CN101282209A - 防范dns请求报文泛洪攻击的方法及设备 - Google Patents

Abstract

本发明提供一种防范DNS请求报文泛洪攻击的方法及设备。所述方法包括：DNS服务端接收DNS客户端发送的UDP承载的DNS请求报文；DNS服务端向DNS客户端发送DNS响应报文，并将所述DNS响应报文中的TC和AA标志位置1；DNS服务端在预设时间内接收到DNS客户端发送的TCP SYN报文时，通过TCP cookie方式检测DNS客户端的合法性。依照本发明，能够有效的防范UDP承载的DNS请求报文对DNS服务器的泛洪攻击。

Description

防范DNS请求报文泛洪攻击的方法及设备

技术领域

本发明涉及网络安全技术领域，尤其涉及一种防范DNS请求报文泛洪(DNS Query Flood)攻击的方法及设备。

背景技术

域名系统(Domain Name System，DNS)是一种用于TCP/IP应用程序的分布式数据库，提供域名与IP地址之间的转换。通过域名系统，用户进行某些应用时，可以直接使用便于记忆的、有意义的域名，而由网络中的DNS服务器将域名解析为正确的IP地址。

图1为DNS客户端与DNS服务器交互过程示意图。如图1所示，DNS客户端通过向DNS服务器发送DNS请求报文(DNS Query)获取域名对应的IP地址。DNS服务器在接收到DNS请求报文以后，根据请求的域名进行查找，有时还需要向上级DNS服务器请求。DNS服务器在最终得到DNS客户端请求的域名对应的IP地址后，发送DNS响应报文(DNS Reply)通知DNS客户端，DNS客户端就可以向此IP地址请求网络服务了。

另外，在设置了DNS代理的情形下，DNS客户端并不直接向DNS服务器发送DNS请求报文，而是将DNS请求报文发送到DNS代理，通过DNS代理和DNS服务器的交互获取对应的IP地址。为便于描述，在本文中，将DNS代理和DNS服务器统称为DNS服务端设备。

DNS请求报文和DNS响应报文格式如图2所示，其中，16比特(bit)的标志字段被划分为若干子字段，参照图3，各子字段的含义如下：

QR是1bit字段，0表示请求报文，1表示响应报文；

opcode是4bit字段，通常值为0(标准查询)，其他值为1(反向查询)和2(服务器状态请求)；

AA是1bit字段，表示“授权回答(authoritative answer)”，其值为1时表示该域名服务器是授权于该域的；

TC是1bit字段，表示“可截断的(truncated)”，其值为1时表示信息长度超过报文长度限制；

RD是1bit字段，表示“期望递归(recursion desired)”；

RA是1bit字段，表示“可用递归”；

随后3bit必须为0；

rcode是4bit字段，通常值为0(没有差错)和3(名字差错)。

根据协议，DNS客户端可以使用TCP或者UDP协议与域名服务器通信。使用TCP协议进行通信的交互过程为：

(1)DNS客户端向域名服务器发起TCP协议的三次握手：

(2)握手成功以后，TCP连接建立；

(3)DNS客户端向域名服务器发送DNS查询报文；

(4)域名服务器向DNS客户端回应；

(5)断开TCP连接。

使用UDP协议进行通信时，DNS客户端直接向域名服务器发送DNS查询请求，域名服务器根据请求内容做出回应。

根据DNS使用承载协议(TCP/UDP)的不同，DNS请求报文泛洪攻击的方式也分为两种：

(一)基于TCP协议的攻击

典型的攻击方式为SYN泛洪攻击。攻击者通过伪造大量的不同源IP地址的TCP SYN报文，向服务器发起连接。服务器收到此报文后用SYN/ACK应答，而此应答发出去后，不会收到ACK报文，这样便形成了一个TCP半连接。如果攻击者发送大量这样的SYN报文，会在被攻击主机上出现大量的半连接，消耗尽其资源，使正常的用户无法访问。

针对这种攻击，目前较常见的做法是检查TCP的cookie值来判断其合法性，最终达到对非法请求丢弃、合法请求回应的精确防范。

(二)基于UDP协议的攻击

由于域名查询的过程比较耗时，攻击者通过向域名服务器发送大量DNS请求报文，将正常用户的DNS请求报文淹没，并使域名服务器无法正常工作而拒绝服务。

采用UDP协议的DNS攻击是一种UDP泛洪攻击，由于UDP并不是面向连接的，报文相对独立，没有相关性，因此对于这种攻击目前没有做到精确过滤。目前较常见的攻击防范做法是：检测发往特定IP或特定域(该IP/域就是被保护的主机/域)的UDP报文的速率，如果速率超过域值则判定受到攻击，丢弃所有UDP报文。

