很多网络管理员在进行内网络管理和防范病毒时都遇到了恶意网站攻击的问题，很多员工计算机由于不小心安装了流氓软件而经常自动访问恶意站点，从而造成病毒的大范围传播。以往我们都是通过编辑员工计算机的HOSTS文件将非法站点指向127.0.0.1地址而过滤的，不过这个方法操作起来相对麻烦，增加了网络管理人员的工作量，那么是否存在着一种办法可以批量针对内网域名访问进行过滤呢?答案是肯定的，今天就请各位跟随笔者一起用路由器统筹管理HOSTS文件来防范恶意站点的非法访问。
一，用路由器统筹HOSTS防范恶意站点攻击的原理：
在开头我们介绍了传统的通过编辑HOSTS文件来防范员工计算机对恶意站点域名的访问，我们在系统目录中的c:\windows\system32\drivers\etc目录下将能够看到该文件的存在，HOSTS文件在功能运行时的优先级是高于DNS解析的，说白了这里存在的域名对应关系将直接被使用，所以将恶意站点对应的IP地址在HOSTS文件中进行指定后，再访问这些恶意站点时将自动转发到指定的IP地址而避免感染病毒和木马的危险。(如图1)
添加到HOSTS文件中的对应关系类似“127.0.0.1 www.sex.com”这样的格式，这样该计算机在本机访问www.sex.com时将自动指向127.0.0.1，从而避免被www.sex.com站点上的流氓插件和病毒程序所感染。(如图2)
不过这样的单纯修改HOSTS文件的方法效率太低，对于企业内部有几十台甚至上百台计算机的情况，我们需要反复编辑HOSTS来达到过滤的目的。整体实施效率比较低，而且一旦有了新的恶意站点出现我们要添加新条目时又要重新执行上述全部操作。
实际上我们完全可以曲线救国从路由器下手统筹管理HOSTS文件的解析功能，这样一方面避免了反复编辑HOSTS到各个主机的繁重工作，另一方面也为日后更新HOSTS文件的对应条目提供了更加便利的方法。#p#
二、用路由器统筹HOSTS防范恶意站点攻击：
一般来说中小企业的接入路由器中都会有专门针对DHCP和DNS的设置功能，我们可以通过这些功能来完善DNS解析过滤，通过DNS解析过滤功能实现统筹管理HOSTS来防范恶意站点的攻击。
笔者以图形化管理界面的路由器为例进行介绍，使用的固件程序是TOMATO，当然如果实际环境中是其他诸如DD-WRT的固件的话通本文介绍的方法来实施也是没有任何问题的。具体操作步骤如下。
小提示：
如果要在命令行模式的路由器下统筹HOSTS防范恶意站点攻击的话我们必须参考说明文档中的相关命令来实施。
第一步：进入到路由器管理界面，然后选择Advanced->DHCP/DNS。(如图3)
第二步：在这里我们会看到名为dnsmasq custom configuration的区域，在这里输入要进行过滤的域名和IP地址。具体格式为address=/domain.name/127.0.0.1。(如图4)
小提示：
对于ddwrt固件来说相关功能选项在Administration->Services->DNSMasq下，我们可以在该参数下进行设置，具体实施结果和步骤与TOMATO中类似。
第三步：设置了过滤信息后我们在本地计算机中输入相关网页首先会出现GOOGLE查找页面，实际上这已经证实我们的设置是生效的，www.xxxx.com域名已经顺利的被我们过滤了。(如图5)
第四步：再次输入www.xxxx.com或者通过刚才的GOOGLE页面访问时将出现“internet explorer无法显示该页面”的提示，实际上在本机访问时我们会发现www.xxxx.com被我们指向了127.0.0.1这个本地地址，自然无法打开任何页面信息。(如图6)
第五步：当然如果要针对多个域名和站点进行过滤的话，我们只需要按照上文介绍的方法依次添加多个条目即可，每个过滤条目单独一行显示，我们可以通过复制粘贴等操作快速添加过滤条目。最终实现的效果和对单一站点进行过滤是一样的。(如图7)
DNSMasq是tomato/ddwrt都带的dns 服务器 ，通过他我们可以顺利实现转发/dns cache等信息，本文正是利用此功能来实现统筹HOSTS防范恶意站点攻击的。最后还需要额外说明几点的是——
(1)在路由器中配置一次，内网所有机器各种系统都将生效。
(2)通过此方法可以实现泛域名解析，这是hosts不可能实现的。例如输入*.domain.name->127.0.0.1则将会把所有domain.name下的域名都指向127.0.0.1，从而实现过滤功能。
小提示：
例如过滤时输入*.xxxx.com->127.0.0.1，那么不管我们访问wireless.xxxx.com还是safe.xxxx.com都将被过滤掉而无法顺利显示相应页面。而编辑HOSTS时我们则需要针对wireless.xxxx.com和safe.xxxx.com两个地址添加两个不同的条目才能实现过滤规则。
三.总结：
我们可以通过此方法来防范恶意站点的攻击，避免员工计算机访问相关的危险网站，同时我们还可以用这个方法屏蔽软件升级和在线验证等操作。另外相比HOSTS文件的单域名过滤而言，此方法的泛域名更得到网络管理员的青睐，毕竟通过泛域名过滤功能可以同一时间针对多站点多域名信息的统一过滤。如果还按照HOSTS编辑法来过滤的话恐怕需要填写几十行的过滤条目。
【编辑推荐】
怎么在路由器上设置不安全因素拦截
路由器是死的！人是活的！双管齐下才是最好的防御手段！上网的时候上正规的大网站，不点击不知名的链接，路由器上开启防火墙，安装360安全卫士，开启所有的保护，这样就足够的安全了！
路由器上的防网络攻击是怎么回事
早期的网吧可能为了预防竞争对手的恶意DDOS可能会用的多一些.傀儡网络僵尸类似的数据包网络攻击会导致路由瘫痪.一些网站服务器也会开启, 预防网络负荷超载.
