数据服务器的陈旧的危害

陈旧软件存严重漏洞 彻底退役
安全软件开发商Trusteer公司的Amit Klein发现了该漏洞。他写道，即使用户输入的是正确的URL(统一资源定位器)伯克利互联网名称域 8(Bind 8)中的漏洞也会将用户引导至虚假网站。
建议用户升级到Bind 94，这是该软件的最新版本，在该版本中开发者重新构建了软件结构，提升了其安全性能。该软件是由互联网软件集团(ISC)维护的，可供免费下载。
ISC发布了一个临时补丁，但是由于软件还存在其他弱点，ISC准备放弃Bind 8。
“让一件产品退役不是一件容易的事情，”该组织在警告中说。“Bind 8的安全问题很多，并且几年已经是Bind 9问世的第7年了，ISC必须维护并改进现有版本的。”
根据Infoblox Inc的数据——该公司每年对DNS服务器进行调查，2006年互联网上大约14%的DNS服务器还在使用Bind 8。
Klein写道，“Bind 8现在仍然是很受欢迎的DNS服务器，因此该攻击会影响到一大部分的互联网用户。”
在一篇研究论文中，Klein描述了Bind 8用来生成处理ID时使用的算法的漏洞。处理ID是些随机的连续数字，它使Bind 8能察觉是否有人在用错误的信息回应它的请求。该漏洞使人们可以观察一些查询，并且预测序列中的处理ID。
利用那个信息，攻击者就可以将错误的信息发给DNS服务器，使它的缓存中存储特定域名的地址被感染。因此，那个域名服务的的用户访问某个网站的网络传输就可以被导向包含恶意站点的服务器，这个骗术被称为“pharming”
Klein说，尽管Bind 9的处理ID算法较好，它也有可能易受攻击。

一种针对域名服务器的新型分布式拒绝服务攻击（DDoS），可称之为“胡乱域名”（Nonsense Name）攻击。它能给递归域名服务器和权威域名服务器（authoritative name servers）造成严重破坏。这种“无意义域名”DDoS攻击通常是这样进行的：
1攻击者选定一个域作为目标，比如someoneexample。
2 在目标域内，攻击者 *** 纵僵尸网络产生大量随机域名。这些随机域名的头部都是些诸如asdfghjk、zxcvbnm之类的无意义的字符，制造出来的域名形如：asdfghjksomeoneexample和zxcvbnmsomeoneexample。
3然后向递归域名服务器发起大量针对这些无意义域名的查询请求。
4递归域名服务器转而将请求发送到someoneexample的权威服务器以查询这些域名。
5 权威域名服务器返回‘请求的域名不存在’的响应（NXDOMAIN）。
6 递归服务器中继转发这一响应给原始请求者，并缓存下域名不存在的记录。
7 请求，响应，缓存，再来一遍。反反复复无穷尽。
大多数情况下，运营权威域名服务器的机构（本例中是为someoneexample提供权威域名解析的）似乎是攻击者的目标。比如说，我们观察到的某些被攻击的域名就是国内博彩网站使用的（也许是有人因为损失惨重而对庄家进行报复？）无论如何，递归服务器终归是无辜中箭，连带崩溃。他们确实是目标么？
比如之前，Infoblox的客户遭受攻击的域中有部分在攻击过后神秘消失了一天或两天，表明这些域并没有被使用（事实上很可能是被“试探性抢注”了）。攻击者可能故意将这些域注册到慢速或停止响应的域名服务器上，这样域内的域名解析就会无限漫长，比如com、top、cn等等域名。当然，抛开目标问题不谈，攻击背后的机制也同样迷雾重重。

---