Google域名被劫敲警钟，专家出招防控DNS

　　从6月23日深夜Google和MSN等的CN域名被恶意篡改以来，Google、MSN和万网等三大厂商一并成为受害者，为国内互联网企业在防御域名劫持上再次敲响警钟。

万网副总裁周锚认为此次事件是由不法分子采用非法入侵的手段侵入了万网的域名服务器，然后对Google以及MSN等一些知名公司的CN域名地址进行解析技术的篡改。事实上，攻击域名、恶意修改DNS指向的事件在国内外的域名服务行业都曾多次发生，这次是专门针对知名国际网站CN域名发起恶意攻击的首例。

联想到国内外最近一段时间以来，接连出现的域名劫持与DNS攻击事件，比如163.net,adobe.com都曾经遭遇了域名劫持，主页被篡改，fm365.com甚至由于域名劫持导致了域名所有权的争议，互联网专家前CNNIC主任助理吴养怡表示，DNS的安全已经成为目前互联网存在着最严重的安全漏洞与隐患之一，域名（DNS管理系统）已经成为越来越多的网络黑客的攻击目标。

当“潘多拉的盒子”已经被打开，我们何以应对？

DNS系统是所有互联网应用的基础，在网站运维中起到至关重要的作用。一旦DNS系统瘫痪，所有用户都无法访问网站，网站上的所有应用与电子商务交易将无法进行。这将对网站产生灾难性的后果。

常见的域名（DNS）管理方面的黑客攻击

吴养怡介绍到，常见的域名（DNS）管理方面的黑客攻击包括：

域名劫持：

域名劫持通常是指，通过采用黑客手段控制了域名管理密码和域名管理邮箱，然后将该域名的NS纪录指向到黑客可以控制的DNS服务器，然后通过在该DNS服务器上添加相应域名纪录，从而使网民访问该域名时，进入了黑客所指向的内容。值得注意的是：域名被劫持后，不仅网站内容会被改变，甚至可以导致域名所有权也旁落他人。如果是国内的CN域名被劫持，还可以通过和注册服务商或注册管理机构联系，较快地拿回控制权。如果是国际域名被劫持，恰巧又是通过国际注册商注册，那么其复杂的解决流程，再加上非本地化的服务，会使得夺回域名变得异常复杂。

域名欺骗（缓存投毒）：

域名欺骗的方式有多种多样，但其攻击现象就是利用控制DNS缓存服务器，把原本准备访问某网站的用户在不知不觉中带到黑客指向的其他网站上，其实现方式可以通过利用网民ISP端的DNS缓存服务器的漏洞进行攻击或控制，从而改变该ISP内的用户访问域名的响应结果。或者黑客通过利用用户权威域名服务器上的漏洞，如当用户权威域名服务器同时可以被当作缓存服务器使用，黑客可以实现缓存投毒，将错误的域名纪录存入缓存中，从而使所有使用该缓存服务器的用户得到错误的DNS解析结果。

DDOS（分布式拒绝服务）攻击：

针对DNS服务器的拒绝服务攻击有两种，一种攻击针对DNS服务器软件本身，通常利用BIND软件程序中的漏洞，导致DNS服务器崩溃或拒绝服务；另一种攻击的目标不是DNS服务器，而是利用DNS服务器作为中间的“攻击放大器”，去攻击其它互联网上的主机，导致被攻击主机拒绝服务，这种攻击的原理为：黑客向多个DNS服务器发送大量的查询请求，这些查询请求数据包中的源IP地址为被攻击主机的IP地址，DNS服务器将大量的查询结果发送给被攻击主机，使被攻击主机所在的网络拥塞或不再对外提供服务。这种服务会导致域名的正常访问无法进行。即该域名下的WWW服务和邮件服务都将无法正常进行。

专家出招 防控DNS攻陷

吴养怡表示，上述的第一种攻击行为，主要和用户管理域名的习惯有关，而第二种和第三种则都和用户对DNS系统的管理有关。目前，很多用户都认为DNS维护是很简单的，只需要买台服务器，装一个BIND软件，就可以提供DNS服务功能，但实际上DNS的维护需要很多相关的专业知识，并不是一件轻松的事情。

因此，需要在此提醒用户，如果准备自己维护域名服务器，则需要安装下载最新的BIND版本软件，并安装所有补丁程序，同时关于国内外业界最新趋势，随时对系统进行修补，堵住安全漏洞。但由于网站的管理员都希望将主要精力投入到网站的主要内容服务器的维护上，因此在DNS方面下的功夫往往不够。

而国外，很多公司都已经开始选择将DNS服务器的维护交给一些专业的外包DNS服务公司所解决。如著名的亚马逊、ORACLE等公司就将DNS的维护工作交给了UltraDNS进行维护。

1