采用UDP方式的DNS攻击，目前的防范方法无法做到精确过滤：当设备检测到攻击存在时直接丢弃后续收到的所有UDP报文，这会导致被攻击报文淹没的合法用户请求也无法得到处理，最终对所有合法用户拒绝服务。

发明内容

本发明所要解决的技术问题是提供一种防范DNS请求报文泛洪攻击的方法及设备，以丢弃非法的UDP承载的DNS请求，并使合法的UDP承载的DNS请求能够得到回应。

为解决上述技术问题，本发明提供技术方案如下：

一种防范DNS请求报文泛洪攻击的方法，包括：

DNS服务端接收DNS客户端发送的UDP承载的DNS请求报文；

DNS服务端向DNS客户端发送DNS响应报文，并将所述DNS响应报文中的TC和AA标志位置1；

DNS服务端在预设时间内接收到DNS客户端发送的TCP SYN报文时，通过TCP cookie方式检测DNS客户端的合法性。

上述的方法，其中，还包括：DNS服务端在预设时间内没有接收到DNS客户端发送的TCP SYN报文时，直接确定该DNS客户端非法。

上述的方法，其中，所述通过TCP cookie方式检测DNS客户端的合法性具体包括：DNS服务端向DNS客户端回应SYN/ACK报文，并将cookie填充在所述SYN/ACK报文的seq域中；DNS服务端接收到DNS客户端回应的ACK报文以后，检查所述回应的ACK报文中seq域的值是否为cookie+1，若是，确定该DNS客户端合法，否则，确定该DNS客户端非法。

上述的方法，其中，还包括：DNS服务端在确定DNS客户端非法时，丢弃该DNS客户端后续发送的所有报文。

上述的方法，其中，所述DNS服务端为DNS服务器或者DNS代理。

一种DNS服务端设备，包括：

第一UDP模块，用于接收DNS客户端发送的UDP承载的DNS请求报文，向DNS客户端发送DNS响应报文，并将所述DNS响应报文中的TC和AA标志位置1；

第一TCP模块，用于接收DNS客户端发送的TCP SYN报文，向DNS客户端回应SYN/ACK报文，并将cookie填充在所述SYN/ACK报文的seq域中，以及接收DNS客户端回应的ACK报文；

第一判断模块，用于检查所述回应的ACK报文中seq域的值是否为cookie+1，若是，确定该DNS客户端合法，否则，确定该DNS客户端非法。

一种DNS客户端设备，包括：

第二UDP模块，用于采用UDP协议发送DNS请求报文，并接收DNS服务端发送的DNS响应报文；

第二判断模块，用于检查所述DNS响应报文中的TC和AA标志位是否为1，在确定所述TC和AA标志位为1时，发送重新请求消息到第二TCP模块；

第二TCP模块，用于在接收到所述重新请求消息时，采用TCP协议重新进行请求，发送TCP的SYN报文，以及在接收到DNS服务端发送的SYN/ACK报文时，回应TCP ACK报文，并将cookie+1填充在所述TCP ACK报文的seq域中。

一种防范DNS请求报文泛洪攻击的方法，包括：

DNS客户端采用UDP协议发送DNS请求报文；

DNS服务端接收到所述DNS请求报文后，向DNS客户端发送DNS响应报文，并将所述DNS响应报文中的TC和AA标志位置1；

DNS客户端接收到TC和AA标志位为1的DNS响应报文以后，采用TCP协议重新进行请求，发送TCP的SYN报文；

DNS服务端在预设时间内接收到DNS客户端发送的TCP SYN报文时，通过TCP cookie方式检测DNS客户端的合法性。

与现有技术相比，本发明的有益效果是：

当采用UDP承载的DNS请求报文泛洪攻击发生时，相对于其他UDP泛洪攻击检测技术，本发明能有效的鉴别DNS请求的合法性，减少或者避免DNS服务器受到攻击，并确保合法的DNS请求能够得到回应。

