CN102624750B - 抵御dns递归攻击的方法和系统 - Google Patents

Abstract

本发明抵御DNS递归攻击的方法和系统，包括用户端、缓存服务器和域名服务器，用户端向缓存服务器提出域名的查询请求，还包括同处理器连接的白名单生成模块；缓存服务器判断资源记录内是否有同查询请求相应的目标资源记录，如果是，将该目标资源记录写入白名单。本发明能有效抵御DNS递归攻击，成本低，响应快。

Description

抵御DNS递归攻击的方法和系统

技术领域

本发明属于互联网技术领域，具体涉及一种抵御DNS递归攻击的方法和系统。

背景技术

随着互联网技术日益广泛的应用以及黑客行为的逐渐增多，网络安全越来越受到重视。黑客行为的手段很多，分布式拒绝服务（DistributionDenialofService,DDOS）是其中常见的一种。

通常，DDOS攻击的目标是域名服务器。域名服务器是指保存有该网络中所有主机的域名和对应IP地址，并具有将域名转换为IP地址功能的服务器。其中域名必须对应一个IP地址，而IP地址不一定有域名。域名虽然便于人们记忆，但机器之间只认IP地址，它们之间的转换工作称为域名解析，域名解析需要由专门的域名解析服务器来完成。计算机域名系统（即DNS）命名用于Internet等TCP/IP网络中，通过用户友好的名称查找计算机和服务。当用户在应用程序中输入DNS名称时，DNS服务可以将此名称解析为与之相关的IP地址，从而成功访问目标网络。

DNS是一种分布式数据库，这种结构可让本地端点只控制整体数据库的某一区段，而每个区段中的数据皆可通过主从式架构提供给整个网络。简单来说DNS解析系统包括域名空间和资源记录、Resolver、缓存或递归服务器。

所述域名空间是一个树状结构，资源记录是与域名相关的一些数据。从概念上说，每个结点和域名空间树的叶子结点都有一定的信息，而查询是要查询出一些与之相关的特定信息。就是说，每个网站有自己的资源记录，里面保存了自己的数据，即对应了某一个特点的IP地址。在互联网的世界里，有千千万万个这样的网站主，他们都有自己的资源记录，这些资源记录的集合就是域名空间。

Resolver是向域名服务器提出查询请求并将结果返回给客户的程序，它必须可以访问至少一个域名服务器，并将结果直接返回给用户或向别的域名服务器查询。它通常是用户可以访问的系统方法，在Resolver和用户程序之间不需要协议。Resolver是操作系统底层一个程序，当我们在浏览器中输入了某一个域名，浏览器就会调用操作系统的Resolver程序，向域名空间请求域名对应的IP地址。获得地址后才能通过IP地址和目标域名服务器进行通信。

所述Resolver程序会向域名空间请求域名对应的IP地址。这时候就需要缓存服务器出现，缓存服务器是域名空间的入口，即Resolver将他需要查找的内容告诉缓存服务器，缓存服务器去域名空间里寻找相应的记录，然后把查找的结果返回给用户。缓存服务器去域名空间里寻找资源记录的过程称为“递归”。事实上，不是每一次Resolver的请求都需要递归，缓存服务器会将递归完成以后所获得的数据保存在内存中，下次如果Resolver还来查找同样的资源记录，就直接查找内存，如果内存里还存储有上述资源记录，就不进行递归，直接将缓存的内容告诉Resolver。

总之，域名解析的流程包括以下四个步骤：

1，用户端（Resolver）向缓存服务器发出DNS查询请求。

2，缓存服务器向域名空间进行递归查询。需要说明是，递归查询对缓存服务器来说是非常消耗系统资源的，太多的递归查询会导致缓存服务器工作异常甚至崩溃。

3，域名空间将查询到的资源记录返回给缓存服务器，缓存服务器保存资源记录。

4，缓存服务器将资源记录应答给用户。

从这个流程可以看出，步骤2和3不是必须的，只有在缓存服务器的内存中查询不到目标资源记录时，才会执行步骤2和3。有两种可能会导致缓存中没有查找到可用的资源记录：一是内存中没有这条记录，即上述目标资源记录从来未被查询过；二是内存中曾经有这条记录但是已经过期，因为根据DNS的相关协议，资源记录在缓存中有效的时间是有限的。

