.

iT邦幫忙

1

所為何來??

  • 分享至 

  • xImage

鵝心血來潮看了一下當玩具的RPi3,發現一直有些PRC的IP在送一看就知道不可能成功的DNS query來,老實說也只能設成DROP了事,不過還是蠻好奇的,對岸一直送這類沒有意義的query到底有啥目的,有邦友有研究嗎??
https://ithelp.ithome.com.tw/upload/images/20250329/20004868WqOnApzmKd.jpg

看更多先前的討論...收起先前的討論...
望空 iT邦新手 1 級 ‧ 2025-03-29 11:13:52 檢舉
瞎貓找死耗子的作法
cmwang iT邦大師 1 級 ‧ 2025-03-29 17:06:06 檢舉
這會不會在找某些DNS實作可能有弱點或是後門啊??
尼克 iT邦大師 1 級 ‧ 2025-03-29 22:38:49 檢舉
鵝鵝鵝鵝鵝鵝鵝
望空 iT邦新手 1 級 ‧ 2025-03-30 10:27:58 檢舉
呱(?
.

1 個回答

1
rb1102
iT邦研究生 1 級 ‧ 2025-03-29 17:15:09
最佳解答

ChatGPT:
這些來自 PRC(中國大陸)IP 的異常 DNS Query,很可能有幾種可能的目的:

  1. 偵測開放的 DNS 伺服器(DNS Probing)
    這類隨機、無意義的 DNS 查詢(例如 q42gmj3n2u7t.jvqn3vq4zvfibmw.qux)可能是某種掃描工具在測試 你的 DNS 伺服器是否可開放遞迴查詢(Open Resolver)。

如果你的 DNS 允許任何來源的查詢,攻擊者可能會利用它來 做 DNS 放大攻擊(DNS Amplification Attack)。

  1. 嘗試繞過 DNS 過濾
    某些中國的網絡環境會強制 DNS 過濾,攻擊者可能想嘗試不同的隨機子網域,看是否能繞過某些封鎖機制。

  2. DNS 隧道(DNS Tunneling)測試
    有些惡意軟體會利用 DNS 進行資料傳輸,例如 DNS over HTTPS(DoH)或 DNS over TLS(DoT)。這可能是攻擊者在測試你的 DNS 伺服器是否可以用來做資料通道。

  3. 殭屍網路 C2 伺服器的偵測
    一些殭屍網路的惡意軟體會利用 隨機子網域的 DNS 查詢 來與 C2(Command & Control)伺服器通訊,這些亂碼式的 Query 可能是某些殭屍網路的特徵。

我要發表回答

立即登入回答