一 甚么是DNS
DNS 是域名系統(tǒng) (Domain Name System) 的縮寫，是因特網(wǎng)的一項(xiàng)核心辦事，它作為可以將域名和IP地址彼此映照的一個漫衍式數(shù)據(jù)庫，可以或許令人更便利的拜候互聯(lián)網(wǎng)，而不消往記住可以或許被機(jī)械直接讀取的IP數(shù)串。
DNS 域名布局
凡是 Internet 主機(jī)域名的一般布局為：主機(jī)名.三級域名.二級域名.頂級域名。 Internet 的頂級域名由 Internet收集協(xié)會域名注冊查詢負(fù)責(zé)收集地址分派的委員會進(jìn)行掛號和治理，它還為 Internet的每臺主機(jī)分派獨(dú)一的 IP 地址。全球現(xiàn)有三個大年夜的收集信息中間： 位于美國的 Inter-NIC，負(fù)責(zé)美國及其他地區(qū); 位于荷蘭的RIPE-NIC，負(fù)責(zé)歐洲地區(qū);位于日本的APNIC ，負(fù)責(zé)亞太地區(qū)。
DNS查詢報(bào)文
DNS應(yīng)對報(bào)文
DNS 的解析流程
全球有良多的域名需要解析，這些不成能都在一臺辦事器上解析，那就太慢了。dns解析采取了樹形布局的解析流程。
在上面的解析流程的前面其實(shí)還有一步的，系統(tǒng)在發(fā)出dns解析之前會先看看本地是不是保留了相干域名的解析，假定有的話會節(jié)流會多的時候。該文件保留在C:\Windows\System32\drivers\etc\hosts,文件保留了本地dns解析的相干內(nèi)容，以下：
# Copyright (c) 1993-2009 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host
# localhost name resolution is handled within DNS itself.
# 127.0.0.1 localhost
# ::1 localhost
二 DNS相干的報(bào)復(fù)打擊類型
1 針對DNS辦事器的DDOS報(bào)復(fù)打擊
第一類 基于主機(jī)耗盡型的dns查詢拒盡辦事報(bào)復(fù)打擊
這類報(bào)復(fù)打擊就是想受害者DNS辦事器發(fā)送大年夜量的dns解析要求包，因?yàn)镈Ns辦事器美好查詢的次數(shù)有限，使得它忙不外來造成拒盡辦事報(bào)復(fù)打擊。
第二類 基于寬帶耗盡型的DNS反彈式拒盡辦事報(bào)復(fù)打擊(DNS reflector attacks，又稱DNS amplification attacks)
道理：大年夜量主機(jī)捏造受害者ip向胡亮王上的大年夜量開放式遞回DNS辦事器發(fā)送NDS查詢要求包。因?yàn)殚_放遞回DNS辦事器其實(shí)不合弊端要求包進(jìn)行地質(zhì)真實(shí)性驗(yàn)證，是以城市進(jìn)行應(yīng)對，如許受害著將同時領(lǐng)遭到大年夜量的DNS要求應(yīng)對包，梗塞受害DNS辦事器的收集，最終構(gòu)成拒盡辦事報(bào)復(fù)打擊。
甚么是開放遞回DNS辦事器?
開放遞回辦事器是指撐持遞回查詢，同時對倡議遞回查詢要求的客戶端不進(jìn)行身份驗(yàn)證的DNS辦事器。
以下圖：
2 針對用戶的DNS劫持
簡單的說甚么是dns劫持呢?
