展开

关键词

浅析 DNS 反射放大攻击

DNS 反射放大攻击分析 前阵子业务上碰到了 DDOS 攻击,正好是 DNS 反射型的,之前只是听过,没自己处理过,仔细学习了一番之后做点记录。 简介 DNS 反射放大攻击主要是利用 DNS 回复包比请求包大的特点,放大流量,伪造请求包的源 IP 地址为受害者 IP,将应答包的流量引入受害的服务器。 简单对比下正常的 DNS 查询和攻击者的攻击方式: 正常 DNS 查询: 源 IP 地址 -----DNS 查询----> DNS 服务器 -----DNS 回复包----> 源 IP 地址 DNS 攻击: 伪造 IP 地址 -----DNS 查询----> DNS 服务器 -----DNS 回复包----> 伪造的 IP 地址(攻击目标) 分析 从服务器上抓了一些攻击包,根据这些数据包可以来看看这种攻击都是什么特点 大量的流量都来自正常的 DNS 服务器 攻击者通过伪造 IP 向正常的 DNS 服务器发送这些恶意的查询请求,将流量引入受害者的服务器,受害者查不到攻击者的真实 IP。

2.8K40

浅谈DNS放大攻击的工作原理以及防御措施?

在前面小编讲了关于NTP放大攻击的操作流程预计防御措施。那么这次主要分享下DNS放大攻击的操作流程以及防御措施。 DNS放大攻击与NTP放大攻击是相似的,但相比NTP放大频率DNS放大频率更高。 一般攻击者会利用僵尸网络中的被控主机伪装成被攻击主机,然后设置成特定的时间点连续向多个允许递归查询的DNS服务器发送大量DNS服务请求,然后让其提供应答服务,应答数据经DNS服务器放大后发送到被攻击主机 DNS放大攻击工作原理: 基本上大部分的放大攻击攻击者通过许多请求然后将其放大以此来消耗目标Web资源间的带宽。 通常黑客利用DNS服务器放大攻击的特性,使用受损的被控僵尸主机将带有欺骗性IP地址,然后利用DNS服务器向被攻击者返回查询的结果。通常查询应答数据包会比查询请求数据包大数倍。 DNS放大攻击的防御措施: 1.正确配置防火墙和网络容量; 2.增大链路带宽; 3.限制DNS解析器仅响应来自可信源的查询或者关闭DNS服务器的递归查询; 4.使用DDoS防御产品,将入口异常访问请求进行过滤清洗

99300
  • 广告
    关闭

    腾讯云域名特惠,新用户抢购首年只需1元

    腾讯云域名专场特惠,新用户注册.xyz仅1元/年,注册.com仅23元/年。腾讯云新老用户都可购买,每个用户限购5个,点击了解详情…

  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    Memcache UDP反射放大攻击实验

    无耻的接受了p猫的py交易,自己也想实验下memcached这个放大攻击 0x01 前言 近日,一种利用Memcached缓存服务器来作为放大器的DRDOS攻击来势汹汹,多家安全机构检测到了这种反射放大攻击 ,其利用memcached协议,发送大量带有被害者IP地址的UDP数据包给放大器主机,然后放大器主机对伪造的IP地址源做出大量回应,形成分布式拒绝服务攻击,从而形成DRDoS反射。 攻击者随时可以通过代理或者控制程序同时向所有肉鸡发送大量攻击指令。 3. 所有肉鸡在接受指令后,同时大量并发,同时向受害者网络或者主机发起攻击行为。 DRDoS要完成一次反射放大攻击: 1. 攻击者,必须提前需要把攻击数据存放在所有的在线肉鸡或者反射服务器之上。 2. 攻击者,必须伪造IP源头。发送海量伪造IP来源的请求。当然这里的IP就是受害者的IP地址。 3. 反射服务器,必须可以反射数据,运行良好稳定。最好是请求数据少,返回数据成万倍增加。 如此不断循环,就可以大规模攻击其带宽网络,增加占用率和耗损目标机的硬件资源。

    1.7K100

    如何减轻memcached的放大攻击

    在2018年2月27日,Cloudflare 和 Arbor Networks 公司于周二发出警告称,恶意攻击者正在滥用 Memcached 协议发起分布式拒绝服务(DDoS)放大攻击,全球范围内许多服务器 美国东部时间28日下午,GitHub透露其可能遭受了有史最强的DDoS攻击,专家称攻击者采用了放大攻击的新方法Memcached反射攻击,可能会在未来发生更大规模的分布式拒绝服务(DDoS)攻击放大攻击针对使用UDP在公共网络上公开的Memcached部署。 这些攻击都是使用memcached协议并源自11211端口。 攻击者将普通大小的UDP数据包从欺骗性IP地址发送到运行memcached的服务器。这些请求会从memcached中获取极大的数据包响应,从而快速拥塞受害者的网络并导致拒绝服务(DoS)方案。 修改或添加安全组策略,策略配置参考如下(规则作用:禁止外部入向的11211端口UDP流量): 若您的Memcached服务必须使用到UDP,建议始终以较小的数据包来响应,否则可能导致协议会被滥用进行放大攻击

