（文章來源：站長之家）
? ? ? ?互聯網上DNS服務器的事實標準就是ISC的BIND，BillManning對in-addr域的調查發現，有95%的域名服務器(2的2000次方個服務器中)使用的是各種版本的“bind”。這其中包括了所有的DNS根服務器，而這些根服務器對整個服務器的正常運轉起著至關重要的作用。

DNS服務面臨的安全隱患主要包括：DNS欺騙（DNSSpoffing）、拒絕服務（Denialofservice，DoS）攻擊、分布式拒絕服務攻擊和緩沖區漏洞溢出攻擊（BufferOverflow）。

DNS欺騙即域名信息欺騙是最常見的DNS安全問題。當一個DNS服務器掉入陷阱，使用了來自一個惡意DNS服務器的錯誤信息，那么該DNS服務器就被欺騙了。DNS欺騙會使那些易受攻擊的DNS服務器產生許多安全問題，例如：將用戶引導到錯誤的互聯網站點，或者發送一個電子郵件到一個未經授權的郵件服務器。網絡攻擊者通常通過兩種方法進行DNS欺騙。

黑客會熟練的使用DNS請求，將數據放入一個沒有設防的DNS服務器的緩存當中。這些緩存信息會在客戶進行DNS訪問時返回給客戶，從而將客戶引導到入侵者所設置的運行木馬的Web服務器或郵件服務器上，然后黑客從這些服務器上獲取用戶信息。

入侵者通過監聽客戶端和DNS服務器的對話，通過猜測服務器響應給客戶端的DNS查詢ID。每個DNS報文包括一個相關聯的16位ID號，DNS服務器根據這個ID號獲取請求源位置。黑客在DNS服務器之前將虛假的響應交給用戶，從而欺騙客戶端去訪問惡意的網站。攻擊者能夠將DNS名稱查詢重定向到惡意DNS服務器。這樣攻擊者可以獲得DNS服務器的寫權限。

黑客主要利用一些DNS軟件的漏洞，如在BIND9版本（版本9.2.0以前的9系列）如果有人向運行BIND的設備發送特定的DNS數據包請求，BIND就會自動關閉。攻擊者只能使BIND關閉，而無法在服務器上執行任意命令。如果得不到DNS服務，那么就會產生一場災難：由于網址不能解析為IP地址，用戶將無方訪問互聯網。這樣，DNS產生的問題就好像是互聯網本身所產生的問題，這將導致大量的混亂。

DDOS攻擊通過使用攻擊者控制的幾十臺或幾百臺計算機攻擊一臺主機，使得服務拒絕攻擊更難以防范：使服務拒絕攻擊更難以通過阻塞單一攻擊源主機的數據流，來防范服務拒絕攻擊。SynFlood是針對DNS服務器最常見的分布式拒絕服務攻擊。SYNFlood攻擊利用的是IPv4中TCP協議的三次握手（Three-WayHandshake）過程進行的攻擊。大家知道協議規定，如果一端想向另一端發起TCP連接，它需要首先發送TCPSYN包到對方，對方收到后發送一個TCPSYN+ACK包回來，發起方再發送TCPACK包回去，這樣三次握手就結束了。我們把TCP連接的發起方叫作"TCP客戶機（TCPClient）"，TCP連接的接收方叫作"TCP服務器（TCPServer）"。

值得注意的是在TCP服務器收到TCPSYNrequest包時，在發送TCPSYN+ACK包回TCP客戶機前，TCP服務器要先分配好一個數據區專門服務于這個即將形成的TCP連接。一般把收到SYN包而還未收到ACK包時的連接狀態成為半開連接（Half-openConnection）。在最常見的SYNFlood攻擊中，攻擊者在短時間內發送大量的TCPSYN包給受害者，這時攻擊者是TCP客戶機，受害者是TCP服務器。根據上面的描述，受害者會為每個TCPSYN包分配一個特定的數據區，只要這些SYN包具有不同的源地址（這一點對于攻擊者來說是很容易偽造的）。這將給TCP服務器系統造成很大的系統負擔，最終導致系統不能正常工作。

黑客利用DNS服務器軟件存在漏洞，比如對特定的輸入沒有進行嚴格檢查，那幺有可能被攻擊者利用，攻擊者構造特殊的畸形數據包來對DNS服務器進行緩沖區溢出攻擊。如果這一攻擊成功，就會造成DNS服務停止，或者攻擊者能夠在DNS服務器上執行其設定的任意代碼。例如,前一陣子針對Linux平臺的BIND的攻擊(e.g.Lionworm)程序,就是利用某些版本的BIND漏洞,取得root權限,一旦入侵完成之后,入侵者就可以完全控制整個相關的網絡系統,影響非常嚴重。