DNS放大攻击通过利用域名系统（DNS）服务器的正常功能，来扩大攻击流量的体积。攻击者通常有两种提高放大倍数的方法：选择返回大量数据的DNS记录和利用递归查询功能。其中，选择返回大量数据的DNS记录是通过对包含大量信息的DNS记录进行查询，例如TXT记录或者PTR记录，这些记录通常比基础的A记录或者CNAME记录包含的数据量要大得多。因此，即使发送小量的查询请求，也能够得到大尺寸的响应数据，由此产生放大效果。
一、优化攻击策略以提高放大倍数
攻击者会精心选择目标DNS记录，寻找那些可以返回大量数据的记录作为攻击载体。TXT记录、PTR记录和ANY查询（现已废弃）曾是放大攻击常用的类型，因为它们能返回大量数据。例如，一个小型的DNS请求可能得到一个关联数千字节的响应信息。这样，即便攻击者只发送较小的查询包，仍然可以通过放大得到巨大的流量，进一步压崩目标服务器。
TXT记录通常用于存储非结构化的文本信息，因此攻击者可以轻易找到或设置一个包含大段文本数据的TXT记录，以此作为放大攻击的工具。PTR记录，用于IP地址反向查询，同样可以包含足够多的信息，这些记录往往比正向DNS查询的A记录包含更多数据。
利用大体积DNS记录
攻击者会寻找或配置含有大量文本信息的DNS记录，如TXT或特定配置的SPF记录，它们可以用于验证域名的电子邮件发送源，这些记录可以在响应中包含大量的文本数据。放大攻击便利用这种大型响应的特性，将小的查询转化为大的响应。
结合多个查询技术
此外，攻击者还可能利用DNS中的EDNS0协议（扩展DNS的协议）来发送更大的数据请求或增加附加信息字段，从而增加响应数据的大小。EDNS0允许更大的UDP数据包在DNS系统中传输，它拓展了DNS的功能，同时也为放大攻击提供了便利。
二、DNS递归查询的利用
放大攻击还通过利用递归查询来提高放大倍数。当DNS服务器收到一个需要递归解析的查询请求时，它会代表客户端执行全部的查询过程，最后将结果返回给客户端。攻击者设置其DNS请求使得递归查询被触发，然后将这些请求发送到多个开放的DNS递归服务器。
触发递归查询
递归查询的处理需要消耗更多服务器资源，因为服务器必须发起额外的查询直到获取到需要的信息才返回给请求者。攻击者通过伪造请求来源地址，让这些大规模的、由递归查询产生的响应流量被导向他们想要攻击的目标，进一步放大攻击效果。
利用开放递归服务器
开放递归服务器是可以被任何人使用的DNS服务器，它们没有适当的限制来阻止滥用。攻击者会寻找这样的服务器并用它们来作为放大攻击的跳板。这些服务器在递归查询的过程中，可能会生成非常大的响应数据包，从而增加了攻击的流量倍数。
三、缓存击穿技术
除去前面提及的方法，攻击者还会尝试另一种策略——缓存击穿。这种技术涉及到发送非常用的DNS请求，以期绕过缓存服务器，直接要求权威服务器进行解析。由于这些请求往往未被缓存，服务器必须每次都进行完整的解析过程。
发送奇异DNS请求
通过寻找不常见或根本不存在的子域名进行查询，攻击者能确保这些查询不会在普通的DNS缓存中找到，迫使服务器每次都进行全新的递归查询。这不但占用了更多的资源，而且还能产生较大的响应包。
架设额外的权威服务器
有的攻击者会进一步提升他们的技术手段，架设自己的权威服务器，并配置假的子域以应对这类特殊查询，使每个响应都能够返回大量数据，为放大效果“添砖加瓦”。
四、多点放大与协调
高级攻击者不仅聚焦于单点的放大效果，还会组织多个放大点，协调进行攻击，来进一步提高放大倍数。
协调多个放大点
通过控制一个由众多被感染机器（僵尸网络）组成的网络，攻击者可以分散其DNS放大请求到多个DNS递归服务器。这种分布式的方式不仅使得攻击更难以追踪，还会增加总的放大输出。
利用时间差和同步机制
在实施攻击时，同步不同放大点发动攻击的时间和波次，攻击者可以确保攻击流量高峰能在特定时间重叠，对目标造成最大的冲击。
DNS放大攻击之所以难以防范，是因为它们利用了DNS系统的合法功能和一些配置上的疏忽。为了应对这种攻击，网络管理员需要采取多种措施，如限制递归服务的使用、实施针对性的流量监控和过滤以及配置DNS服务器的响应速率限制等，共同构建一个更加安全的网络环境。
相关问答FAQs：
1. 放大攻击者如何利用开放的DNS服务器进行攻击？
在DNS放大攻击中，攻击者利用存在安全问题的开放DNS服务器进行攻击。他们发送精心构造的请求，以获取比实际请求更大的响应。此攻击受益于DNS协议中的“递归查询”功能，攻击者可以通过发送小型查询，获得大量的响应数据。
2. 放大攻击者是如何提高放大倍数的？
放大攻击的成功与攻击者能够获得多大的放大倍数有关。攻击者可以采取多种方法来提高放大倍数：
- 利用存在漏洞的DNS服务器：攻击者利用存在漏洞的DNS服务器，使其响应大量数据，从而实现放大倍数的提高。
- 使用DNS记录中的特殊设置：攻击者通过在DNS记录中添加特殊设置来增加响应数据的大小。例如，在TXT记录中添加长字符串就可以使响应数据放大。
- 利用反射攻击：攻击者可以通过欺骗反射器服务器来使其发出更大的响应。通过发送伪造的源IP地址，攻击者可以增加反射攻击的放大倍数。
3. 如何减少DNS放大攻击的风险？
要减少DNS放大攻击的风险，可以采取以下措施：
- 更新和维护DNS服务器：确保所有使用的DNS服务器都是最新的，并及时应用安全补丁以修复已知漏洞。
- 限制递归查询：限制DNS服务器上的递归查询，仅允许特定的受信任主机执行递归查询，可以减少放大攻击的风险。
- 启用DNS响应限制：配置DNS服务器以限制响应大小，从而限制放大倍数。
- 部署防火墙和入侵检测系统：部署网络防火墙和入侵检测系统，以监控和阻止可能的DNS放大攻击流量。
- 强化网络安全意识：对网络管理员和用户进行培训，提高网络安全意识，防止恶意攻击进入系统。