DDOS攻击是以如下方式实现的：黑客首先入侵Internet上的大量计算机并植入病毒，这些被植入病毒的计算机一旦受到黑客的攻击命令，就会一起向黑客预先锁定的IP地址发送大量的数据包，使目标设备无法及时处理大量的数据，造成一定范围内的网络瘫痪。

黑客进行DDOS攻击的手段一般分为两种，一种是通过模拟大量的域名空间中不存在的域名，然后将这些请求发给缓存服务器，由于域名本身就不存在，缓存里肯定不会有相应记录，所以必然会触发递归事件，大量的递归事件会导致缓存服务器崩溃。

另一种是采取清除缓存的方式进行递归攻击，缓存服务器中，缓存通常存在内存里，内存的大小是有限的，程序可用的内存更是有限，所以缓存服务器中缓存也会满，这样就会有一个缓存淘汰机制，在缓存满了以后清理部分缓存。通常一条资源记录只有200个字节左右，如果黑客制造大量的超大资源记录，并且向缓存服务器请求这些资源记录，那么缓存服务器的缓存很容易被黑客的资源记录占满，在这种情况下大量的有效的资源记录就会被清理，由于缓存中可用的资源记录被大量清理，必然会大量触发递归请求，同样会引起递归太多导致系统崩溃。

现有技术中已经有一些防止DDOS攻击的方法，例如《一种DNSDDoS攻击行为的分析及其应对措施》（广西通信技术2011第3期）中提出了一个对抗递归攻击的方法，具体地说，通过找到分析出导致大量递归请求的具有共同2级域名的数据包特征，并将这些数据包阻止。这个方法是无效的，因为递归攻击使用的域名是随机的，未必一定具备文中所描述的后缀特征，在不具备该特征的情况下文中所描述的方法无效，并且文中的分析手段效率太低，抓包分析需要很长的时间。中国专利CN201110237997描述一个对抗DNSDDOS的攻击方法，具体地说，是统计某IP段正常情况下的DNS请求流量，如发现当前的流量过大则进行过滤，但是该方法所描述的过滤是随机的，即过滤掉攻击的流量和真正用户的请求的几率是一样的。因此这种方法存在很大的缺陷，并且递归攻击也未必需要特别大的流量，所以该方法无法抵挡递归攻击。

总之，现有技术存在缺陷，有待进一步改进。

发明内容

为解决上述现有技术中存在的问题，本发明的目的是提供一种能够有效抵御DNS递归攻击的方法和系统。

技术方案：

一种抵御DNS递归攻击的方法，包括以下步骤：

1），用户端向缓存服务器提出域名的查询请求；

2），缓存服务器设置白名单，缓存服务器查询缓存模块存储的资源记录，判断资源记录内是否有同查询请求相应的目标资源记录，如果是，将该目标资源记录写入白名单，将该资源记录反馈给用户端；如果否，进入步骤3）；

