近年来，开放DNS解析器已成为大量DDoS攻击的主要组成部分。攻击者通过向这些开放解析器发送带有伪造源地址的查询，解析器会将答案发送到该伪造地址。攻击者伪造目标地址，向开放解析器发送大量查询，从而向目标发送大量DNS答案，造成洪水般的攻击。由于这些开放解析器充当反射点（原始源地址在目标端不可见）和放大器（小查询进入，大答案输出），它们是攻击者渴望的资源。关于这些概念和防御机制的更多细节，请参阅Akamai博客上的这篇文章。
扫描开放解析器
对于攻击者来说，在IPv4中寻找这些开放解析器非常简单：只需向每个可能的IPv4地址发送查询，看是否收到响应！使用商品硬件和半不错的家庭连接就可以轻松实现。然而，尝试所有可能的IPv6地址将消耗你的一生，甚至更多。尽管如此，我在特温特大学，我和我的同事进行了一些实验，看看是否有其他可行的方法。我们发现确实有；我们的研究采用主动测量方法，成功地列出了野外可能被用于DDoS攻击的相关IPv6开放解析器列表。我不会在这里发布研究方法，但我们已经在技术会议上讨论过这个问题，以在技术社区中提高意识（更多关于这些道德决策的内容见下文）。我们工作的主要信息是，这项研究是对那些将解析器留在IPv6开放状态的网络运营商的警钟。IPv6空间的巨大规模并不能作为防御DDoS攻击者（滥用）开放DNS解析器的充分理由。
研究结果
我们的研究确定了1,038个独特的IPv6开放解析器。IPv4开放解析器的数量约为1000万，所以1,038并不那么令人印象深刻，也不是那么令人担忧，对吗？没有人会为1,038个具有2Mbps上行链路的家庭路由器而失眠。每个人都应该为1,038个具有1或10 GbE上行链路的高可用性基础设施解析器而失眠——后者中的一小部分将是强大的攻击资源。在发现的IPv6解析器中，745个（72%）确实是基础设施。对接口标识符（IID），这些地址的最后64位进行分析，强调了这些机器被明确配置为解析的可能性：在1,038个地址中，有622个地址的最后两个字节是全零，如下所示：`2001:db8:2:3::53`（简写为`2001:db8:2:3:0
原文: APNIC Blog（2017-06-15）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog