域名系统投毒（DNS-Poisoning）

请向我看齐

已于 2024-11-22 15:13:37 修改

阅读量1.1k

点赞数 19

分类专栏：网络安全文章标签：网络安全

于 2024-11-22 13:56:07 首次发布

本文链接：https://blog.csdn.net/qq_40844444/article/details/143972415

版权

网络安全专栏收录该内容

32 篇文章

订阅专栏

以下是关于DNS poisoning（域名系统投毒，也常被称为DNS缓存投毒）的详细介绍：

概念

DNS poisoning是一种攻击手段，攻击者通过篡改域名系统（DNS）服务器的缓存信息，使得当用户请求某个域名的解析时，DNS服务器返回的是虚假的IP地址，从而将用户引导到恶意网站或者干扰正常的网络访问。

原理

• DNS的正常工作流程是客户端向DNS服务器发送域名解析请求，DNS服务器查找自身缓存（如果有对应记录且未过期）或者向其他权威DNS服务器查询，然后将对应的IP地址返回给客户端。

• 在DNS poisoning攻击中，攻击者向DNS服务器发送包含虚假域名-IP映射关系的欺骗性响应数据包。由于DNS服务器在某些情况下（比如未严格验证响应来源等漏洞存在时）可能接受并缓存这些虚假信息，后续当有合法客户端请求相应域名解析时，就会返回攻击者设定的错误IP地址。

步骤

1. 侦察阶段： 攻击者先确定要攻击的目标DNS服务器，收集目标网络中常用域名等相关信息，了解其DNS解析机制和可能存在的安全漏洞情况。

2. 伪造响应包准备阶段：

• 构造包含虚假域名-IP映射的DNS响应数据包，模仿正常DNS服务器的响应格式，将想要篡改的域名对应的虚假IP地址填入数据包相应字段。

• 设定合适的源IP等信息，让目标DNS服务器误以为该响应来自合法的上游DNS服务器。

3. 攻击实施阶段：

• 通过网络向目标DNS服务器发送大量伪造的DNS响应数据包，利用网络协议漏洞（如在DNS服务器还未收到真实响应前抢先注入伪造响应，或者利用缓存更新机制漏洞等），使目标DNS服务器接受并缓存这些虚假信息。

分类

• 基于漏洞类型分类：

• 缓存投毒漏洞利用： 利用DNS服务器缓存更新、验证机制不完善的漏洞，例如没有正确验证响应的来源和序列号等，使得伪造的响应能被缓存。

• 协议实现漏洞利用： 某些DNS服务器软件在对DNS协议实现过程中存在缺陷，攻击者可以利用这些缺陷构造特殊的数据包来进行投毒攻击，比如对DNS消息长度字段的错误处理等情况。

• 基于攻击范围分类：

• 本地DNS缓存投毒： 针对用户端本地的DNS缓存（比如浏览器自身的DNS缓存或者操作系统的DNS缓存）进行投毒，影响范围相对较小，主要影响使用该本地缓存的应用程序对域名的解析。

• 网络DNS服务器投毒： 攻击网络中的公共DNS服务器或者企业内部的DNS服务器等，影响范围广，一旦成功投毒，所有通过该DNS服务器进行域名解析的客户端都会受到影响。

用途（都是非法恶意用途）

• 钓鱼攻击： 将用户引导到与真实网站界面相似的恶意网站，骗取用户输入账号、密码等敏感信息。

• 流量劫持： 把用户原本要访问的正常网站流量引导到攻击者控制的网站，进行广告投放、窃取信息或者传播恶意软件等操作。

• 干扰正常服务： 使得用户无法正常访问某些网站，破坏网络服务的可用性，对企业或机构的业务运营造成影响。

C代码实现示例（仅为简单示意基于缓存投毒原理模拟部分过程，实际完整攻击还涉及更多复杂网络交互等，且这种攻击行为是非法的，以下仅用于学习理解原理）

#include <stdio.h>
#include <stdlib.h>
#include <string.h>

// 定义一个简单的结构体来模拟DNS记录（实际情况更复杂）
typedef struct DNSRecord {
    char domain[100];
    char ip[20];
} DNSRecord;