服务器被ddos攻击？要怎么办
DoS（Denial of Service）是一种利用合理的服务请求占用过多的服务资源，从而使合法用户无法得到服务响应的网络攻击行为。 被DoS攻击时的现象大致有：* 被攻击主机上有大量等待的TCP连接；* 被攻击主机的系统资源被大量占用，造成系统停顿；* 网络中充斥着大量的无用的数据包，源地址为假地址；* 高流量无用数据使得网络拥塞，受害主机无法正常与外界通讯；* 利用受害主机提供的服务或传输协议上的缺陷，反复高速地发出特定的服务请求，使受害主机无法及时处理所有正常请求；* 严重时会造成系统死机。 到目前为止，防范DoS特别是DDoS攻击仍比较困难，但仍然可以采取一些措施以降低其产生的危害。 对于中小型网站来说，可以从以下几个方面进行防范：主机设置：即加固操作系统，对各种操作系统参数进行设置以加强系统的稳固性。 重新编译或设置Linux以及各种BSD系统、Solaris和Windows等操作系统内核中的某些参数，可在一定程度上提高系统的抗攻击能力。 例如，对于DoS攻击的典型种类—SYN Flood，它利用TCP/IP协议漏洞发送大量伪造的TCP连接请求，以造成网络无法连接用户服务或使操作系统瘫痪。 该攻击过程涉及到系统的一些参数：可等待的数据包的链接数和超时等待数据包的时间长度。 因此，可进行如下设置：* 关闭不必要的服务；* 将数据包的连接数从缺省值128或512修改为2048或更大，以加长每次处理数据包队列的长度，以缓解和消化更多数据包的连接；* 将连接超时时间设置得较短，以保证正常数据包的连接，屏蔽非法攻击包；* 及时更新系统、安装补丁。 防火墙设置：仍以SYN Flood为例，可在防火墙上进行如下设置：* 禁止对主机非开放服务的访问；* 限制同时打开的数据包最大连接数；* 限制特定IP地址的访问；* 启用防火墙的防DDoS的属性；* 严格限制对外开放的服务器的向外访问，以防止自己的服务器被当做工具攻击他人。 此外，还可以采取如下方法：* Random Drop算法。 当流量达到一定的阀值时，按照算法规则丢弃后续报文，以保持主机的处理能力。 其不足是会误丢正常的数据包，特别是在大流量数据包的攻击下，正常数据包犹如九牛一毛，容易随非法数据包被拒之网外；* SYN Cookie算法，采用6次握手技术以降低受攻击率。 其不足是依据列表查询，当数据流量增大时，列表急剧膨胀，计算量随之提升，容易造成响应延迟乃至系统瘫痪。 由于DoS攻击种类较多，而防火墙只能抵挡有限的几种。 路由器设置：以Cisco路由器为例，可采取如下方法：* Cisco Express Forwarding（CEF）；* 使用Unicast reverse-path；* 访问控制列表（ACL）过滤；* 设置数据包流量速率；* 升级版本过低的IOS；* 为路由器建立Log server。 其中，使用CEF和Unicast设置时要特别注意，使用不当会造成路由器工作效率严重下降。 升级IOS也应谨慎。 路由器是网络的核心设备，需要慎重设置，最好修改后，先不保存，以观成效。 Cisco路由器有两种配置，startup config和running config，修改的时候改变的是running config，可以让这个配置先运行一段时间，认为可行后再保存配置到startup config；如果不满意想恢复到原来的配置，用copy start run即可。 不论防火墙还是路由器都是到外界的接口设备，在进行防DDoS设置的同时，要权衡可能相应牺牲的正常业务的代价，谨慎行事。 利用负载均衡技术：就是把应用业务分布到几台不同的服务器上，甚至不同的地点。 采用循环DNS服务或者硬件路由器技术，将进入系统的请求分流到多台服务器上。 这种方法要求投资比较大，相应的维护费用也高，中型网站如果有条件可以考虑。 以上方法对流量小、针对性强、结构简单的DoS攻击进行防范还是很有效的。 而对于DDoS攻击，则需要能够应对大流量的防范措施和技术，需要能够综合多种算法、集多种网络设备功能的集成技术。 近年来，国内外也出现了一些运用此类集成技术的产品，如Captus IPS 4000、Mazu Enforcer、Top Layer Attack Mitigator以及国内的绿盟黑洞、东方龙马终结者等，能够有效地抵挡SYN Flood、UDP Flood、ICMP Flood和Stream Flood等大流量DDoS的攻击，个别还具有路由和交换的网络功能。 对于有能力的网站来说，直接采用这些产品是防范DDoS攻击较为便利的方法。 但不论国外还是国内的产品，其技术应用的可靠性、可用性等仍有待于进一步提高，如提高设备自身的高可用性、处理速率和效率以及功能的集成性等。 最后，介绍两个当网站遭受DoS攻击导致系统无响应后快速恢复服务的应急办法：* 如有富余的IP资源，可以更换一个新的IP地址，将网站域名指向该新IP；* 停用80端口，使用如81或其它端口提供HTTP服务，将网站域名指向IP：81。
发表评论