3），缓存服务器向域名服务器发送递归查询请求；

4），判断递归查询请求是否成功，如果是，将目标资源记录写入缓存模块的资源记录；如果否，进入步骤5）；

5),判断递归查询请求是否是递归攻击，如果是，启动抵御攻击模式，如果否，工作完成。

所述的方法，其中：步骤4）中判断递归查询请求成功的条件是：缓存服务器必须收到了域名服务器的递归回复包，并且递归回复包中应答代码字段的值必须为0。

所述的方法，其中：步骤5）中判断是否为递归攻击的方式为：

定义递归攻击门限，即递归查询请求的递归回复包为非0的次数或所占比例；如果递归回复包为非0的次数或所占比例超过了递归攻击门限，那么判定递归查询请求是递归攻击。

所述的方法，其中：抵御攻击模式包括以下步骤：

6），缓存服务器设置递归过滤模块，将该目标资源记录读入归过滤模块；

7），递归过滤模块将目标资源记录同白名单进行比对，如果目标资源记录在白名单中，进入步骤8）；如果目标资源记录不在白名单中，丢弃包含该目标资源记录的数据包。

8），缓存服务器允许将该目标资源记录写入缓存模块，并将该目标资源记录反馈给用户端。

一种抵御DNS递归攻击的方法，包括以下步骤：

1），用户端向缓存服务器提出域名的查询请求；

2），缓存服务器设置白名单，缓存服务器查询缓存模块存储的资源记录，判断资源记录内是否有同查询请求相应的目标资源记录，如果是，将该目标资源记录写入白名单，将该资源记录反馈给用户端；如果否，进入步骤3）；

3），缓存服务器向域名服务器发送递归查询请求；

4），判断递归查询请求是否成功，如果是，白名单生成模块将日志中递归查询请求成功的目标资源记录通过日志的方式写到白名单；如果否，进入步骤5）；

5),判断递归查询请求是否是递归攻击，如果是，启动抵御攻击模式，如果否，工作完成。

所述的方法，其中：步骤4）中判断递归查询请求成功的条件是：缓存服务器必须收到了域名服务器的递归回复包，并且递归回复包中应答代码字段的值必须为0。

所述的方法，其中：抵御攻击模式包括以下步骤：

6），缓存服务器设置递归过滤模块，将该目标资源记录读入递归过滤模块；

7），递归过滤模块将目标资源记录同白名单进行比对，如果目标资源记录在白名单中，进入步骤8）；如果目标资源记录不在白名单中，丢弃包含该目标资源记录的数据包。

8），缓存服务器允许将该目标资源记录写入缓存模块，并将该目标资源记录反馈给用户端。

抵御DNS递归攻击的系统，包括用户端、缓存服务器和域名服务器，用户端向缓存服务器提出域名的查询请求，其中，该缓存服务器包括同处理器连接的缓存模块，缓存模块存储资源记录；还包括同处理器连接的白名单生成模块；

缓存服务器判断资源记录内是否有同查询请求相应的目标资源记录，如果是，将该目标资源记录写入白名单。

所述的系统，其中，缓存服务器判断资源记录内没有同查询请求相应的目标资源记录，缓存服务器向域名服务器发送递归查询请求；如果递归查询请求不成功，缓存服务器启动抵御攻击模式；

缓存服务器还包括同处理器连接的递归过滤模块，将递归查询请求不成功的目标资源记录读入递归过滤模块；

递归过滤模块将目标资源记录同白名单进行比对，如果目标资源记录在白名单中，将该目标资源记录写入缓存模块，如果目标资源记录不在白名单中，结束工作。

本发明提供的抵御DNS递归攻击的方法和系统，通过设置白名单对可信任的域名进行记录，通过将查询请求和资源记录的比对来减少黑客的DNS递归攻击；进一步的通过递归过滤模块防止黑客将缓存模块中有效的资源记录删除；本发明能有效抵御DNS递归攻击，成本低，响应快。

附图说明

此处所说明的附图是本发明实施例的附图，构成本申请的一部分，用于促进对本发明的理解，并不构成对本发明的不当限定，其中

图1是本发明抵御DNS递归攻击方法第一个实施例的流程图；

图2是本发明抵御DNS递归攻击方法第二个实施例的流程图；

图3是本发明实施例中攻击模式的递归流程图；

图4是本发明抵御DNS递归攻击的系统的结构示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚明白，下面结合本发明实施例中的附图，对本发明的优选实施例进行清楚、完整的描述。显然，本部分所描述的实施例仅是本发明的一部分实施例，而不是全部的实施例。在本部分实施例的基础上，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明的保护范围。

本发明提供的抵御DNS递归攻击的系统，如图4所示，包括用户端、缓存服务器和域名服务器，该缓存服务器包括同处理器连接的缓存模块，还包括分别同处理器连接的白名单生成模块和递归过滤模块。

为了更有效地识别和抵御DNS攻击，本发明提供一种采用白名单方式防止DNS递归攻击的方法和系统，所述白名单即可信域名名单，是域名空间中真实存在的域名的集合。在正常的递归过程中，将递归成功后的域名记录形成白名单；当遭遇递归攻击时，将目标资源记录和白名单中的资源记录进行对比，阻止白名单中没有的资源记录的递归，从而防止递归攻击。

