DNS Query.log - 成熟.net 的多个查询

Question

目前，我运行一个 DNS 服务器（bind9），它处理来自 Internet 上的客户端的查询，最近我注意到来自所有不同地址的数百个查询看起来像这样（服务器 IP 已删除）

client 216.59.33.210#53: query: ripe.net IN ANY +ED (0.0.0.0)
client 216.59.33.204#53: query: ripe.net IN ANY +ED (0.0.0.0)
client 208.64.127.5#53: query: ripe.net IN ANY +ED (0.0.0.0)
client 184.107.255.202#53: query: ripe.net IN ANY +ED (0.0.0.0)
client 208.64.127.5#53: query: ripe.net IN ANY +ED (0.0.0.0)
client 208.64.127.5#53: query: ripe.net IN ANY +ED (0.0.0.0)
client 205.204.65.83#53: query: ripe.net IN ANY +ED (0.0.0.0)
client 69.162.110.106#53: query: ripe.net IN ANY +ED (0.0.0.0)
client 216.59.33.210#53: query: ripe.net IN ANY +ED (0.0.0.0)
client 69.162.110.106#53: query: ripe.net IN ANY +ED (0.0.0.0)
client 216.59.33.204#53: query: ripe.net IN ANY +ED (0.0.0.0)
client 208.64.127.5#53: query: ripe.net IN ANY +ED (0.0.0.0)

有人可以解释一下为什么有这么多客户在查询成熟的.net 吗？

Answer 1

当 DNS 服务器像这样公开配置时，它会在 DNS 放大攻击中被其他人滥用。攻击者伪造 DDOS 目标的 IP 地址，并向像您这样的服务器发送大量小型查询（通常是 ANY 类型）。

使用成熟.net ANY 是因为它返回一个很大的答案，因此放大了攻击者对目标的欺骗查询的大小。