【转】 DNS原理篇 DNS Request Flood

• UDP：表示DNS查询基于UDP协议传输数据。DNS服务器支持TCP和UDP两种协议的查询方式。

• Destination port：目的端口默认是53。

• QR：0表示查询报文；1表示回应报文。

• TC：表示“可截断的”。如果使用UDP时，当应答报文超过512字节时，只返回前512个字节。 通常情况下，DNS查询都是使用UDP查询，UDP提供无连接服务器，查询速度快，可降低服务器的负载。当客户端发送DNS请求，并且返回响应中TC位设置为1时，就意味着响应的长度超过512个字节，而仅返回前512个字节。这种情况下，客户端通常采用TCP重发原来的查询请求，并允许返回的响应报文超过512个字节。直白点说，就是UDP报文的最大长度为512字节，而TCP则允许报文长度超过512字节。当DNS查询超过512字节时，协议的TC标志位会置1，这时则使用TCP发送。

• Queries：表示DNS请求的域名和类型。
  

• 在回应报文中，比查询报文多了后三个字段：回答字段、授权字段和附加信息字段。其中回答字段是放置的域名对应的IP地址等信息。
  

• Name：DNS查询中的请求域名。
  

• Type：每一个查询都有一个查询类型，每一个响应也都有一个类型。这个类型大约有20多种，但是很多种类型现在已经过时了。最常用的查询类型是A类型，表示期望获得查询域名的IP地址。查询类型也可以是CNAME，这个在后面的详细介绍。
  

• TTL：生存时间，表示客户端保留该解析资源记录的时间。
  

• 一种是授权存储域名和IP地址映射关系的授权服务。

• 一种是临时存放域名和IP地址映射关系的缓存服务。
  

• 第一类：黑客伪造客户端源IP发送大量的DNS请求报文，造成DNS request flood攻击。DNS request flood是当前最常见的DNS攻击，这类攻击可以针对缓存服务器，也可以针对授权服务器。

• 第二类：黑客伪造成授权服务器发送大量的DNS回应报文，造成DNS reply flood攻击。

• 第三类：篡改某些网站的域名和IP地址对应关系，导致用户访问被导向至**网站、**网站等。

• 第四类：向DNS服务器发送大量错误格式的DNS异常报文，或者发送大量超长DNS报文，导致DNS服务器处理这些报文时出现异常，拒绝正常服务。
  

• 当客户端发送的DNS请求报文超过告警阈值后，Anti-DDoS系统启动源认证机制。

• Anti-DDoS系统拦截DNS请求，并进行回应，要求客户端以TCP方式重新发起DNS查询。

• 如果这个源是虚假源，则不会正常响应这个DNS回应报文，更不会重新通过TCP方式重新进行DNS查询。

• 如果是真实客户端，则会重新发送SYN报文，请求建立三次握手。

• Anti-DDoS系统对客户端源进行TCP层面的认证。源认证通过，客户端源IP加入白名单。

• 客户端重新请求建立三次握手，Anti-DDoS系统将客户端第二次发送的三次握手请求直接放行，送给服务器。

• 客户端与服务器之间建立三次握手成功，并通过TCP方式完成本次DNS查询。
  

1、Anti-DDoS系统在第一次收到DNS请求后，就会记录DNS请求的域名、源IP等基本信息，并HASH成一个值，记录到系统一张表里。
2、后续一定时间戳内，如果再收到这个HASH值相同的DNS请求，就认定为重传包，放行。时间戳会随着收到的每一个相同HASH值的DNS请求包而不断的刷新。

我们再来抓包看看：
1、第一次DNS请求。这个DNS查询报文会被Anti-DDoS系统丢弃，并且不回应任何报文。

2、第二次DNS请求。客户端一段时间内没有收到DNS回应报文，重新发送DNS请求。