具体地说，抵御DNS递归攻击方法的第一个实施例，如图1所示，包括：

步骤101，用户端向缓存服务器提出域名的查询请求。

步骤102，缓存服务器的白名单生成模块设置白名单，缓存模块存储资源记录。缓存服务器查询缓存模块存储的资源记录，判断资源记录内是否有同查询请求相应的目标资源记录，如果是，进入步骤103，如果否，进入步骤105。

步骤103，将该目标资源记录写入白名单。

步骤104，缓存服务器将目标资源记录反馈给用户端，任务结束。将所述目标资源记录写入白名单和反馈给用户端的先后顺序不做限定。

步骤105，如果缓存模块存储的资源记录内不存在所述目标资源记录，则缓存服务器向域名服务器发送递归查询请求。

步骤106，判断递归查询请求是否成功，如果是，查询到目标资源记录，将目标资源记录写入缓存模块的资源记录，并返回步骤103；如果否，递归查询请求不成功，则进入步骤107。

递归查询请求时，缓存服务器需要向域名服务器发送递归查询请求，判断递归查询成功的条件是，缓存服务器必须收到了域名服务器的递归回复包，并且递归回复包中DNS控制域中的应答代码（Rcode）字段的值必须为0。

递归回复包中DNS控制域中的应答代码（Rcode）字段各个数字代表的意义如下：0，无差错；1，查询报文的格式不对；2，域名服务器原因导致查询失败；3，查询对象的名字不存在；4，域名服务器不支持该类查询；5，域名服务器拒绝应答。

可以通过盘路镜像的方式，或直接在缓存服务器上抓取递归回复包，这是现有技术，这里不再赘述，然后判断应答代码字段的值是否为0。

缓存服务器的白名单会有大量重复的域名，所以需要一个去重处理，可以通过排序的方式实现，同时可以获得每个域名出现的次数。

步骤107，判断递归查询请求是否是递归攻击，如果是，启动攻击模式，如果否，工作完成。判断是否为递归攻击的方式如下：

白名单是在没有遭遇递归攻击的时候通过长期积累的方式生成，而在生成白名单的同时可以发现递归攻击，即大量的应答代码为非0的结果出现，可以为此定义一个递归攻击门限，即递归查询请求的递归回复包为非0的次数或所占比例。如果递归回复包为非0的次数或所占比例超过了递归攻击门限，那么可以判断这个递归查询请求是递归攻击。

抵御DDOS攻击方法的第二个实施例，如图2所示，其同第一个实施例的不同在于，在步骤106递归查询请求成功以后，所述缓存服务器的白名单生成模块将日志中递归查询请求成功的目标资源记录通过日志的方式写到白名单中。之后，再进入步骤104。

启动攻击模式的流程图，如图3所示，具体包括以下步骤：

步骤108，缓存服务器设置递归过滤模块，将该目标资源记录读入递归过滤模块。

步骤109，递归过滤模块将目标资源记录同白名单进行比对，攻击模式下白名单不做更新工作。如果目标资源记录在白名单中，并进入步骤110。本发明还可以根据该递归查询请求是否为白名单排列前多少名的域名来判断是否将该目标资源记录写入缓存模块，具体使用何种判断条件，根据实际情况。

如果目标资源记录不在白名单中，丢弃包含该目标资源记录的数据包，结束工作，缓存服务器不再向域名服务器发送递归查询请求，而且不能将目标资源记录写入缓存模块。

步骤110，缓存服务器允许将该目标资源记录写入缓存模块。通过递归过滤模块再写入缓存模块的目的是，避免黑客恶意写入缓存模块导致缓存空间不够，而清理大量的有效缓存数据，引起大量递归查询请求的出现。

步骤111，缓存服务器将该目标资源记录反馈给用户端。

启动攻击模式的通常实现方式是，修改DNS缓存软件的代码，在递归流程发起前加入一段匹配的白名单的代码，或者在递归流程发起前挂一个外挂软件，该外挂软件进行白名单匹配，并返回给缓存软件一个是否递归的信号。

