天塌了！DNS放大攻击如何让我的服务器一夜之间沦为供应链“肉鸡”？
哎,兄弟们，真的，写这篇文章的时候，我的手还在抖。
没错,就是那个让人恨得牙痒痒的 DNS放大供应链攻，你以为你只是个小站长，数据库里那点破数据没人看得上？你错了！大错特错！在我亲身经历了那个噩梦般的夜晚之前，我也这么天真，现在想起来，后背还是凉飕飕的，感觉自己就像个被黑客随意玩弄的提线木偶，而我的服务器，就是那根被拔掉电源的网线，惨不忍睹，真的惨！
事情的起因，听起来都像个冷笑话。
那天晚上大概凌晨两点,我刚泡好一桶老坛酸菜面，准备刷会儿剧享受一下难得的清净，结果，手机监控APP跟发了疯似的震动，CPU占用率瞬间飙到百分之百，网络上传速度的曲线图简直比过山车还刺激——直接竖着冲上云端！我一口面没咽下去，差点喷在屏幕上！
我当时第一反应是：“卧槽？是不是迅雷又在后台偷偷给我下载什么‘学习资料’了？”但转念一想不对啊，我根本没开那玩意儿！我赶紧连上服务器一看，好家伙，整个网络上行流量几乎将机房的总带宽全部抽干，我的服务器，我那可怜的、无辜的、只有8核16G的小破服务器，正在疯狂向外发送成千上万条超大的DNS应答数据包！
那时候我还不知道这玩意儿叫 DNS放大供应链攻，我只知道，完了，芭比Q了，我可能是被哪个无聊的脚本小子盯上，当成免费的打手了，但更恐怖的事情还在后面。
你以为只是被攻击？不，你是被“借刀杀人”了！
我冷静下来,抓了抓我那本就不富裕的头发，查了查日志，这不查不知道，一查吓得我面都凉了，原来，我的服务器并不是攻击的“受害者”，而是被黑客利用的“帮凶”！
黑客是怎么干的呢？他们找到了我服务器上配置的一个非常不严谨的、开放递归解析的DNS服务（对，就是那个我之前为了图方便，没加任何访问控制的BIND服务，现在真想抽自己两巴掌），他们利用这个漏洞，向我的DNS服务器发送了一堆伪装源IP地址的查询请求。
什么意思？意思就是，黑客把要攻击的“受害者”IP，填在了查询请求的源地址上，我的DNS服务器呢？傻乎乎的，特别“敬业”，收到请求后，把一大堆庞大的DNS记录（比如TXT记录，那玩意儿动辄几千字节）发给那个“受害者IP地址”。
流量放大几百倍！ 黑客只用了几KB的肉鸡流量，就通过我这个免费的“喇叭”，把几十GB的垃圾数据砸向了真正的目标，而我呢？我的服务器成了“供应链”里最悲催的一环——被人当枪使，还被磨得直冒火星子。
我当时心里那个气啊,真想顺着网线过去把那些黑客的键盘都给砸了！你说你搞攻击就搞攻击，干嘛要祸害我们这些无辜的底层运维？你们的良心不会痛吗？！更可气的是，因为我的服务器参与了这次攻击，导致那个被攻击的第三方游戏平台直接宕机，人家的运维大哥顺着IP溯源找上了我机房的管理员，我在睡梦中被客服电话吵醒，对着人家鞠躬道歉，说自己“管理不善”、“安全不到位”，那感觉，比吃了苍蝇还难受！
这“供应链攻”到底是个啥概念？我算是彻底悟了！
以前,我总觉得网络安全离我挺远，觉得黑客攻击就像电影里的情节，是针对什么大佬级别的公司，但这回我彻底明白了，所谓的“供应链攻击”，就是把我们这些小喽啰当成了爆破“大目标”的垫脚石，就好像你想炸掉金库，但你不会正面冲，你会先偷偷炸掉金库附近的下水道（没错，我就是那个下水道），利用下水道的结构把爆炸冲击波引向金库。我的服务器，就是那个倒霉催的“下水道”，因为配置缺陷，成了整个攻击链条里不可或缺的一环。
在这个过程中,我有多崩溃？这么说吧，那桶泡面到最后我是一口没吃，全凉了，我一边在机房的安全群里发求助信息，一边疯狂地在防火墙里添加规则，试图封禁那些来自各大DNS根服务器的异常IP，但最要命的是，即便我封了源IP，只要我的DNS服务还是开放递归的，攻击者还是能换着法儿地利用我。那感觉，就像是你被一群蚊子盯上了，你打死了眼前这只，嗡嗡嗡的声音却从四面八方传来，你根本无能为力，只能无能为力地抓狂！
最后的救赎，也是血的教训！
折腾了整整一晚上,直到天边泛起鱼肚白，我终于在技术大牛的远程指挥下，彻底关闭了无关的递归查询功能，并且给DNS服务加上了访问控制列表（ACL），只允许信任的IP来查询，我还对所有响应包的大小做了限制，防止更大规模的放大效应。
看着流量图慢慢回归平静,我瘫坐在椅子上，长长地舒了一口气，但那种劫后余生的惊悸感，还有那种被当成傻子利用的憋屈感，久久挥之不去。
所以啊,各位心大的站长朋友们，网络安全真的不是开玩笑的！别以为 DNS放大供应链攻 离你很远，其实它就像埋伏在暗处的毒蛇，随时可能咬你一口，你的一次“图省事”，可能就会让你成为攻击链条上的“无辜帮凶”，最终反过来把你的带宽、你的信誉、甚至你那点微薄的家底，全都搭进去！
请务必检查你的DNS服务器配置！关闭开放递归！限制查询来源！别让同样的悲剧再上演了！真的，我求求你们了，这种“供应链”上的背锅侠，谁爱当谁当去，我反正这辈子都不想再经历了！唉，说起来都是泪啊……
学习网络安全可以加QQ：88888888（备注“公众号”更快通过）