    95140

    研发:认识反射型攻击放大效果

    发动一次中等规模的DDoS攻击数千美金即可实现。 二、 流量放大技术 流量放大是DDoS中常用的技术手段,基本原理相对简单。 如图1所示,Server端提供某种基于UDP(理论上raw ip也可以)的服务,例如DNS、SMTP、NTP等,找到一些请求,其中Reponse报文比Request报文大,利用这些可以放大的请求,Attacker 图 1 典型DDos流量放大 表 1列举了一些经常用于反射型DDoS攻击的协议及其放大倍数。 表1 常见反射性DDoS攻击放大倍数 三、 NTP反射式DDoS攻击 迄今为止最大规模的DDoS攻击来自于NTP协议反射式DDoS攻击,本节将通过一些细节来说明如何发动NTP反射式DDoS攻击 NTP monlist命令用来查询最近所有和Server通信的记录,服务器返回最多600个通信记录,这个倍数非常巨大,而在互联网上有大量的NTP服务器,可以通过僵尸网络分布式查询、放大

    42330

    Memcache UDP反射放大攻击技术分析

    Memcache UDP 反射放大攻击(以下简称 Memcache DRDoS)在最近的一周里吸引了安全社区的较多注意。以下介绍我们对该类型攻击观察到的情况。 在这份文档中,作者指出这种攻击的特点: memcache 放大倍数超高,至少可以超过50k; memcache 服务器(案例中的反射点)数量较多,2017-11时估算全球约有 60k 服务器可以被利用, 并且这些服务器往往拥有较高的带宽资源。 即使在反射类DDoS中,也只占 1% 以下(按攻击事件计),排在 DNS、CLDAP、NTP、SSDP、CharGen、L2TP、BitTorrent、Portmap、SNMP的后面。 ? 1k~60k之间的放大倍数; 在现网实际环境中, 60k 的放大倍数,也是可以稳定的测得的; 上述实测结果,与最初报告者0kee team的估计、US-CERT安全通告中的提法,基本是一致的; 此外我们分析了现网实际发生的攻击负载

    51330

    Memcached反射放大DDoS攻击威胁分析

    2018年2月27日,多国CERT和多家网络和云运营商报告称,恶意攻击者正在使用不安全配置的Memcached服务器来借力放大DDoS攻击。 根据报告,Memcached的带宽放大因子(Bandwidth Amplification Factor)能达到10000-51000,远超过之前广泛使用的NTP协议的556.9,刷新了UDP协议反射放大 DDoS攻击的新记录,测试显示15byte的请求能触发750KB的响应,即51200的放大倍数,Memcached对互联网开放的无需验证的UDP 11211端口为成为了主要利用的DDoS反射器, Memcached 如果看到非空有内容输出的响应(如上所示),表示Memcached服务器容易受到攻击,特别是暴露在互联网上的主机。 ? Memcached安全配置建议 ? 同时建议网络运营商实施源地址验证(BCP38/BCP84)标准,以防止其网络和最终用户的网络受到反射/放大DDoS攻击的影响。

    80950

    本地DNS攻击原理与实例

    实战演练 使用嗅探进行 DNS ID 欺骗 当攻击者和受害者处于同一本地局域网时,当一个用户在 web 浏览器键入一个网址,如 www.chase.com ,用户的机器将向 DNS 服务器发出一个 DNS 满足了 1 到 8 的条件,攻击者就可以嗅探到受害者发送的 DNS 请求信息,然后就可以创建 一个伪造的 DNS 响应,在真正的 DNS 服务器响应之前,发送给受害者。 该操作指定攻击主机 IP 地址:192.168.150.137 配置成功后点击右下角的 “ Run ” 按钮即可监听受害者机器向自己 DNS 服务器发送的数据包并发送自己伪造的 DNS 包,这样等一小段时间伪造包生成后再 说明 IP 的重定向成功 DNS缓存投毒攻击 远程登录到 DNS 服务器上 获得 root 权限后输入以下指令清空缓存: # sudo rndc flush # sudo rndc dumpdb -cache ,这时攻击者便可嗅探到该请求包,构造虚假包发给 DNS 服务器

