2009年5月19日DNSPod受到攻击始末

简述
　　2009年 5月20日晚间消息，针对部分省市陆续出现互联网网络故障，工信部发布《情况通报》确认，此次故障原因是由于暴风网站的域名解析系统受到网络攻击出现故障，导致电信运营企业的递归域名解析服务器收到大量异常请求而引发拥塞，造成用户不能正常上网。
工信部确认原因是暴风影音网站受攻击
　　《情况通报》称，5月19日22时，工业和信息化部接到电信运营企业报告，自21时起，江苏、河北、山西、广西、浙江等省陆续出现互联网网络故障，部分互联网用户的服务受到影响。工业和信息化部对此高度重视，要求电信运营企业查明故障原因，及时采取有效措施，尽快恢复正常服务。
　　20日，工业和信息化部组织相关单位和专家召开了研判会，分析故障原因。会议认为，由于baofeng.com网站的域名解析系统受到网络攻击出现故障，导致电信运营企业的递归域名解析服务器收到大量异常请求而引发拥塞，造成用户不能正常上网。
　　中国电信也已表示，由于暴风影音网站自身域名解析故障，导致中国电信DNS服务器访问量突增，网络处理性能下降。
　　暴风影音网站则表示，经过调查事故原因是DNS域名解析故障，网络故障造成多家网站受到影响，暴风也是受害者之一。
确认已经基本恢复畅通
　　工信部《情况通报》称，截至20日凌晨1时20分，受影响地区的互联网服务基本恢复正常。
　　中国电信同时表示，其收到用户申告之后，立即屏蔽受影响省份存在解析故障的网络地址。
　　中国联通于20日晚间向新浪科技发来的情况说明中也表示，19日晚间出现的网页无法打开的情况，经多方努力，网络现已恢复畅通。
　　工业和信息化部要求各电信运营企业要做好用户解释工作。举一反三，消除隐患，防止类似情况发生。进一步加强网络安全的监测预警和信息通报工作，完善应急预案，确保网络安全运行。(康钊)
以下为工信部通报全文
　　关于5月19日部分地区互联网网络故障情况通报
　　5月19日22时，工业和信息化部接到电信运营企业报告，自21时起，江苏、河北、山西、广西、浙江等省陆续出现互联网网络故障，部分互联网用户的服务受到影响。工业和信息化部对此高度重视，要求电信运营企业查明故障原因，及时采取有效措施，尽快恢复正常服务。截至20日凌晨1时20分，受影响地区的互联网服务基本恢复正常。20日，工业和信息化部组织相关单位和专家召开了研判会，分析故障原因。会议认为，由于baofeng.com网站的域名解析系统受到网络攻击出现故障，导致电信运营企业的递归域名解析服务器收到大量异常请求而引发拥塞，造成用户不能正常上网。工业和信息化部要求各电信运营企业要做好用户解释工作。举一反三，消除隐患，防止类似情况发生。进一步加强网络安全的监测预警和信息通报工作，完善应急预案，确保网络安全运行。
　　特此通报
　　有消息称,有可能是DNSPod竞争对手采取的攻击行为
DNSPod 致全国用户的道歉信
　　尊敬的DNSPod会员：
　　感谢您一如既往的支持DNSPod。2009年5月18日晚上22点左右，DNSPod主站及多个DNS服务器遭受超过10G流量的恶意攻击，因为已经影响到机房其它客户，稍后便被省电信骨干网封掉了NS的IP，虽然我们及时的更换了IP，但是由于DNS协议限制，DNS更改IP需要最多72才能生效，造成很多用户的域名一直无法解析，记录一直停留在电信骨干封掉的老IP上。为此给各位新老用户造成了很大的损失，在此，我们团队向您表示我们深深的歉意！
　　我们一直坚持免费，在智能DNS解析方面，我们一直是公平对待。我们绝不会使用一些卑鄙手段来增加VIP的销量。（VIP目前是内测期，为了保证稳定性，有很高的准入和审核制度，不是花钱就能买）
　　从这次事件再次给我们敲响了警钟，这是DNSPod建站以来遭受的最大规模攻击，我们计划通过以下两点来提高免费用户的DNS的稳定性。
　　一，我们将重新部署多台DNS服务器做负载均衡。如NS6不再是一台服务器，而是多台服务器；尽量放在防火墙下。（虽然防火墙的效果微乎其微）
　　二，从现在开始，我们将大规模封杀包括私服发布站、私服等有争议，易引来攻击的域名。
　　如果您的网站非常重要，或者您对我们的以上改进还不放心的话。您除了尽量填写6个DNS服务器外，还能做以下操作来确保您解析的稳定。(如果您对我们很有信心，我们同样有信心不会让您失望。)