本发明提供的抵御DNS递归攻击的方法和系统，通过白名单的方式可以有效的解决和缓解递归攻击，在面对递归攻击的时候能快速响应，大约1分钟左右，无需人工分析，实施成本低。

以上内容是对本发明的优选的实施例的说明，可以帮助本领域技术人员更充分地理解本发明的技术方案。但是，这些实施例仅仅是举例说明，不能认定本发明的具体实施方式仅限于这些实施例的说明。对本发明所属技术领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干简单推演和变换，都应当视为属于本发明的保护范围。

Claims (2)

1.一种抵御DNS递归攻击的方法，包括以下步骤：

1），用户端向缓存服务器提出域名的查询请求；

2），缓存服务器设置白名单，缓存服务器查询缓存模块存储的资源记录，判断资源记录内是否有同查询请求相应的目标资源记录，如果是，将该目标资源记录写入白名单，将该资源记录反馈给用户端；如果否，进入步骤3）；

3），缓存服务器向域名服务器发送递归查询请求；

4），判断递归查询请求是否成功，如果是，将目标资源记录写入缓存模块的资源记录，并将该目标资源记录写入白名单，将该资源记录反馈给用户端，任务结束；如果否，进入步骤5）；

5),判断递归查询请求是否是递归攻击，如果是，启动抵御攻击模式，如果否，工作完成；

所述步骤4）中判断递归查询请求成功的条件是：缓存服务器必须收到了域名服务器的递归回复包，并且递归回复包中应答代码字段的值必须为0；

所述步骤5）中判断是否为递归攻击的方式为：定义递归攻击门限，即递归查询请求的递归回复包为非0的次数或所占比例；如果递归回复包为非0的次数或所占比例超过了递归攻击门限，那么判定递归查询请求是递归攻击；

所述步骤5）抵御攻击模式包括以下步骤：

6），缓存服务器设置递归过滤模块，将该目标资源记录读入递归过滤模块；

7），递归过滤模块将目标资源记录同白名单进行比对，如果目标资源记录在白名单中，进入步骤8）；如果目标资源记录不在白名单中，丢弃包含该目标资源记录的数据包；

8），缓存服务器允许将该目标资源记录写入缓存模块，并将该目标资源记录反馈给用户端。

2.一种抵御DNS递归攻击的方法，包括以下步骤：

1），用户端向缓存服务器提出域名的查询请求；

2），缓存服务器设置白名单，缓存服务器查询缓存模块存储的资源记录，判断资源记录内是否有同查询请求相应的目标资源记录，如果是，将该目标资源记录写入白名单，将该资源记录反馈给用户端；如果否，进入步骤3）；

3），缓存服务器向域名服务器发送递归查询请求；

4），判断递归查询请求是否成功，如果是，白名单生成模块将日志中递归查询请求成功的目标资源记录通过日志的方式写到白名单，缓存服务器将目标资源记录反馈给用户端，任务结束；如果否，进入步骤5）；

5),判断递归查询请求是否是递归攻击，如果是，启动抵御攻击模式，如果否，工作完成；

所述步骤4）中判断递归查询请求成功的条件是：缓存服务器必须收到了域名服务器的递归回复包，并且递归回复包中应答代码字段的值必须为0；

所述步骤5）中判断是否为递归攻击的方式为：定义递归攻击门限，即递归查询请求的递归回复包为非0的次数或所占比例；如果递归回复包为非0的次数或所占比例超过了递归攻击门限，那么判定递归查询请求是递归攻击；

所述步骤5）抵御攻击模式包括以下步骤：

6），缓存服务器设置递归过滤模块，将该目标资源记录读入递归过滤模块；

7），递归过滤模块将目标资源记录同白名单进行比对，如果目标资源记录在白名单中，进入步骤8）；如果目标资源记录不在白名单中，丢弃包含该目标资源记录的数据包；

8），缓存服务器允许将该目标资源记录写入缓存模块，并将该目标资源记录反馈给用户端。