主页 / server / 问题 / 449680
Accepted
Waleed Hamra
Asked: 2012-11-18 02:55:52 +0800 CST

可能对 BIND 进行 UDP 攻击？

  • 772

大家好，

上个月我很惊讶我的 EC2 实例（ubuntu 精确服务器），它应该仍然在免费层下，积累了大量的流量......今天，在检查我当前的账单时，我注意到我已经有大量的流量，虽然还在月中，但我担心月底的帐单会是...

我安装了 bandwidthd，几分钟后，我注意到有很多 UDP 流量到“108.162.233.15”。这显然是一个 cloudflare IP，我没有任何使用 cloudflare 的东西（据我所知）。

所以我运行“iftop”来查看正在使用哪些端口，并且我看到了从端口 80 到我的端口 53 的 UDP 流量...为什么网络服务器会查询 dns？

所以我停止在我的服务器上绑定，并在前台调试模式下运行它，看到以下查询，不断重复：

17-Nov-2012 12:30:58.216 client 108.162.233.15#80: UDP request
17-Nov-2012 12:30:58.216 client 108.162.233.15#80: request is not signed
17-Nov-2012 12:30:58.216 client 108.162.233.15#80: recursion available
17-Nov-2012 12:30:58.216 client 108.162.233.15#80: query
17-Nov-2012 12:30:58.216 client 108.162.233.15#80: query (cache) 'isc.org/ANY/IN' approved
17-Nov-2012 12:30:58.216 client 108.162.233.15#80: send
17-Nov-2012 12:30:58.216 client 108.162.233.15#80: sendto
17-Nov-2012 12:30:58.216 client 108.162.233.15#80: senddone
17-Nov-2012 12:30:58.217 client 108.162.233.15#80: next
17-Nov-2012 12:30:58.217 client 108.162.233.15#80: endrequest
17-Nov-2012 12:30:58.217 client @0x7fbee05126e0: udprecv
17-Nov-2012 12:30:58.343 client 108.162.233.15#80: UDP request
17-Nov-2012 12:30:58.343 client 108.162.233.15#80: request is not signed
17-Nov-2012 12:30:58.343 client 108.162.233.15#80: recursion available
17-Nov-2012 12:30:58.343 client 108.162.233.15#80: query
17-Nov-2012 12:30:58.343 client 108.162.233.15#80: query (cache) 'isc.org/ANY/IN' approved
17-Nov-2012 12:30:58.343 client 108.162.233.15#80: send
17-Nov-2012 12:30:58.344 client 108.162.233.15#80: sendto
17-Nov-2012 12:30:58.344 client 108.162.233.15#80: senddone
17-Nov-2012 12:30:58.344 client 108.162.233.15#80: next
17-Nov-2012 12:30:58.344 client 108.162.233.15#80: endrequest

我的问题是……这正常吗？我应该担心吗？还是这与我的数据费用完全无关，我应该等待从 bandwidthd 看到更多数据？

先感谢您。

ubuntu

1 个回答

  1. Best Answer

    在我看来，您的服务器正被用于 DNS 放大攻击。
    我不知道 Amazon EC2 的定价模型，但如果这个流量不算数，我会感到惊讶。

    它是这样工作的：
    有人使用欺骗性 IP 108.162.233.15 向您的服务器发送 DNS 查询。
    您的服务器将此查询回答给真正的受害者 - 108.162.233.15。
    查询很小，但答案很大（检查dig -t ANY isc.org）。

    真正的问题是，为什么您的服务器会回答这些查询？
    您是否有意运行公共递归 DNS 供所有人使用？

    如果不是，您需要禁用递归或将其限制为受信任/已知的客户端（recursion no;和allow-query-cache {none;};）。

    • 7

相关问题