// 模拟DNS服务器缓存，这里简单用数组表示（实际会有更复杂的数据结构和管理机制）
DNSRecord dns_cache[10];
int cache_size = 0;

// 函数用于向模拟的DNS缓存中添加记录，模拟正常的缓存更新
// 参数为域名和对应的IP地址
// 时间复杂度：O(1)，因为只是简单在数组末尾添加元素（在不考虑满了需要处理的情况）
// 空间复杂度：O(1)，只是添加固定大小结构体元素到数组
void add_to_cache(char *domain, char *ip) {
    if (cache_size < 10) {
        strcpy(dns_cache[cache_size].domain, domain);
        strcpy(dns_cache[cache_size].ip, ip);
        cache_size++;
    }
}

// 函数模拟接受外部的DNS响应并更新缓存（这里省略了网络相关真实接收等过程）
// 假设收到的响应包中包含域名和IP信息，存在被伪造的可能
// 时间复杂度：O(n)，最坏情况遍历整个缓存数组查找是否已存在要更新的记录（实际有更好查找算法可优化）
// 空间复杂度：O(1)，只是进行比较和赋值操作，没有额外大量空间使用
void update_cache(char *received_domain, char *received_ip) {
    for (int i = 0; i < cache_size; i++) {
        if (strcmp(dns_cache[i].domain, received_domain) == 0) {
            strcpy(dns_cache[i].ip, received_ip);
            return;
        }
    }
    add_to_cache(received_domain, received_ip);
}

int main() {
    // 模拟正常添加几条合法的DNS记录到缓存
    add_to_cache("example.com", "192.168.1.100");
    add_to_cache("google.com", "8.8.8.8");
    
    // 模拟攻击者发送伪造的DNS响应来进行投毒
    char fake_domain[100] = "example.com";
    char fake_ip[20] = "1.2.3.4";  // 这是攻击者设定的虚假IP
    update_cache(fake_domain, fake_ip);  // 尝试更新缓存，若存在漏洞就会接受这个虚假记录

    // 输出缓存内容查看结果（模拟验证投毒是否成功）
    for (int i = 0; i < cache_size; i++) {
        printf("Domain: %s, IP: %s\n", dns_cache[i].domain, dns_cache[i].ip);
    }
    return 0;
}

请注意，上述代码只是非常简化地模拟了DNS poisoning涉及的缓存更新和投毒的相关核心概念过程，真实的DNS系统以及攻击场景要复杂得多，并且DNS poisoning是非法的网络攻击行为，仅用于帮助理解其技术原理和相关代码逻辑层面的概念。

避免方法

以下是一些针对DNS Poisoning（DNS欺骗）的常见防御措施：

使用可靠的DNS服务器

• 原理： 选择知名、安全防护能力强且信誉良好的DNS服务提供商，如公共的114DNS（114.114.114.114、114.114.115.115）、阿里云DNS（223.5.5.5、223.6.6.6）等。这些专业的DNS服务器通常具备强大的安全机制，包括对恶意请求的过滤、数据的加密传输、定期的安全检测与更新等，能降低遭受DNS欺骗的风险。

• 示例： 在电脑的网络设置中，手动将DNS服务器地址修改为上述可靠的DNS服务提供商所提供的IP地址，替换掉默认的可能安全性不足的DNS配置。

启用DNSSEC（DNS安全扩展）

• 原理： DNSSEC通过数字签名技术为DNS记录添加了验证机制。当客户端向DNS服务器查询域名解析时，DNS服务器返回的响应信息会附带数字签名，客户端的DNS解析软件可以验证该签名是否有效，以此来确认收到的DNS数据是否被篡改过。如果签名验证不通过，客户端就会拒绝使用该响应，从而防止被虚假的DNS信息误导。

