服务器 Gind.cn
  1. 服务器 Gind.cn
  3. 可能的UDP攻击BIND？
Intereting Posts
DPM 2010已经分配了我们100％的存储池。 我们有什么select？ 在远程桌面连接中启用UDP协议 我可以从上传到思科ASA 5500的文件运行命令吗？ 在同一TXOP期间的MAC层重传 ProFTPD不一致的错误 通过SSH隧道使用Windows / Mac MySQL GUI 迁移到Azure Active Directory UEFI iPXE引导到debian结果在grubshell Exchange 2010自动响应程序 在Ubuntu下使用Gentoo的“ebegin”，“eend”等 为什么只有13个根服务器 在Windows Server 2008中，什么时候需要32位，什么时候需要64位？ Exchange 2010服务器是否需要3个外部IP地址？ 破的apache .htaccess（mod_rewrite） Linux：轻量级工具，当它们被杀时重启进程

可能的UDP攻击BIND？

大家好，

上个月，当我的EC2实例（ubuntu精确的服务器）仍然处于免费级别的情况下，我感到非常惊讶。今天，在检查我当前的账单时，我注意到我已经有很多stream量，而仍然在本月中旬，而且我担心这个月底我的账单将会是什么。

我安装了带宽，几分钟后，我注意到很多UDPstream量“108.162.233.15”。 这显然是一个cloudflare知识产权，我没有任何使用cloudflare（据我所知）。

所以我跑了“iftop”，看看有什么端口正在使用，我看到从端口80到我的端口53的UDPstream量…为什么会一个Web服务器查询DNS？

所以我停止绑定在我的服务器上，并运行在前台debugging模式，并看到下面的查询，不断重复： 

17-Nov-2012 12:30:58.216 client 108.162.233.15#80: UDP request 17-Nov-2012 12:30:58.216 client 108.162.233.15#80: request is not signed 17-Nov-2012 12:30:58.216 client 108.162.233.15#80: recursion available 17-Nov-2012 12:30:58.216 client 108.162.233.15#80: query 17-Nov-2012 12:30:58.216 client 108.162.233.15#80: query (cache) 'isc.org/ANY/IN' approved 17-Nov-2012 12:30:58.216 client 108.162.233.15#80: send 17-Nov-2012 12:30:58.216 client 108.162.233.15#80: sendto 17-Nov-2012 12:30:58.216 client 108.162.233.15#80: senddone 17-Nov-2012 12:30:58.217 client 108.162.233.15#80: next 17-Nov-2012 12:30:58.217 client 108.162.233.15#80: endrequest 17-Nov-2012 12:30:58.217 client @0x7fbee05126e0: udprecv 17-Nov-2012 12:30:58.343 client 108.162.233.15#80: UDP request 17-Nov-2012 12:30:58.343 client 108.162.233.15#80: request is not signed 17-Nov-2012 12:30:58.343 client 108.162.233.15#80: recursion available 17-Nov-2012 12:30:58.343 client 108.162.233.15#80: query 17-Nov-2012 12:30:58.343 client 108.162.233.15#80: query (cache) 'isc.org/ANY/IN' approved 17-Nov-2012 12:30:58.343 client 108.162.233.15#80: send 17-Nov-2012 12:30:58.344 client 108.162.233.15#80: sendto 17-Nov-2012 12:30:58.344 client 108.162.233.15#80: senddone 17-Nov-2012 12:30:58.344 client 108.162.233.15#80: next 17-Nov-2012 12:30:58.344 client 108.162.233.15#80: endrequest

我的问题是…这是正常的吗？ 我应该担心吗？ 或者这是完全不相关的我的数据收费，我应该等待看到更多的带宽数据？

先谢谢你。

它看起来你的服务器正在用于DNS放大攻击。
我不知道亚马逊EC2的定价模式，但如果这个stream量不算，我会感到惊讶。

它是这样工作的：
有人发送一个DNS查询到您的服务器与欺骗IP 108.162.233.15。
你的服务器回答这个查询给真正的受害者 – 108.162.233.15。
查询是相当小的，但答案是相当大的（检查dig -t ANY isc.org ）。

真正的问题是，为什么你的服务器回答这些查询？
你有意运行一个公共的recursionDNS供大家使用吗？

如果不是，则需要禁用recursion或将其限制为受信任/已知的客户机（ recursion no;以及allow-query-cache {none;}; ）。