「华安解密之DDoS攻防」01 DNS原理篇“暴风”事件解密

杨哥关注的华为官方的【华安解密之DDoS攻防】非常实用，纯纯的干货，决定每天一篇分享给爱看头条并且爱学习的条友们。

正文如下：

说到DDoS攻击，就让人不由得想起多年前那场触目惊心的“519暴风断网”事件。这场灾难仿佛一阵飓风，瞬间席卷了中国互联网。暴风事件带来的巨大破坏性，不仅仅是在短短两个小时内让天津、北京、上海、河北、山西、内蒙古、辽宁、吉林、江苏、黑龙江、浙江、安徽、湖北、广西、广东等地区的DNS服务陆续瘫痪，导致用户不能正常上网，更为重要的是，众多黑客灵光一闪，开启了一种新的攻击模式。那次互联网灾难之后，DDoS攻击的编年史中出现了两个时代：一个是前暴风时代，一个是后暴风时代。

今天就和大家一起回顾一下“519暴风断网”事件。

事件回顾

失了一颗铁钉，亡了一个国家。一个馒头，引发一场血案。很多很多大事件，都是从微不足道的小事开始的。这一次，小人物再次改变了历史。

“暴风”这件事儿的起因是两个游戏私服互相竞争，来回发动DDoS攻击。在达不到预期效果的情况下，干脆直接向对方的域名服务器下手了。

5月18日开始，DNS服务提供商DNSPod的6台服务器开始受到攻击。

18日晚20点33分，在史无前例的大流量攻击下，DNSPod的6台服务器开始陆续失效，大量网站开始间歇性无法访问。第一波攻击的流量在21点30分左右达到高峰，流量超过了10Gbps。要知道那可是2009年，奥运会才开过一年，北京的房价还是可以接受的，一个电信核心机房的带宽最多也只有几十G。

18日当晚，由于DNSPod耗尽了整个机房近乎三分之一的带宽资源，为了不影响机房其他用户，DNSPod服务器被运营商下线。

如果事情到此为止，其实也不会造成多大的影响。可是发动攻击的黑客忘了，运营商的管理员也忘了，DNSPod并不仅仅为这个被攻击的网游私服提供域名解析服务，还支持数十万其他的网站，这其中就包括大名鼎鼎的暴风影音。普通用户遇到上网失败，试几次就放弃了；暴风影音软件的设计，使它在请求失败后持续不断地重新发起请求。再考虑到暴风影音巨大的装机量，悲剧发生了。

19日晚，由于DNSPod网络服务被中断，致使其无法为包括baofeng.com在内的域名提供域名解析服务，诸多采用DNSPod服务的网站无法访问，DNS请求涌向了本地DNS缓存服务器，DNS缓存服务终于顶不住了，发生了大面积的堵塞。

19日晚21点左右，浙江电信DNS缓存服务开始瘫痪，之后的两个小时内天津、北京、上海、河北、山西、内蒙古、辽宁、吉林、江苏、黑龙江、浙江、安徽、湖北、广西、广东等地区的DNS缓存服务器也陆续瘫痪。全国各省市出现大面积断网。

事件中涉及的几个关键角色

DNSPod

DNSPod是国内最大的一家免费DNS解析服务提供商，暴风影音和前面恶性竞争的游戏私服都是DNSPod的客户。

运营商

由于中国特色的运营商市场，导致DNSPod这样的网络基础服务提供商无法独立承建数据中心，只能租用运营商IDC的机房和服务器资源。

暴风影音

影音软件起家，后来向媒体提供商转型。暴风影音软件中，有一项强制随机启动的名为stormliv.exe的进程，只要用户安装了暴风影音，该进程就会自动运行，并不断连接暴风影音网站，下载广告或升级。

私服与黑客

这个就很容易理解了，一个是为了一己私欲，策划这场攻击事件的背后指示者；一个是为了牟取暴利的攻击事件执行者。

从事件整个过程来看，一共有几个关键点：

1、游戏私服攻击竞争对手DNS服务，打蛇打七寸，间接攻击了整个DNSPod的业务。

2、运营商对DNSPod流量进行了阻断，粗暴的对流量进行了黑洞处理。

3、几亿安装了暴风影音客户端的PC充当“肉鸡”，导致运营商DNS缓存服务器无法提供服务，进而导致大面积断网。

如果把这次事件看成是“多米诺骨牌”效应，那被推倒的第一张“骨牌”是DNSPod服务器；第二张“骨牌”毫无疑问就是暴风影音充当“肉鸡”导致服务耗尽的运营商DNS缓存服务器；而第三张“骨牌”就是全国范围瘫痪的网络了。如果想深入理解这次互联网灾难，我们要先从DNS的基础知识讲起。

DNS服务器在网络中充当什么角色？

大家都知道，当我们在上网的时候，通常输入的是网址，其实这就是一个域名，比如www.vmall.com。这个域名就好比是餐馆的招牌，通常我们想要找一个餐馆，一般都会输入餐馆名称进行查找，而不是直接找XX街XX号。大家很难记住这个门牌号，而餐馆名称却很容易记住。

网络上的计算机彼此之间只能用IP地址才能相互识别，但是IP地址是一串数字，很难记忆，所有就有了域名。域名很容易被人们记住，我们上网的时候可以直接输入域名，计算机需要通过域名找到对应的IP地址，这就是域名解析的过程。

