可能对 BIND 进行 UDP 攻击？

Question

大家好，

上个月我很惊讶我的 EC2 实例（ubuntu 精确服务器），它应该仍然在免费层下，积累了大量流量......今天，在检查我当前的账单时，我注意到我已经有大量的流量，虽然还在月中，我担心到月底我的账单会是什么......

我安装了bandwidthd，几分钟后，我注意到大量的UDP流量到“108.162.233.15”。这显然是一个 cloudflare IP，我没有任何使用 cloudflare 的东西（据我所知）。

所以我运行“iftop”来查看正在使用的端口，我看到UDP流量从端口80到我的端口53......为什么网络服务器会查询dns？

所以我在我的服务器上停止了绑定，并在前台调试模式下运行它，看到以下查询，不断重复：

17-Nov-2012 12:30:58.216 client 108.162.233.15#80: UDP request
17-Nov-2012 12:30:58.216 client 108.162.233.15#80: request is not signed
17-Nov-2012 12:30:58.216 client 108.162.233.15#80: recursion available
17-Nov-2012 12:30:58.216 client 108.162.233.15#80: query
17-Nov-2012 12:30:58.216 client 108.162.233.15#80: query (cache) 'isc.org/ANY/IN' approved
17-Nov-2012 12:30:58.216 client 108.162.233.15#80: send
17-Nov-2012 12:30:58.216 client 108.162.233.15#80: sendto
17-Nov-2012 12:30:58.216 client 108.162.233.15#80: senddone
17-Nov-2012 12:30:58.217 client 108.162.233.15#80: next
17-Nov-2012 12:30:58.217 client 108.162.233.15#80: endrequest
17-Nov-2012 12:30:58.217 client @0x7fbee05126e0: udprecv
17-Nov-2012 12:30:58.343 client 108.162.233.15#80: UDP request
17-Nov-2012 12:30:58.343 client 108.162.233.15#80: request is not signed
17-Nov-2012 12:30:58.343 client 108.162.233.15#80: recursion available
17-Nov-2012 12:30:58.343 client 108.162.233.15#80: query
17-Nov-2012 12:30:58.343 client 108.162.233.15#80: query (cache) 'isc.org/ANY/IN' approved
17-Nov-2012 12:30:58.343 client 108.162.233.15#80: send
17-Nov-2012 12:30:58.344 client 108.162.233.15#80: sendto
17-Nov-2012 12:30:58.344 client 108.162.233.15#80: senddone
17-Nov-2012 12:30:58.344 client 108.162.233.15#80: next
17-Nov-2012 12:30:58.344 client 108.162.233.15#80: endrequest

我的问题是……这正常吗？我应该担心吗？或者这与我的数据费用完全无关，我应该等待查看来自bandwidthd的更多数据？

先感谢您。

Answer 1

在我看来，您的服务器正被用于 DNS 放大攻击。
我不知道 Amazon EC2 的定价模型，但如果不计算此流量，我会感到惊讶。

它的工作原理如下：
有人使用欺骗性 IP 108.162.233.15 向您的服务器发送 DNS 查询。
您的服务器将这个查询回答给真正的受害者 - 108.162.233.15。
查询很小，但答案很大（检查dig -t ANY isc.org）。

真正的问题是，为什么您的服务器会回答这些查询？
您是否有意运行一个公共递归 DNS 供所有人使用？

如果没有，您需要禁用递归或将其限制为受信任/已知客户端（recursion no;和allow-query-cache {none;};）。