就是本來你想拜候攜程的網(wǎng)站www.ctrip.com,成果輸進(jìn)域名后返回給你的是百度的辦事器ip，那么天然顯示在瀏覽器中的也就是百度的頁面。
那么我可以按照上面介紹的dns解析流程來看看哪些處所會導(dǎo)致返回給你的ip是弊端的。
a 起首是dns辦事器地址被劫持
好比你的路由器中的dns辦事器地址被點(diǎn)竄成歹意的dns辦事器。那就一切都垮臺了，你拜候的任何域名都被解析成其他的地址。
可是這類環(huán)境通常為不會產(chǎn)生的， 因?yàn)榇跻馊藛T登錄不了的路由器點(diǎn)竄不了dns辦事器地址，就更點(diǎn)竄不了你本機(jī)的dns設(shè)置。不外當(dāng)幾個小的縫隙連絡(luò)在一路的時辰就成了大年夜的縫隙。好比之前呈現(xiàn)過的路由器劫持事務(wù)：
縫隙本身依托3個部門：
tp-link路由器發(fā)現(xiàn)存在csrf縫隙。
有些用戶的路由器沒有更改用戶名和暗碼，利用了默許的用戶名和暗碼;或?yàn)g覽器記實(shí)了路由器的登錄狀況。
firefox和chrome等瀏覽器撐持Http Authentication。
這些連絡(luò)在一路就導(dǎo)致了這么一個報(bào)復(fù)打擊流程：
歹意人員機(jī)關(guān)了一個歹意的web頁面，如www.foo.com/text.html，頁面的功能是主動登錄路由器并點(diǎn)竄dns地址。
歹意人員機(jī)關(guān)一個url發(fā)送給被害者，當(dāng)被害者點(diǎn)擊這個鏈接的時辰就拜候了歹意頁面，就點(diǎn)竄了路由器的dns地址。
接下來就簡單了，歹意人員可以將你想要拜候的網(wǎng)站域名如www.ctrip.com解析到肆意其他的地址如1.1.1.1等。(當(dāng)然他不會解析到這里，要有經(jīng)濟(jì)好處，或告白或ctrip奉行聯(lián)盟url等。)
下面附上tplink的小demo：
//點(diǎn)竄dns
//
登錄
b hosts文件被點(diǎn)竄
按照解析流程來看，假定要解析www.ctrip.com的ip，系統(tǒng)會起首拜候hosts文件，看看有沒有相干的綁定：
假定有以下記實(shí)：
1.1.1.1 www.ctrip.com
你們系統(tǒng)就不會將www.ctrip.com發(fā)送給dns辦事器往解析，直接就將它解析為1.1.1.1。
c DNS辦事器緩存中的映照關(guān)系被點(diǎn)竄，又稱緩存投毒報(bào)復(fù)打擊
系統(tǒng)檢測到hosts文件中沒有響應(yīng)的域名的解析的時辰就會發(fā)送給本地dns辦事器進(jìn)行解析，解析之前會先查看緩存中是不是存在，假定沒有，再將解析要求發(fā)送給下一個dns辦事器。成果返回后將該域名的解析成果保留到緩存中，便利下一次的解析。
針對緩存中的解析的報(bào)復(fù)打擊有2種：
傳統(tǒng)的DNS緩存投毒報(bào)復(fù)打擊：歹意人員向受害DNS辦事器發(fā)送域名的解析要求，然后搶在權(quán)勢巨子辦事器應(yīng)對前捏造應(yīng)對包發(fā)送給受害辦事器。如許弊端的解析記實(shí)就保留到了緩存中，那么接下來緩存時候內(nèi)所有該域名的解析就都是弊端了。這類報(bào)復(fù)打擊捏造的是答復(fù)資本記實(shí)，報(bào)復(fù)打擊時候很短，效力低。
kaminsky緩存投毒報(bào)復(fù)打擊：歹意人員發(fā)送近似這類的查詢要求www24385.ctrip.com到dns辦事器，搶在權(quán)勢巨子應(yīng)對前捏造應(yīng)對包發(fā)送給dns辦事器。它點(diǎn)竄的是授權(quán)資本記實(shí)，可以大年夜量的測驗(yàn)測驗(yàn)。
d 進(jìn)侵dns辦事器，點(diǎn)竄此中的數(shù)據(jù)庫記實(shí)。
這類就是比較直接暴力的編制了，當(dāng)然也是最堅(jiān)苦的。