• 示例： 在支持DNSSEC的域名注册商处，对自己的域名进行相关配置，启用DNSSEC功能；同时，操作系统（如Windows Server等较新版本）以及一些主流的DNS客户端软件（如BIND等）也支持DNSSEC验证，在相应的配置界面开启该功能选项后，就能在解析域名时进行安全验证了。

实施访问控制列表（ACL）

• 原理： 在网络设备（如路由器、防火墙等）上配置ACL，限定只有特定的、可信任的IP地址或IP地址段的设备能够与内部网络的DNS服务器进行通信。这样可以阻止外部的非法设备向内部DNS服务器发送恶意的DNS响应或查询请求，减少DNS欺骗的入口渠道。

• 示例： 在Cisco路由器上，可以使用类似如下的命令配置ACL来允许内部局域网（假设网段为192.168.1.0/24）访问内部DNS服务器（IP地址为192.168.1.10）：

access-list 100 permit tcp 192.168.1.0 0.0.0.255 host 192.168.1.10 eq domain
access-list 100 permit udp 192.168.1.0 0.0.0.255 host 192.168.1.10 eq domain

然后将该ACL应用到相应的接口上，比如应用到连接内部局域网的接口：

interface GigabitEthernet0/0
ip access-group 100 in

定期更新和打补丁

• 原理： DNS服务器软件（如BIND等常见的DNS服务器程序）以及操作系统本身可能存在一些安全漏洞，这些漏洞有可能被攻击者利用来实施DNS欺骗攻击。及时更新软件版本、安装安全补丁，可以修复已知的安全隐患，增强系统对DNS欺骗等攻击的抵御能力。

• 示例： 对于使用BIND作为DNS服务器的情况，定期查看BIND官方网站发布的更新公告，下载并安装最新版本或者相应的补丁文件；对于操作系统（如Windows系统），开启自动更新功能，或者定期手动检查更新，确保系统处于较安全的状态。

网络分段与隔离

• 原理： 通过划分不同的网络区域（如VLAN等方式），将重要的网络资源（如内部DNS服务器所在区域）与普通的办公区域、外部网络接入区域等隔离开来。即使外部区域遭受了DNS欺骗攻击，攻击者也较难突破隔离直接影响到受保护的DNS服务器及相关关键网络设施，限制了攻击的传播范围。

• 示例： 在企业网络中，使用交换机配置VLAN，将财务部、研发部等不同部门划分到不同的VLAN中，同时将内部DNS服务器单独划分到一个安全等级较高的VLAN里，并通过访问控制等手段控制不同VLAN之间的通信，以此来保障DNS服务器的安全。

进行网络监控与流量分析

• 原理： 利用网络监控工具实时监测网络中的DNS流量情况，包括查询频率、响应来源、数据异常等情况。一旦发现有不符合正常DNS通信模式的行为（比如大量来自同一个源的异常DNS响应、频繁的对关键域名的异常查询等），可以及时进行调查并采取相应的应对措施，如阻断可疑IP的访问、发出告警等。

• 示例： 借助专业的网络流量分析软件（如Wireshark等），捕获网络中的DNS数据包并进行分析，查看是否存在可疑的DNS活动；也可以使用一些网络安全管理平台，通过设置告警规则，对DNS相关的异常流量进行实时告警。

教育和培训用户

• 原理： 许多DNS欺骗攻击可能是通过诱导用户点击恶意链接、访问虚假网站等方式来实现的。对用户进行网络安全知识培训，提高他们对可疑网络行为的辨别能力，让他们了解随意点击不明链接、从不正规渠道下载软件等行为可能带来的风险，能从用户层面减少遭受DNS欺骗的可能性。

• 示例： 企业定期组织网络安全培训课程，向员工讲解常见的网络攻击手段及防范方法，展示DNS欺骗的案例以及如何识别正规网站与假冒网站等内容，提升员工的整体网络安全意识。