    1K00

    DNS服务器

    DNS服务器 DNS概述 DNS(Domain Name Server),域名服务器,其作用是提供域名解析ip(正向解析),ip解析域名(反向解析)的服务。 域名解析命令:nslookup 使用命令nslookup {域名}可以借助DNS服务器对域名进行解析。 例如:nslookup pan.baidu.com可以看到解析出的服务器ip地址和返回该解析结果的DNS服务器地址。 域名解析过程 对域名进行分级的目的就是让域名在解析查询的时候变得方便。 缓存 2、请求本地DNS服务器(如果说本地缓存不存在ip地址和域名的对应关系,计算机就会请求本地的DNS服务器,完成正常的域名解析过程) 服务器提供解析服务的顺序 1、查看本地高速缓存 2、查看是否有本地区域解析文件 3、找DNS转换器(原DNS服务器指定另外一台DNS服务器作为转换器来直接给我解析结果) 4、找DNS服务器 我的博客即将同步至腾讯云+社区,邀请大家一同入驻:https://cloud.tencent.com

    21720

    DNS服务器

    DNS概述 DNS(Domain Name Server),域名服务器,其作用是提供域名 解析ip(正向解析),ip解析域名(反向解析) 的服务。 DNS服务端口 TCP 53 : 迭代查询,DNS转发器之间的关系 UDP 53 : 主机与本地DNS服务器之间 类型: 递归查询:主机与本地DNS服务器之间,DNS转发器之间的关系(所问即所答!) 迭代查询:本地DNS服务器与根服务器及其他DNS服务器之间的互动过程(答非所问!) 缓存 2、请求本地DNS服务器(如果说本地缓存不存在ip地址和域名的对应关系,计算机就会请求本地的DNS服务器,完成正常的域名解析过程) 服务器提供解析服务的顺序 DNS服务器域名解析处理顺序:查看本地缓存 --本地区域文件解析--DNS转发器--根服务器 DNS客户机域名解析请求顺序:查看本地缓存--本地hosts文件--找本地DNS服务器

    10920

    dns服务器

    chown root.named zhen.zone fan.zone //不更改所属组nslookup无法解析

    14520

    Datacon DNS攻击流量识别 内测笔记

    未发现攻击流量 DNS域传送漏洞 一般DNS区域传送操作只在网络里真的有备用域名DNS服务器时才有必要用到,但许多DNS服务器却被错误地配置成只要有client发出请求,就会向对方提供一个zone数据库的详细信息 此时,任何计算机都可以向DNS服务器发送注册请求。即使计算机不属于同一DNS域,DNS服务器也会自动在DNS数据库中添加请求计算机的记录。 Amplification Attack 放大攻击(也称为杠杆攻击,英文名字DNS Amplification Attack),利用回复包比请求包大的特点(放大流量),伪造请求包的源IP地址,将应答包引向被攻击的目标 对于DNS服务器来说,只需要抛弃不是自己发出去的请求包的应答包即可。从测试角度来说,向被测试服务器,发送大量的回复包,看是否被丢弃,同时观察此时的CPU利用率是否有急剧的上升即可。 攻击特征: 通过递归查询从而放大流量,因此recursion=1,ANY参数。 要求返回包远远大于发送包,一般返回包的要求大于2000。即dns.rr.udp_payload_size>=2000。

    1.1K40

    DNS Rebinding 域名重新绑定攻击技术

    图 1 如上图1,我们普通PC第一次访问网站http://www.a.com时,会先到公共的DNS服务器上去查询www.a.com这个地址对应的IP地址时多少,再根据DNS服务器返回来的IP地址去访问目标网站 一般来说我们的操作系统默认能够将DNS返回来的这个IP地址信息保存60秒,而超过60秒后如果需要再次访问www.a.com这个地址则需要再一次向DNS服务器来查询查询IP地址。 那么如何实现公共DNS服务器下能够返回自定义信息呢?看下图3。 ? 图 3 如上图3中,攻击者通过在公网上自己建立一台DNS服务器,地址为dns.b.com(与a.com不在同一域下),并在公共DNS上写入一条NS(域名)记录,将查询*.a,com的请求转发到攻击者自建的 DNS服务器上面。

    1.3K50

    一文搞懂│XSS攻击、SQL注入、CSRF攻击、DDOS攻击DNS劫持

    常用于攻击对外提供服务的服务器,像常见的:Web服务、邮件服务、DNS服务、即时通讯服务 这些等在早期发起 DoS攻击 是一件很容易的事情,只需要写个程序让服务过载,无暇提供正常服务即可,也就是一秒中请求服务多次 ,将目标服务器的内存跑崩后来随着技术对发展,现在的服务器都是分布式,并不是单一服务器提供服务,一个服务背后拥有着是数不清的 CDN节点,也是就拥有着数不清的Web服务器DNS 很容易被劫持如果攻击者篡改 DNS解析 设置,将域名由正常 IP 指向由攻击者控制的非法 IP,就会导致我们访问域名打开的却不是对应的网站,而是一个假冒或者别有用心的网站。 这种攻击手段就是 DNS劫持通过 DNS劫持 简单点可以导致用户流失,严重的后果甚至惠将用户诱导至攻击者控制额非法网站,可能会造成银行卡号、手机号码、账号密码等重要信息的泄露后来出现了 DNSSEC 技术 SSL证书具备服务器身份认证功能,可以使DNS 劫持导致的连接错误情况及时被发现和终止图片