　　如：您的网站为：www.dnspod.com 您可以把这个域名的NS服务器放到您认为最稳定最快最好的域名服务商那里，然后把不重要的域名比如:www.mydnspod.com的NS服务器改为DNSPod的NS服务器，然后把比如:bbs.dnspod.com CNAME到 bbs.mydnspod.com然后在DNSPod上的mydnspod.com这个域名上进行解析。
　　这样如果一旦DNSPod再次让您失望了。那么您还可以马上把您的主域名的CNAME删除，直接解析到您需要解析的IP，这样的生效时间是很快的。
　　这样的缺点是因为需要经过二轮解析，会降低DNS解析成功率。DNSPod客户端　　DNSPod新推出客户端，用户通过客户端可以实现批量域名、记录添加修改和管理，并且可以实现动态域名（DDNS）的功能。请参考 DNSPod客户端 [1]
DNSPod攻击始末
　　此案的核心人物小兵，年仅23岁，浙江人，其父亲在广东佛山开一间棉花厂。小兵毕业后，就到父亲的企业帮忙。
　　后来，经小学同学小卿介绍，小兵决定投资传世私服（私人服务器），专
门经营网络游戏和广告。在这个小公司里，小兵是大股东，负责投资。而小卿负责技术。一开始，他们小打小闹，但常常被其他经营私服的对手攻击，很少有盈利。
　　一次，小卿在网上聊天时，认识网友“小虫”。小卿谈起经营私服的种种困难，“小虫”告诉小卿 ，攻击人家的网站，需要一定的流量，否则很难奏效。
　　那要如何才能达到一定的流量呢？“小虫”说，要达到一定流量，就要增加攻击的私服数量。
　　为此，小兵 、小卿又投资了28万，请“小虫”联系，并租用了81台私服。专门用来攻击其他私服。
　　由于小卿对网络技术不专业，尽管租用了81台服务器，但在直接攻击其他网游私服的过程中，发现对部分私服的攻击效果不是很好。为此，在网上发帖寻求“行内人”帮助。
　　帖子发出后不久，一个网名叫“传奇一侠”的人回帖，并主动和小卿联系，表示愿意提供技术帮助。
　　这个“传奇一侠”在浙江东阳经营一家网络公司，也以经营私服为主。那“传奇一侠”为何会主动与小卿取得联系，并免费提供技术帮助呢？
　　后来，“传奇一侠”在被抓后表示，他主动联系是为了显示自己公司的实力，对其他“同行”起到威慑的作用，用这种方法保全自己的公司。
　　可实际上，“传奇一侠”也不懂网络，他手下员工小刚倒是这方面的专业人才。小刚接到这个任务后，连夜赶制一套网上攻击的方法，并编制成网络程序，通过电子邮件传给小卿
　　5月18日晚7点左右，小卿用公司的电脑开始发起攻击。他们谁都没料到，这个小刚设计的攻击程序采用的是“擒贼先擒王”的策略，也就是直接攻击私服网站的“头领”——DNSpod服务器。
　　DNSpod是一个免费域名，它的东家是南通万达网络服务公司，负责人是一个叫吴洪声的年轻人，今年才24岁。
　　吴洪声的个人网站主要为国内众多网站提供域名解析服务。虽然是非公司运营，但他旗下已经拥有16台服务器，分置在全国各地。他服务的网站包括 Verycd、雨林木风、4399、小游戏、暴风影音、 CNZZ等知名网站。
　　DNSpod服务器下面管理着很多私服，是众多私人服务器的首脑。一旦DNSpod受攻击瘫痪，其他私服都会受损。
　　吴的这台DNSPod服务器委托常州电信托管，安放在常州电信勤业机房内。
　　小卿在打开该攻击程序后不久，就昏昏入睡了，他完全没有意识到危险的来临。
　　18日晚，常州勤业机房管理员发现，DNSPod服务器端口流量异常，立即向上级汇报，常州电信接报后又向江苏电信汇报请示。
　　为防止意外发生，江苏电信果断决定，立即关闭DNSPod服务器。
　　不幸的是，这台被电信关闭的DNS服务器当时恰好在为大约10万家网站提供域名解析服务，其中就包括暴风影音。此外还包括大量地方门户网站、个人网站和企业网站。这导致大量用户在随后24小时后无法访问这些网站。
　　也许有人会问，DNSPod关闭后，为何18日晚那天没有出现网络瘫痪，而一直到19日晚才全面爆发？
　　原来，万达公司与常州电信签订托管协议时，对DNSPod约定有缓冲时间，请求解析一次失败后，DNSPod有24小时的缓存期。
　　但也正是由于缓存期的存在，一直正常的表象并没有让管理方找到 DNSPod端口流量异常的真实原因，以致没有采取正确的挽救措施，从而引起大面积瘫痪事故。
　　19日晚事发后，吴一直忙于解决18日晚的攻击问题，直到20日下午有朋友告诉他，19日晚大面积故障可能与DNSPod有关，他才恍然大悟。此时工信部已召开紧急会议，暴风高层也联系到吴，商量后续备份域名服务器问题。
　　21日，工信部联合暴风及DNSPod准备向公安部门报案。