近日，美國ISC(Internet Systems Consortium) 緊急發布補丁，目的用于修補隱藏在DNS域名解析服務軟件ISC BIND中的嚴重安全漏洞。該安全漏洞編號為CVE-2015-5477，能夠允許遠程、未經認證的攻擊者使用BIND發送特殊的命令，導致DNS服務器崩潰。目前，所有BIND 9版本, 互聯網上對應版本的遞歸服務器和權威服務器均受到該漏洞影響。CNVD對該漏洞的綜合評級為“高危”。

BIND是目前部署在域名服務器中應用最廣泛的開源軟件之一。據悉，通過該漏洞，一名攻擊者可以在一次行動中造成一片網絡區域不正常，讓運行BIND 的DNS服務器崩潰，讓大量用戶無法連接互聯網。當多名攻擊者同時行動時，就會導致足夠多的DNS服務器出現崩潰，可能會造成今年最大規模的網絡罷工。

此漏洞之所以能造成廣泛影響，是因為BIND句柄的TKEY查詢中出現了Bug，一個簡單的UDP包就可以導致BIND服務器出現“assertion failure”錯誤，進而服務器上的DNS服務守護進程會結束。根據實際使用情況評估，盡管TKEY 查詢功能使用較少，但由于基于漏洞構造的惡意攻擊包有可能存在極強的前置條件，即使在服務器上配置訪問控制列表或限制(拒絕)相關配置選項，也不能有效防范漏洞攻擊。

DNS攻擊日志

DNS是大多數互聯網基礎設施的關鍵點，破壞了DNS，意味著電子郵件服務、HTTP服務、以及其他許多服務都不可用。據知道創宇ZoomEye團隊對全國DNS服務器進行摸底探測的調查數據顯示，國內使用ISC BIND服務的有29913臺，地域分布前五名分別是：北京 6446 臺 (占我國使用ISC BIND 的服務器總數的21.55%) , 廣東3684 臺(占比12.3%)，上海2712 臺(占比9.07%)，江蘇 1955 臺(占比6.54%)，浙江1913臺(占比6.40%)。

目前我國使用ISC BIND的網絡服務提供商中，前三名分別是中國電信(占比42%)、中國聯通(占比25%)和中國移動(占比8%)，以上三家網絡服務提供商的在我國擁有大量用戶，一旦黑客發起大規模攻擊，三大運營商服務器首當其沖將會引發連鎖反應，對我國基礎網絡穩定產生較大的威脅，一旦遭受網絡攻擊將引發DNS服務異常，從而會導致大范圍網絡中斷。

目前， 廠商已經發布了漏洞修補程序。知道創宇提醒用戶盡早升級到BIND最新版本，并及時下載補丁更新，避免引發漏洞相關的網絡安全事件。另外，通過接入知道創宇旗下重磅安全產品創宇盾，也可以保護用戶不受此漏洞影響。

歷史上重大DNS安全事件回顧

一、1·21中國互聯網DNS大劫難

2014年1月21日下午3點10分左右，國內通用頂級域的根服務器忽然出現異常，導致眾多知名網站出現DNS解析故障，用戶無法正常訪問。雖然國內訪問根服務器很快恢復，但由于DNS緩存問題，部分地區用戶“斷網”現象仍持續了數個小時，至少有2/3的國內網站受到影響。事故發生期間，超過85%的用戶遭遇了DNS故障，引發網速變慢和打不開網站的情況。

二、百度：baidu.com域名被劫持

2010年1月12日上午，百度被自稱是伊朗網軍(Iranian Cyber Army)的黑客組織入侵，域名baidu.com的WHOIS傳輸協議被無故更改，權威DNS服務器被更換至雅虎屬下的兩個域名服務器，www.baidu.com指向到海外的一個服務器。該故障導致網民無法正常登陸百度網站達8小時之久，是百度成立以來最嚴重的服務器故障事件，給造成百度直接損失超過700萬元人民幣。

三、新浪：DNS服務器出現域名無法解析故障

2012年1月30日，正值春節之后的工作日，新浪網卻慘遭訪問故障，部分地區出現無法訪問的情況，聯通用戶影響尤為嚴重。根據新浪官方聲明，正是因為DNS服務器出現域名無法解析故障所致。該次故障持續時間較短，但鑒于新浪在國內的影響力，所以本次事件不得不提。

四、某知名CDN服務商：DNS故障致多家知名網站斷線時間超一小時

2013年1月27日，某知名CDN服務商DNS故障導致不少大客戶斷線時間超過一小時，包括163、騰訊、鳳凰網、百度、多玩、m1905、樂視網以及12306在內的知名網站在部分地區的訪問受到影響。官方稱是技術升級中一模塊故障導致，但有消息指出，真正的原因是系統故障，因公司年會無人監控導致應急處理速度降低。

五、CN域名：“遭攻擊”致大面積癱瘓

2013年8月25日，.cn域名解析節點受到拒絕服務攻擊，受到影響的包括新浪微博客戶端及一些.cn網站。根據DNSPod的監控顯示，CN的根域授權DNS全線故障，所有CN域名均無法解析。