dns域名解析服务器会被攻击吗域名解析详细教程

每个网站都有可能会遭受到攻击，现在的互联网服务器遭受的最多的是DDOS攻击，本文总结了一些DNS服务器会遇到的DDOS攻击类型，以及相应的预防措施。

UDP是一种无连接(connectionless)无状态(sessionless)的传输协议，攻击者会向目标服务器的任意端口(port)发送大量的UDP报文，目标服务器收到这些UDP报文后，会查看有没有相应的服务监听这个请求端口，如果没有服务监听这个请求端口，则向请求者发送ICMPDestinationUnreachable报文。目标服务器在发送大量的ICMP报文上会消耗过多的服务器资源，从而使得目标服务器对外服务过慢，甚至停止服务。

UDPfloods攻击防御的常用办法是过滤与所提供服务的包大小差别太大的请求包，或者限速，某一个请求IP所请求的UDP包的类型每秒不能超过一定的阈值，超过则丢弃。

这种攻击依然是利用了UDP协议的无连接无状态的特点，用户伪造一个IP地址向DNS服务器发起请求，DNS服务器处理后会将结果返回到伪造的IP所在的网络。如果这个DNS请求请求的是某个zone下面的所有资源记录(digANY)，DNS服务器返回的数据包就可能特别大，大量的大包发向伪造IP所在的网络，就有可能阻塞那边的网络，或者消耗大量的服务器资源。因为DNS服务器返回的是一个合法的DNS消息，所以对于网络人员来说，对这种攻击的防御

目前很多的DNS服务器只负责解析一个domain中的域名，关闭递归查询可以使你的DNS服务器不会成为DNS放大攻击中的傀儡，BIND9中的option{recursionno;};可以关闭递归；如果你的服务器还想提供递归功能的话，可以只对特定IP段的查询提供递归功能，BIND9中可以像下面这样设置：

options{allow-query{any;};allow-recursion{s;};};

Cache污染是指权威域名服务器返回给递归域名服务器的资源记录被黑客劫持，换成了他们的资源记录，这个资源记录会在递归域名服务器中存在TTL时间，在这个时间内，用户的DNS请求得到的就是虚假的合法信息。通过这种方法，黑客可以把一个网站的访问引流到另一个网站。

上面文章的作者提出的预防的解决办法是亡羊补牢，当发现这种攻击时，用TCP发起DNS请求。。。。汗。还有中方法是发现Cache污染的时候刷新（flush）一遍cahce，

实际上，DNS整套协议在流转的过程中的每个环节都有可能遭受攻击，DNS协议的几种操作和可能存在的安全威胁见这里（第四节）。

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。