浅谈僵尸网络利器:Fast-flux技术
浅谈僵尸网络利器:Fast-flux技术 一、背景 在早期的僵尸网络中,控制者通常会把C&C服务器的域名或者IP地址硬编码到恶意程序中,僵尸主机通过这些信息定时访问C&C主机获取命令。但同时安全人员也能够通过逆向恶意程序,得到C&C服务器的域名或者IP,利用这些信息定位C&C主机,安全人员就可以隔断C&C主机从而破坏僵尸网络。不少控制者为了保护C&C主机,使用Fast-flux技术来提高C&C服务器的健壮性。 二、基本概念 在正常的DNS服务器中,用户对同一个域名做DNS查询,在较长的一段时间内,无论查询多少次返回的结果基本上是不会改变的。Fast-flux技术是指不断改变域名和IP地址映射关系的一种技术,也就是说在短时间内查询使用Fast-flux技术部署的域名,会得到不同的结果。图2-1为Fast-flux技术工作方式。 图2-1 客户端访问Fast-flux网络流程 客户端两次访问 www.example.com 的过程如下: 1) 为了得到网站 www.example.com 的IP地址,客户端发起DNS查询。 2) 随后DNS服务器返回了一个IP地址1.2.3.4,同时TTL为一个很小的数值。 3) 客户端访问IP为1.2.3.4的服务器获取内容。 4) IP为1.2.3.4的服务器响应请求,返回相应内容。 5) 客户端再次访问 www.example.com