Fast Flux技術——本質就是跳板，控制多個機器，同一域名指向極多的IP（TTL修改為0），以逃避追蹤
轉自：http://ytuwlg.iteye.com/blog/355718
通過病毒郵件和欺詐網站學到的對付網絡封鎖的好東西：Fast Flux技術
收到一封郵件，引起我的好奇了：
郵件標題是：Has it really happened?
郵件正文很短": Damned terrorists!!! http://iopbg.goodnewsdigital.com/contact.php
點開一看：內容是：
Powerful explosion burst in Changsha this morning.
At least 12 people have been killed and more than 40 wounded in a bomb blast near market in Changsha. Authorities suggested that explosion was caused by "dirty" bomb. Police said the bomb was detonated from close by using electric cables. "It was awful" said the eyewitness about blast that he heard from his shop. "It made the floor shake. So many people were running"
Until now there has been no claim of responsibility.
You need the latest Flash player to view video content. Click here to download.
Related Links:
http://en.wikipedia.org/wiki/Dirty_bomb
http://www.google.com/search?q=Changsha+terror+attack
大意就是說長沙受到恐怖襲擊了，還曬煞有介事的提供一個“臟彈”的維基百科鏈接，但問題是，中間那個圖片和“Click here”是指向的一個EXE文件的鏈接，有高手能夠反編譯一下那個EXE文件麽？我想知道這個有組織有預謀的陷阱是誰設置的，想知道是哪個有錢人搞的。
剛才把這個病毒上傳到virustotal了，結果是 https://www.virustotal.com/analisis/986833dbe078295b04885e9eb5cd5a88
我為什麽說這個欺詐郵件是“有組織有預謀的陷阱”呢？讓我們來調查一下：
C:\>nslookup iopbg.goodnewsdigital.com
服務器: registerlafonera.fon.com
Address: 192.168.10.1:53
非權威應答:
名稱: iopbg.goodnewsdigital.com
Address: 96.32.70.105
C:\>nslookup iopbg.goodnewsdigital.com
服務器: registerlafonera.fon.com
Address: 192.168.10.1:53
非權威應答:
名稱: iopbg.goodnewsdigital.com
Address: 76.100.243.204
C:\>nslookup iopbg.goodnewsdigital.com
服務器: registerlafonera.fon.com
Address: 192.168.10.1:53
非權威應答:
名稱: iopbg.goodnewsdigital.com
Address: 67.183.201.90
C:\>nslookup iopbg.goodnewsdigital.com
服務器: registerlafonera.fon.com
Address: 192.168.10.1:53
非權威應答:
名稱: iopbg.goodnewsdigital.com
Address: 89.215.17.167
C:\>nslookup iopbg.goodnewsdigital.com
服務器: registerlafonera.fon.com
Address: 192.168.10.1:53
非權威應答:
名稱: iopbg.goodnewsdigital.com
Address: 68.51.31.108
C:\>
這段DNS查詢顯示iopbg.goodnewsdigital.com有無數的IP，每個獨立的IP都是可以直接訪問的IP，IP地址果然是不斷變化的，能識我的IP
所在的城市顯示不同的內容，已經查到有9個IP了，每個IP都能直接訪問，顯示同樣的內容。
http://89.215.17.167/main.php
http://68.51.31.108/main.php
http://67.183.201.90/main.php
http://76.100.243.204/main.php
http://96.32.70.105/main.php
http://67.163.159.63/main.php
http://69.247.85.44/main.php
http://72.241.82.41/main.php
http://71.57.67.175/main.php
http://24.14.118.126/main.php
我用Nslookup查，發現iopbg.goodnewsdigital.com的A記錄的time to live（TTL）是0秒，也就是說，
這個域名的A記錄是不緩存的，
然後查詢了很多次，去掉重復的，這個iopbg.goodnewsdigital.com至少有25個IP，我還不知道這這些IP是肉雞還
是某幕後組織親自花錢買的IP：
208.120.85.40
24.4.148.160
64.194.71.148
66.168.217.225
67.163.213.245
68.36.175.10
68.46.249.189
68.57.189.195
69.146.242.207
69.242.22.235
69.247.85.44
69.248.156.235
71.226.237.56
72.138.2.127
72.24.114.230
72.241.82.41
76.100.243.204
76.92.65.155
85.28.124.2
89.139.202.194
89.29.140.76
89.78.198.19
96.10.57.207
98.195.51.11
99.140.165.64
網上查詢了一下，原來這就是 Fast Flux技術，這裏有更詳細的介紹，http://www.honeynet.org/papers/ff/
可惜全是英文，我看這這裏的介紹就明白是怎麽回事了：
Fast flux hosting 是指網絡罪犯用於逃避偵測的技術， 網絡罪犯可借此迅速修改 IP 地址和/或域名服務器。
來源：http://www.icann.org/zh/topics/policy/update-dec08-zh.htm#10
圖片來自：http://www.honeynet.org/node/134
原來只要把域名的A記錄的 TTL 改短一點甚至改為0秒，然後用上無數肉機作為反向代理，這就是Fast flux了啊。
網上還有文章說：
Fast-flux 基本上是 load-balancing 的新花樣。它是一種依序循環式（round-robin）的方法，在此受到感染的 bot 機器（通常是家庭電腦）成了proxies 或惡意網站的主機。這些電腦會不斷地輪流改變它們的 DNS 紀錄以避免被研究者、ISPs 或執法單位查獲。
此技術的目的是讓基於 IP 封鎖清單的方法在預防攻擊上變得英雄無用武之地，
from: http://www.wretch.cc/blog/fsj/8106356
Fast Flux技術——本質就是跳板，控制多個機器，同一域名指向極多的IP（TTL修改為0），以逃避追蹤