附图说明

图1为现有技术中DNS客户端与DNS服务器交互过程示意图；

图2为现有技术中DNS请求报文和DNS响应报文格式示意图；

图3为图2中16比特的标志字段的格式示意图；

图4为本发明实施例的防范DNS请求报文泛洪攻击的方法示意图；

图5为本发明实施例的DNS服务端设备的结构示意图；

图6为本发明实施例的DNS客户端设备的结构示意图。

具体实施方式

本发明的关键在于，将UDP承载的DNS请求报文泛洪攻击防范转化为TCP的SYN报文泛洪攻击防范。具体地，DNS服务端接收到UDP承载的DNS请求报文以后，向DNS客户端发送TC和AA标志位都为1的DNS响应报文；DNS客户端接收到这样的DNS响应报文以后，重新以TCP协议发起DNS请求。由于那些伪造源IP的DNS请求不会重新以TCP方式发起DNS请求，这就可以过滤大多数伪造源IP的攻击报文。然后，DNS服务端设备再通过TCPcookie方式检测DNS客户端的合法性，并响应所有合法客户端的DNS请求。

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图及具体实施例对本发明进行详细描述。

参照图4，本发明实施例的防范DNS请求报文泛洪攻击的方法主要包括如下步骤：

步骤S1、DNS客户端采用UDP协议发送DNS请求报文；

步骤S2、DNS服务端接收到DNS请求报文以后，确定该报文以UDP承载，则向DNS客户端发送DNS响应报文，并将报文中的TC和AA标志位置1；

步骤S3、DNS客户端接收到TC和AA标志位为1的DNS响应报文以后，采用TCP协议重新进行请求，发送TCP的SYN报文；

步骤S4、DNS服务端接收到TCP SYN报文以后，向DNS客户端回应SYN/ACK报文，并将cookie填充在报文的seq域中；

步骤S5、DNS客户端回应ACK报文；

步骤S6、DNS服务端接收到ACK报文以后，根据seq值进行合法性检测。

在步骤S6中，DNS服务端检查seq值是否为cookie+1，若是，确定此DNS客户端合法，再接收到此客户发送的UDP承载的DNS请求报文时，对该请求报文进行回应。

在步骤S2之后，DNS服务端如果在预设时间内没有接收到DNS客户端发送的TCP SYN报文，或者在步骤S6中，所述seq值不为cookie+1，则可以确定该DNS客户端非法，丢弃该客户端后续发送的所有报文。

依照上述实施例的方法，可以做到对非法DNS请求的精确过滤，保证合法DNS请求能够正常获得服务。

DNS客户端的合法性检测出来后，如果DNS服务端为DNS服务器，则在获取到对应的IP地址后，将该IP地址通过DNS响应报文发送到客户端；如果DNS服务端为DNS代理，则利用TCP代理技术，向DNS服务器进行UDP的DNS请求，再将DNS服务器的回应以TCP方式发送到DNS客户端。

在本发明的其他实施例中，在合法性检测出来后，也可以直接向DNS客户端发送TCP的RESET报文，断开TCP连接，等待该客户端的下一次DNS请求到达后(不必再做上述检查过程)，直接进行回应。

参照图5，本发明实施例的DNS服务端设备主要包括第一UDP模块、第一TCP模块和第一判断模块，其中：

所述第一UDP模块用于接收DNS客户端发送的UDP承载的DNS请求报文，向DNS客户端发送DNS响应报文，并将所述DNS响应报文中的TC和AA标志位置1；

所述第一TCP模块用于接收DNS客户端发送的TCP SYN报文，向DNS客户端回应SYN/ACK报文，并将cookie填充在所述SYN/ACK报文的seq域中，以及接收DNS客户端回应的ACK报文；

所述第一判断模块用于检查所述回应的ACK报文中seq域的值是否为cookie+1，若是，确定该DNS客户端合法，否则，确定该DNS客户端非法。

所述第一判断模块还用于在所述第一TCP模块在预设时间内没有接收到DNS客户端发送的TCP SYN报文时，直接确定该DNS客户端非法。

参照图6，本发明实施例的DNS客户端设备主要包括第二UDP模块、第二TCP模块和第二判断模块，其中：

所述第二UDP模块用于采用UDP协议发送DNS请求报文，并接收DNS服务端发送的DNS响应报文；

所述第二判断模块，用于检查所述DNS响应报文中的TC和AA标志位是否为1，在确定所述TC和AA标志位为1时，发送重新请求消息到所述第二TCP模块；

所述第二TCP模块，用于在接收到所述重新请求消息时，采用TCP协议重新进行请求，发送TCP的SYN报文，以及在接收到DNS服务端发送的SYN/ACK报文时，回应TCP ACK报文，并将cookie+1填充在所述TCP ACK报文的seq域中。