域名解析要由专门的域名解析系统（Domain Name System，简称DNS）来完成。在DNS系统中，涉及以下几种类型的服务器：

根服务器主要用来管理互联网的主目录，全世界只有13个根逻辑服务器节点。这13个节点其中10个设置在美国，另外各有一个设置于英国、瑞典和日本。虽然网络是无国界的，但服务器还是有国界的。所有根服务器均由美国政府授权的互联网域名与号码分配机构ICANN统一管理。

顶级域名服务器一般用于存储.com、.edu、.cn等顶级域名。

递归服务器也可理解为存储着官方域名解析授权的授权服务器，一般存储着这个网络中域名和IP地址的解析关系，也就是DNSPod充当的角色。试想一下，如果每个上网用户在上网的时候都向授权服务器发送请求，那授权服务器必然承受不住，所以就有了缓存服务器存在的必要。

缓存服务器就相当于是授权服务器的一个代理，可以缓解授权服务器的压力。我们每次上网的时候，域名解析的请求都是发给缓存服务器的，缓存服务器第一次收到用户请求的时候，会向授权服务器请求域名和IP地址的解析表，然后储存在本地，等后续再有用户请求相同的域名时，就会直接答复，不再请求。毕竟一个网站的IP地址不是经常变换的。当然，这个解析表是有一定的有效期的，等有效期到了，这个解析表就会自动老化，等下次有用户请求时重新向授权服务器询问。这个定期老化机制，可以保证缓存服务器上域名解析的定期更新。

1、 DNS客户端查询通常采用递归方式，缓存服务器首先会判断本地是否有这个域名的解析缓存。

2、 如果本地没有缓存，就会把域名发送到根服务器。根服务器收到www.vmall.com请求后，会判断.com是谁授权管理，并返回.com所在的顶级域名服务器IP地址。

3、 缓存服务器继续向顶级域名服务器发送www.vmall.com解析请求，顶级域名服务器收到请求后，会返回下一级.vmall.com的递归服务器IP地址。

4、 缓存服务器继续向递归服务器发送www.vmall.com解析请求，递归服务器收到请求后，返回www.vmall.com的解析地址。如果域名层级较多，则递归服务器也会存在多级。

5、 缓存服务器得到www.vmall.com的解析IP地址后，将IP地址发送给客户端，同时在本地缓存。

6、 后续一段时间内，当有客户端再次请求www.vmall.com这个域名解析时，缓存服务器直接回应解析的IP地址，不再重复询问。

针对关键环节解决方案思路：

我们继续回到暴风影音这件事上。运营商对DNSPod采用的是粗暴式的黑洞处理，显然这种方式是不行的，直接影响了其他域名的解析业务。

1、DNS递归（授权）服务缺少有效的保护，运营商IDC和SP缺少应用层清洗能力，可以针对应用层流量进行攻击流量的识别和针对性清洗。

2、DNS缓存服务缺少有效的保护，DNS缓存服务缺少对于特定域名的限速，以及异常流量中有针对性的清洗攻击流量，转发正常流量的能力。

华为专业Anti-DDoS解决方案怎么做？

华为Anti-DDoS专业防御系统支持对DNS服务器提供精细化的防御。精细化的意思就是针对不同的DNS服务器、不同的攻击类型、不同的应用场景，提供不同的防御手段。华为Anti-DDoS针对这次事件可以从两方面进行部署。

授权服务器防护

DNSPod服务器的防护可以作为第一道防线。对于DNSPod服务器，由于它所遭受的攻击其实都是僵尸主机发送的DNS query，属于虚假源攻击，所以可以采用重定向方式进行防御。

缓存服务器防护

如果DNSPod服务器不幸沦陷了，那还可以通过保护DNS缓存服务器，作为阻止事件继续恶化的第二道防线。

DNS缓存服务器和DNSPod服务器所遭受的攻击不同，毕竟暴风影音用户都是真实存在的源，属于真实源攻击，源认证防御方式对这种真实源无效， 所以可以这么做：

1、 首先，Anti-DDoS支持针对DNS服务的TopN统计，并提供报表。从报表中，可以获知访问最多的Top N域名，在这么大的访问量下，暴风影音一定是名列前茅的。

2、 然后，针对被攻击域名进行指定域名限速，即对暴风影音的域名进行限速。

这样就可以避免其他域名服务受影响，也不会导致DNS缓存服务器瘫痪。

域名作为广大民众访问互联网的起点和入口，是全球互联网通信的基础。域名解析系统作为承载全球亿万域名正常使用的系统，是互联网的基础设施。而域名系统又是一种公开服务，很容易被黑客作为攻击的对象。域名系统的故障会导致互联网陷入瘫痪，所以保护域名系统也变得至关重要。

“暴风影音”事件的第二阶段，也就是DNS缓存服务器拒绝服务，导致大面积Internet接入瘫痪，才是本次攻击的威力点。这个结果虽然不是攻击者的本意，但是一连串的连锁反应，使它成为DDoS史上具有里程碑意义的关键事件。它给了DDoS攻击者新的方向，如何利用庞大的网络基础设施架构产生更大、更真实的DDoS攻击。后面的NTP反射攻击，搜狐视频签名嵌入式攻击等都是源于这个思路，它开启了DDoS攻击的新纪元。

文章版权归华为官方，烦请大家转载的话注明。