询请求数据包中的源IP地址为被攻击主机的IP地址，DNS服务器将大量的查询结果发送给被攻击主机，使被攻击主机所在的网络拥塞或不再对外提供服务。

防御方法
通过限制查询主机的IP地址可以减轻这种攻击的影响，比较糟糕的是在现实环境中这么做的 DNS服务器很少。目前不能从根本上解决这个问题。另外可以从自己的网络设备上监视和限制对DNS查询请求的回应，如果突然出现流量剧增的情况，限制一下到达DNS服务 器的查询请求，这样可以避免自己管理的服务器被欺骗而去攻击无辜者。

图三C解释了端口跳板是如何起作用的。nc安装后，黑客就会通过定制一些运行参数，在“肉鸡”的后台建立起由“肉鸡”的2139端口到目标计算机的139端口的跳转。这就象是一条虚拟的通道，由“肉鸡”的2139端口通向目标的139端口，任何向“肉鸡” 的2139进行的访问都会自动地转发到目标计算机的139端口上去。就是说，访问“肉鸡”的2139端口，就是在访问目标的139端口。反过来，目标计算机的回馈信息也会通过“肉鸡”的通道向黑客计算机返回。

图三D 黑客通过两次跳转绕过防火墙对139端口的阻止

图三D是我们分析后还原的nc端口跳转攻击拓扑图，黑客在这里需要两次端口跳转，第一次是利用自己的linux计算机把对139端口的访问向 SUN的2139端口发送，这样就绕过了防火墙对139端口的访问限制。然后SUN会把对自己2139端口的访问发送到攻击最终目标的139端口上。为什么图中的"黑客"计算机不直接访问SUN的2139端口，而需要linux多跳转一次呢？这是由于象net、 nbtdump、远程口令猜测等手段都是默认针对139端口而且黑客无法改变的。

在这两个端口跳板准备好了之后，黑客只要访问自己的 linux机器上的139端口，就可以对目标的Windows服务器进行攻击了，“肉鸡”的作用巨大啊。据了解这台SUN工作站当时在服务器网段中只接入了三天不到的时间就搬到内部网里了，可见黑客对这个网段的情况变化的掌握速度是很快的，管理员们不要因为只是临时接入而忽略了安全。我们随后又在路由器上找到了当时黑客远程向SUN机的2139端口连接的日志，至此就完全清楚了。

防御方法
防止扫描一般主要设置在防火墙上，除了内部那些开放了的服务以外，不允许其他的访问进入，可以最大限度地防止信息泄露。至于同一网段上某个服务器成了“肉鸡”，一般情况下是没法防止它扫描其他服务器了，这就需要我们的防御方向不但要向外，也要向内。关闭每一台计算机上不需要的服务，进行安全加强，让内部的非法扫描器找不到可以利用的漏洞。

防御监听一般使用网络传输加密和交换式网络设备。管理员远程登录系统时候，还是有很多人喜欢使用默认的telnet，这种明文传输的协议是黑客的最爱。使用SSH代替telnet和那些r命令，可以使网络上传输的数据成为不可读的密文，保护你的帐号、口令和其他重要的信息。交换式网络设备可以使单个计算机接收到的无用信息大大减少，从而降低非法监听器的危害性。不过相对来说，它的成本还是比较高的。