作者：周安宇 季宇斌 韩冬梅 徐耀群 唐林德 铁峰 张冰
【摘要】本文阐述了一种互设DNS造成DNS解析风暴,进而造成对DNS服务器攻击的异常现象,本文对该现象发生的条件、原因,发生后对DNS服务器的危害以及预防都做了比较详细的分析。
【关键词】DNS服务器 DNS解析 网络风暴
1 DNS风暴现象的发生
目前不少家庭用户拥有多台电脑,并且安装了不同运营商宽带网络,这些用户往往需要多台电脑能够同时上网,因此Windows操作系统中的网络共享就成为首选。刚开始的时候用户设置其中一台为网关服务器,利用这台计算机拨号,另外一台上网。经过设置以后,网关服务器电脑的IP地址会自动变成192.168.0.1。然后,将另外一台电脑的IP地址设置为自动获取或者192.168.0.2,另外再设置网关和DNS都为192.168.0.1,就可以利用共享上网了。网关服务器没有打开而另外一台电脑需要上网,因此用户就希望两台电脑能够互相设置为网关,哪台电脑先打开就先设置为网关服务器。这样两台电脑的工作都不耽误。
这种情况在拥有多台电脑的家庭网络中经常发生,但是经过了这么一个简单的设置后,如果输入正确的Web地址,系统能够正常的上网,并且在表面上不会发生问题。但是当输入了错误的Web地址或者简单地Ping 一个不存在的WWW地址时,就会观察到系统通知域显示的网络图标开始处于不断地发送接受状态。而且这种状态不会自动停止,如果观察连接状态,可以观察到数据包的接受和发送以每秒3000个的速度在进行,非专业者在上网的时候如果发现了这种现象可能会感觉网络速度很慢,但是仍旧可以比较正常的浏览网页,而且当重新启动计算机以后在正常情况下又能够正常工作,因此很容易忽视这个问题。其实这个时候,大量的DNS数据包已经在网络之间传送,DNS解析的网络风暴发生了。
如上所述,发生DNS解析“风暴”的4个条件:(1)计算机双方设置微软的网络共享(2)双方互设DNS (3)安装了PPPoe协议,Adsl和网通宽带用户恰恰都是安装PPPoe协议的。(4)请求解析不能解析的Web地址。
2 现象的分析
为了分析这种现象的发生,进行截包分析,在发生现象的时候,可以截获到大量的DNS请求解析和解析结果数据包。
这些数据包的地址有共享网关服务器A计算机的地址192.168.0.1,客户端B计算机的地址192.168.0.2,还有一个地址是拨号的地址xxx.xxx.xxx.xxx,另外两个地址210.46.112.8和202.97.224.69就是ISP的DNS服务器地址了。系统在192.168.0.1和192.168.0.2之间不间断的传送解析数据包,也在因特网上的DNS服务器中进行解析,但是由于解析都是失败的,因此这个地址的解析不停地进行,并引起了“风暴”现象。