    12051

    dns备用服务器信息,dns服务器地址(dns首选和备用填多少)

    dns服务器地址 DNS是计算机域名体系(DomainNameSystem或DomainNameService)的缩写,它是由解析器以及域名服务器组成的。 ,DNS便是进行域名解析的服务器DNS服务器是什么 DNS服务器是计算机域名体系(DomainNameSystem或DomainNameService)的缩写,它是由解析器和域名服务器组成的。 在咱们设置路由器IP地址的时候,朋友们肯定不生疏吧,要输入DNS设置,而一般都填写本地DNS地址。如图所示: dns是什么dns服务器是什么? 为什么要填写本地网络服务商的DNS地址呢? dns首选和备用填多少 首选baiDNS能够填192.168.1.1~256,备用DNS能够填du8.8.8.8,这是谷歌提供的免费DNS服务器

    10920

    DNS 服务器配置

    DNS(Domain Name System,域名系统),因特网上作为域名和 IP 地址相互映射的一个分布式数据库,能够使用户更方便的访问互联网,而不用去记住能够被机器直接读取的 IP 数串。 $TTL 7200 @ IN SOA @ khs1994.tkhs1994.com. (222 1H 15M 1W 1D) @ IN NS dns1.tkhs1994.com. dns1 IN A 192.168.56.200

    64140

    自建DNS服务器

    不晓得为撒,用网上的一些公共DNS服务的时候,总是莫名其妙的有些网站无法解析,有时候114能解析,阿里DNS不行或者腾讯DNS不行,导致总是来回切换DNS,很是烦心。 于是就想着自己搭建一个DNS服务会不会好一点?网上搜了一下,好像很复杂的样子,一直就没动手,但是今天试了下,发现出奇的简单,体验了一番,感觉效果良好。 服务器寻找。 一般搭建DNS服务,可以允许所有用户使用你的DNS服务,即listen-address默认注释掉即可,如果你不想所有用户都使用你的DNS服务,可以在listen-address后面加上你指定的IP地址, 如: listen-address=listen-address=192.168.1.123,127.0.0.1 修改Dnsmasq上游DNS服务器 编辑 /etc/resolv.conf ,参考如下:

    4.2K30

    基于DNS隐蔽信道的攻击与检测

    一、基于DNS的隐蔽通信 企业网络经常面临网络攻击者窃取有价值和敏感数据的威胁。复杂的攻击者越来越多地利用DNS通道来泄露数据,以及维护恶意软件的隧道C&C(命令和控制)通信。 从攻击者的角度来看,这使得DNS协议成为数据泄露地隐蔽通信通道。 此DNS请求由全局域名系统中的解析器转发到fengrou2019.club域的权威服务器(在攻击者的控制下),后者又向主机受害者发送响应。 现代恶意软件和网络攻击在很大程度上依赖于DNS服务,使其活动可靠且难以跟踪。 二、DNS检测 监控网络DNS活动和阻止可疑域已被证明是抵御此类攻击的有效技术。对于分析DNS流量以识别恶意网络活动,人们提出了很多检测方法,比如使用字符频率分析的DNS隧道检测方法等。

    1.4K20

    DNS SRV:使用DNS服务器做服务发现

    DNS SRV 是 DNS 记录中一种,用来查询指定服务的地址。与常见的A记录、CNAME 不同的是,SRV中除了记录服务器的地址,还记录了服务的端口,并且可以设置每个服务地址的优先级和权重。 RFC-2782 给出DNS SRV的建议标准,它是在2000年的时候提出来的。 访问服务的时候,本地的服务从 DNS 服务器查询到一个地址列表,根据优先级和权重,从中选取一个地址作为本次请求的目标地址。 注意事项 在使用DNS SRV的时候,要注意DNS Client是否按照预期的方式处理收到的SRV记录。 在通过SRV记录的权重来分配请求的时候,使用的是本地缓存的DNS记录,所以不能实时地感知到服务的地址列表变化。除非将 TTL 设置的非常短暂,但这样将会频繁地查询DNS服务器

    2.6K10

    相关产品

    • SSL 证书

      SSL 证书

      腾讯云为您提供SSL证书(服务器证书)的一站式服务,包括免费SSL证书、付费SSL证书的申请、管理及部署功能以及与顶级的数字证书授权(CA)机构和代理商合作,为您的网站、移动应用提供 HTTPS 解决方案……

    相关资讯

    热门标签

    活动推荐

    扫码关注腾讯云开发者

    领取腾讯云代金券