DNS洪水攻击和DNS放大攻击有什么区别？

　　DNS攻击的类型很多，但真正被大规模用于实战的，主要是两种：DNS洪水攻击和DNS放大攻击。这两个名字经常被混用，甚至在很多安全报告里被笼统地称为“DNS DDoS”。但它们的目标、手法和防御逻辑完全不同。把两者搞混，意味着你可能在防一种攻击的时候，完全暴露在另一种攻击之下。

　　如果只能用一句话概括，那就是：洪水攻击打的是“DNS服务器本身”，放大攻击打的是“被DNS服务器反射的受害者”。

　　DNS洪水攻击：直接消耗目标资源

　　DNS洪水攻击的目标非常明确：让DNS服务器本身无法响应合法查询。

　　它的运作方式是利用一个僵尸网络——大量被恶意软件感染、由攻击者远程控制的设备——同时向目标DNS服务器发送海量的查询请求。这些请求可以是针对真实域名的查询，也可以是针对根本不存在的域名的查询(这种变体叫NXDOMAIN攻击或伪随机子域攻击)。

　　NXDOMAIN攻击的阴险之处在于：攻击者生成大量随机的、不存在的子域名向DNS服务器发起查询。服务器必须逐一去查找这些不存在的记录，确认它们确实不存在，然后把“域名不存在”的结果返回。这个“查找—确认—返回”的过程消耗的资源，和查询一个真实存在的域名几乎一样多。服务器的缓存被这些无用记录填满，CPU和内存被持续消耗，最终无法响应正常用户的查询。

　　洪水攻击的本质是“对称”的：攻击者发送一个请求，服务器处理一个请求，返回一个响应。攻击者需要发送足够多的请求，才能让服务器忙不过来。这意味着攻击者自身需要具备一定的带宽和计算资源。

　　DNS放大攻击：借用第三方的力量

　　DNS放大攻击的逻辑完全不同。它的目标不是DNS服务器，而是利用DNS服务器作为“反射器”和“放大器”，去攻击另一个受害者。

　　攻击者首先找到互联网上配置不当的“开放递归解析器”——这些DNS服务器没有做访问限制，任何人都可以拿它们来解析域名。然后，攻击者从自己的机器(或僵尸网络)向这些开放解析器发送DNS查询请求，但把请求的源IP地址伪造成受害者的IP地址。

　　开放解析器收到请求后，把查询结果返回给“请求者”——也就是受害者。从受害者的角度看，它突然收到了来自世界各地大量DNS服务器的响应数据包，而它从来没有发出过这些请求。

　　“放大”这个词的来源是：攻击者发送的查询请求很小，但DNS服务器返回的响应可以很大。攻击者通常会使用 ANY 类型的查询，这种查询会要求DNS服务器返回一个区域内所有已知的记录信息，响应包的大小可能是查询包的几十倍甚至上百倍。通过这种方式，攻击者用很小的发送成本，制造出巨大的接收流量，把受害者的网络带宽彻底塞满。

　　放大攻击的本质是“非对称”的：攻击者发送1MB的请求，可能产生100MB的攻击流量冲向受害者。攻击者自己甚至不需要很大的带宽，只要有足够多的开放解析器可以被利用就行。

　　两者的核心差异对比

　　从防御的角度看，两者的应对策略也完全不同。对抗洪水攻击，需要的是大带宽的清洗能力和分布式的DNS架构——用足够大的容量去吸收攻击流量，用分布式的节点去分散查询压力。而对抗放大攻击，核心在于消除开放解析器和部署源IP验证——让攻击者无法找到可用的“帮凶”，或者让伪造的源IP数据包无法在网络中流通。

　　为什么攻击者偏爱放大攻击

　　放大攻击之所以成为DDoS攻击的“主流选择”，有几个现实原因。

　　攻击者可以隐藏自己。在放大攻击中，受害者看到的流量全部来自合法的DNS服务器，而不是攻击者的机器。追溯攻击来源变得极其困难。

　　攻击者可以用很小的成本制造巨大的破坏。根据研究，DNS放大攻击的放大倍数可以高达数十倍甚至上百倍。攻击者不需要拥有大带宽，只需要找到足够多的开放解析器，就能对目标发起毁灭性的流量攻击。

　　HTTP放大攻击很难实现。HTTP连接需要TCP三次握手，攻击者最多只能发送一个 TCP SYN-ACK 包，里面包含的数据量很小。而DNS通常使用UDP协议，无需建立连接就能发送大响应，这使得DNS成为理想的反射放大载体。

　　需要留意的变种

　　搜索资料中提到了一个值得关注的新变种：DNSBomb攻击，发表于2024年的IEEE研究。它属于“脉冲式DoS攻击”的一种，利用DNS查询和响应机制，将攻击流量压缩成短时、高强度的脉冲。研究显示，某些DNS解析器可以被利用产生高达 21,881倍 的放大效果。这种攻击的隐蔽性更强，因为平均流量可能不高，但瞬间的脉冲足以击垮目标。

　　另外，DNS洪水攻击和放大攻击可能被组合使用。攻击者先用洪水攻击消耗DNS服务器的处理能力，同时利用放大攻击向受害者倾泻流量。这种组合攻击的防御难度更高，需要DNS服务商和网络运营商协同应对。

　　常见问答

　　问：DNS洪水攻击和DNS放大攻击，哪个更危险?

　　答：没有绝对的“更危险”，取决于你的角色。如果你是DNS服务商，洪水攻击是直接威胁，它试图打垮你的解析服务。如果你是普通网站运营者，放大攻击是更现实的威胁，因为它不需要攻击者直接接触你，而是借用大量DNS服务器把流量反射到你身上。从攻击规模看，放大攻击更容易制造出Tbps级别的超大流量。

　　问：我的网站会不会遭受DNS放大攻击?

　　答：有可能，但前提是你的IP地址被攻击者选中作为“受害者”。攻击者选择目标通常是随机的，也可能是针对性的。如果你突然收到大量来自不同DNS服务器的、你没有请求过的DNS响应包，那就是被放大攻击的信号。这种攻击的流量会塞满你的带宽入口，导致正常用户无法访问。

　　问：怎么判断我的DNS服务器是不是“开放解析器”?

　　答：开放解析器是指允许任何来源的IP地址进行递归查询的DNS服务器。你可以在Linux上用 dig 命令测试：dig @你的服务器IP example.com。如果返回了解析结果，而且你的服务器本来不应该对那个IP提供递归服务，那它可能就是开放的。多个机构提供免费的在线扫描工具，可以检测你的网络是否存在开放解析器。

　　问：作为普通网站运营者，我能做什么来防范DNS攻击?

　　答：对于洪水攻击，使用专业的DNS托管服务比自建DNS更安全——专业服务商有更大的抗压能力和分布式架构。对于放大攻击，你无法阻止别人利用开放解析器攻击你，但可以确保自己的DNS服务器不成为“帮凶”：关闭不必要的递归功能，限制查询来源，部署响应速率限制(RRL)。

　　问：为什么UDP协议让DNS攻击更容易?

　　答：UDP是无连接协议，发送数据包之前不需要建立连接。这意味着攻击者可以轻易地伪造源IP地址——发送一个源IP是“受害者”的请求，DNS服务器会把响应发给那个伪造的IP。TCP需要三次握手，源IP伪造的难度大得多。DNS传统上使用UDP的53端口，这是放大攻击能够成立的技术基础。