最后应当说明的是，以上实施例仅用以说明本发明的技术方案而非限制，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的精神范围，其均应涵盖在本发明的权利要求范围当中。

Claims (10)

1.一种防范DNS请求报文泛洪攻击的方法，其特征在于，包括：

DNS服务端接收DNS客户端发送的UDP承载的DNS请求报文；DNS服务端向DNS客户端发送DNS响应报文，并将所述DNS响应报文中的TC和AA标志位置1；

DNS服务端在预设时间内接收到DNS客户端发送的TCP SYN报文时，通过TCP cookie方式检测DNS客户端的合法性。

2.如权利要求1所述的方法，其特征在于，还包括：

DNS服务端在预设时间内没有接收到DNS客户端发送的TCP SYN报文时，直接确定该DNS客户端非法。

3.如权利要求1所述的方法，其特征在于，所述通过TCP cookie方式检测DNS客户端的合法性具体包括：

DNS服务端向DNS客户端回应SYN/ACK报文，并将cookie填充在所述SYN/ACK报文的seq域中；

DNS服务端接收到DNS客户端回应的ACK报文以后，检查所述回应的ACK报文中seq域的值是否为cookie+1，若是，确定该DNS客户端合法，否则，确定该DNS客户端非法。

4.如权利要求2或3所述的方法，其特征在于，还包括：

DNS服务端在确定DNS客户端非法时，丢弃该DNS客户端后续发送的所有报文。

5.如权利要求1所述的方法，其特征在于：

所述DNS服务端为DNS服务器或者DNS代理。

6.一种DNS服务端设备，其特征在于，包括：

第一UDP模块，用于接收DNS客户端发送的UDP承载的DNS请求报文，向DNS客户端发送DNS响应报文，并将所述DNS响应报文中的TC和AA标志位置1；

第一TCP模块，用于接收DNS客户端发送的TCP SYN报文，向DNS客户端回应SYN/ACK报文，并将cookie填充在所述SYN/ACK报文的seq域中，以及接收DNS客户端回应的ACK报文；

第一判断模块，用于检查所述回应的ACK报文中seq域的值是否为cookie+1，若是，确定该DNS客户端合法，否则，确定该DNS客户端非法。

7.如权利要求6所述的设备，其特征在于：

所述第一判断模块，还用于在所述第一TCP模块在预设时间内没有接收到DNS客户端发送的TCP SYN报文时，直接确定该DNS客户端非法。

8.一种DNS客户端设备，其特征在于，包括：

第二UDP模块，用于采用UDP协议发送DNS请求报文，并接收DNS服务端发送的DNS响应报文；

第二判断模块，用于检查所述DNS响应报文中的TC和AA标志位是否为1，在确定所述TC和AA标志位为1时，发送重新请求消息到第二TCP模块；

第二TCP模块，用于在接收到所述重新请求消息时，采用TCP协议重新进行请求，发送TCP的SYN报文，以及在接收到DNS服务端发送的SYN/ACK报文时，回应TCP ACK报文，并将cookie+1填充在所述TCP ACK报文的seq域中。

9.一种防范DNS请求报文泛洪攻击的方法，其特征在于，包括：

DNS客户端采用UDP协议发送DNS请求报文；

DNS服务端接收到所述DNS请求报文后，向DNS客户端发送DNS响应报文，并将所述DNS响应报文中的TC和AA标志位置1；

DNS客户端接收到TC和AA标志位为1的DNS响应报文以后，采用TCP协议重新进行请求，发送TCP的SYN报文；

DNS服务端在预设时间内接收到DNS客户端发送的TCP SYN报文时，通过TCP cookie方式检测DNS客户端的合法性。

10.如权利要求9所述的方法，其特征在于，还包括：

DNS服务端在预设时间内没有接收到DNS客户端发送的TCP SYN报文时，直接确定该DNS客户端非法。

Images