1.攻击者选定一个域作为目标,比如someone.example。
2. 在目标域内,攻击者操纵僵尸网络产生大量随机域名。这些随机域名的头部都是些诸如asdfghjk、zxcvbnm之类的无意义的字符,制造出来的域名形如:asdfghjk.someone.example和zxcvbnm.someone.example。
3.然后向递归域名服务器发起大量针对这些无意义域名的查询请求。
4.递归域名服务器转而将请求发送到someone.example的权威服务器以查询这些域名。
5. 权威域名服务器返回‘请求的域名不存在’的响应(NXDOMAIN)。
6. 递归服务器中继转发这一响应给原始请求者,并缓存下域名不存在的记录。
7. 请求,响应,缓存,再来一遍。反反复复无穷尽。
大多数情况下,运营权威域名服务器的机构(本例中是为someone.example提供权威域名解析的)似乎是攻击者的目标。比如说,我们观察到的某些被攻击的域名就是国内博彩网站使用的(也许是有人因为损失惨重而对庄家进行报复?)无论如何,递归服务器终归是无辜中箭,连带崩溃。他们确实是目标么?
比如之前,Infoblox的客户遭受攻击的域中有部分在攻击过后神秘消失了一天或两天,表明这些域并没有被使用(事实上很可能是被“试探性抢注”了)。攻击者可能故意将这些域注册到慢速或停止响应的域名服务器上,这样域内的域名解析就会无限漫长,比如com、top、cn等等域名。当然,抛开目标问题不谈,攻击背后的机制也同样迷雾重重。
欢迎分享,转载请注明来源:夏雨云
评论列表(0条)