| |
方式三：DNS信息劫持
原則上TCP/IP體系通過(guò)序列號(hào)等多種方式避免仿冒數(shù)據(jù)的插入，但入侵者如果通過(guò)監(jiān)聽(tīng)客戶端和DNS服務(wù)器的對(duì)話，就可以猜測(cè)服務(wù)器響應(yīng)給客戶端的DNS查詢ID。每個(gè)DNS報(bào)文包括一個(gè)相關(guān)聯(lián)的16位ID號(hào)，DNS服務(wù)器根據(jù)這個(gè)ID號(hào)獲取請(qǐng)求源位置。攻擊者在DNS服務(wù)器之前將虛假的響應(yīng)交給用戶，從而欺騙客戶端去訪問(wèn)惡意的網(wǎng)站。假設(shè)當(dāng)提交給某個(gè)域名服務(wù)器的域名解析請(qǐng)求的數(shù)據(jù)包被截獲，然后按截獲者的意圖將一個(gè)虛假的IP地址作為應(yīng)答信息返回給請(qǐng)求者。這時(shí)，原始請(qǐng)求者就會(huì)把這個(gè)虛假的IP地址作為它所要請(qǐng)求的域名而進(jìn)行連接，顯然它被欺騙到了別處而根本連接不上自己想要連接的那個(gè)域名。
方式四：DNS重定向
攻擊者如果將DNS名稱查詢重定向到惡意DNS服務(wù)器。那么被劫持域名的解析就完全至于攻擊者的控制之下。
方式五：ARP欺騙
ARP攻擊就是通過(guò)偽造IP地址和MAC地址實(shí)現(xiàn)ARP欺騙，能夠在網(wǎng)絡(luò)中產(chǎn)生大量的ARP通信量使網(wǎng)絡(luò)阻塞，攻擊者只要持續(xù)不斷的發(fā)出偽造的ARP響應(yīng)包就能更改目標(biāo)主機(jī)ARP緩存中的IP-MAC條目，造成網(wǎng)絡(luò)中斷或中間人攻擊。ARP攻擊主要是存在于局域網(wǎng)網(wǎng)絡(luò)中，局域網(wǎng)中若有一臺(tái)計(jì)算機(jī)感染ARP木馬，則感染該ARP 木馬的系統(tǒng)將會(huì)試圖通過(guò)“ARP欺騙”手段截獲所在網(wǎng)絡(luò)內(nèi)其它計(jì)算機(jī)的通信信息，并因此造成網(wǎng)內(nèi)其它計(jì)算機(jī)的通信故障。
ARP欺騙通常是在用戶局網(wǎng)中，造成用戶訪問(wèn)域名的錯(cuò)誤指向，但在IDC機(jī)房被入侵后，則也可能出現(xiàn)攻擊者采用ARP包壓制正常主機(jī)、或者壓制DNS服務(wù)器，而李代桃僵，以使訪問(wèn)導(dǎo)向錯(cuò)誤指向的情況。
方式六：本機(jī)劫持
在計(jì)算機(jī)系統(tǒng)被木馬或流氓軟件感染后可能會(huì)出現(xiàn)部分域名的訪問(wèn)異常，如訪問(wèn)掛馬或者釣魚(yú)站點(diǎn)、無(wú)法訪問(wèn)等情況，本機(jī)劫持有hosts文件篡改、本機(jī)DNS劫持、SPI鏈注入、BHO插件等方式，雖然并非都通過(guò)DNS環(huán)節(jié)完成，但都會(huì)造成無(wú)法按照用戶意愿獲得正確的地址或者內(nèi)容的后果。
與DNS相關(guān)的一些攻擊案例
事件1：百度遇DDOS攻擊事件
2006年09月12日17點(diǎn)30分，有北京、重慶等地的網(wǎng)友反映百度無(wú)法正常使用，出現(xiàn)“請(qǐng)求超時(shí)”(Request timed out)的信息。這次攻擊造成了百度搜索服務(wù)在全國(guó)各地出現(xiàn)了近30分鐘的故障。隨后，百度技術(shù)部門的員工們快速反應(yīng)，將問(wèn)題解決并恢復(fù)百度服務(wù)。9月12日晚上11時(shí)37分，百度空間發(fā)表了針對(duì)不明攻擊事件的聲明。“今天下午，百度遭受有史以來(lái)最大規(guī)模的不明身份黑客攻擊，導(dǎo)致百度搜索服務(wù)在全國(guó)各地出現(xiàn)了近30分鐘的故障�！�
