应对漏洞
由于攻击者现在可以控制域名服务器，每个查询请求都会被重定向到黑客指定的服务器上。这也就意味着，黑客可以控制所有域名下的子域网址：www.bigbank.com，mail.bigbank.com ，ftp.bigbank.com等等。这非常强大，任何涉及到子域网址的查询，都可以引导至由黑客指定的任何服务器上。
如何应对？
为了解决这些问题，用于查询的UDP端口不应该再是默认的53，而是应该在UDP端口范围内随机选择(排除预留端口)
但是，很多企业发现他们的DNS服务器远落后于提供网络地址转换(network address translation ，NAT)的各种设备。大部分NAT设备会随机选择NDS服务器使用的UDP端口，这样就会使得新的安全补丁会失去效果。IT经理也不会在防火墙中开放全方位的UDP端口。更严重的是，有安全研究员证明，即使提供64000UDP端口中随机选择的保护，DNS服务器也照样有可能受到中毒攻击。
现在是时候考虑保护DNS的其他方案了。UDP源端口随机化选择是一种比较有用的防护举措，但是这会打破UDP源端口随机化给与DNS服务器的保护，同由此全方位开放端口面临的风险或者降低防火墙性能这两者间的平衡关系。还有一种比较有效的防护措施就是，当检测到面临潜在攻击风险时，让DNS服务器切换到使用TCP连接。
如果攻击者猜测到了必要的参数以欺骗查询响应，那么就需要额外的防御措施了。这意味着DNS服务器需要更智能化，能够准确分析每个查询响应，以便剔除攻击者发送的非法应答中的有害信息。
网友评论