事件2：新網(wǎng)DNS服務(wù)器遭到攻擊
2006年09月22日，新網(wǎng)對(duì)外做出證實(shí)DNS服務(wù)器遭到大規(guī)模黑客攻擊，從21日下午4點(diǎn)多開(kāi)始持續(xù)到凌晨12點(diǎn)。盡管目前服務(wù)已經(jīng)恢復(fù)正常，但是技術(shù)人員正在追蹤攻擊來(lái)源，并分析攻擊技術(shù)手段。新網(wǎng)是國(guó)內(nèi)最大域名服務(wù)商之一，黑客持續(xù)8小時(shí)的攻擊，導(dǎo)致在新網(wǎng)注冊(cè)30%的網(wǎng)站無(wú)法正常訪問(wèn)。其中包括天空軟件、艾瑞視點(diǎn)、中國(guó)網(wǎng)庫(kù)等知名網(wǎng)站。
事件3：暴風(fēng)影音事件
2009年5月18日晚上22點(diǎn)左右，DNSPod主站及多個(gè)DNS服務(wù)器遭受超過(guò)10G流量的惡意攻擊。耗盡了整個(gè)機(jī)房約三分之一的帶寬資源，為了不影響機(jī)房其他用戶，最終導(dǎo)致DNS服務(wù)器被迫離線。該事件關(guān)聯(lián)導(dǎo)致了使用DNSPod進(jìn)行解析的暴風(fēng)影音程序頻繁的發(fā)生域名重新申請(qǐng)，產(chǎn)生請(qǐng)求風(fēng)暴，大量積累的不斷訪問(wèn)申請(qǐng)導(dǎo)致各地電信網(wǎng)絡(luò)負(fù)擔(dān)成倍增加，網(wǎng)絡(luò)出現(xiàn)堵塞。于2009年5月19日晚21時(shí)左右開(kāi)始，江蘇、安徽、廣西、海南、甘肅、浙江六省陸續(xù)出現(xiàn)大規(guī)模網(wǎng)絡(luò)故障，很多互聯(lián)網(wǎng)用戶出現(xiàn)訪問(wèn)互聯(lián)網(wǎng)速度變慢或者無(wú)法訪問(wèn)網(wǎng)站等情況。在零點(diǎn)以前，部分地區(qū)運(yùn)營(yíng)商將暴風(fēng)影音服務(wù)器IP加入DNS緩存或者禁止其域名解析，網(wǎng)絡(luò)情況陸續(xù)開(kāi)始恢復(fù)。
總之，DNS劫持并不是什么新鮮事物，也并非無(wú)法預(yù)防，百度被黑事件的發(fā)生再次揭示了全球DNS體系的脆弱性，并說(shuō)明互聯(lián)網(wǎng)廠商如果僅有針對(duì)自身信息系統(tǒng)的安全預(yù)案，就不足以快速應(yīng)對(duì)全面而復(fù)雜的威脅。因此，互聯(lián)網(wǎng)公司應(yīng)準(zhǔn)備兩個(gè)以上的域名，一旦黑客進(jìn)行DNS攻擊，用戶還可以訪問(wèn)另一個(gè)域名。第二，互聯(lián)網(wǎng)應(yīng)該對(duì)應(yīng)急預(yù)案進(jìn)行進(jìn)一步修正，強(qiáng)化對(duì)域名服務(wù)商的協(xié)調(diào)流程。另外，域名注冊(cè)商和代理機(jī)構(gòu)近期可能成為集中攻擊目標(biāo)，需要加以防范。最后，國(guó)內(nèi)有關(guān)機(jī)構(gòu)之間應(yīng)該快速建立與境外有關(guān)機(jī)構(gòu)的協(xié)調(diào)和溝通，協(xié)助國(guó)內(nèi)企業(yè)實(shí)現(xiàn)對(duì)此事件的快速及時(shí)的處理。本新聞共 2頁(yè),當(dāng)前在第 2頁(yè) 1 2 |
|
|
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
