有关DNS的几个安全性问题

最新推荐文章于 2024-08-06 17:24:04 发布

weixin_30588729

最新推荐文章于 2024-08-06 17:24:04 发布

阅读量2.3k

点赞数

文章标签：运维

原文链接：http://www.cnblogs.com/F4ncy/archive/2005/01/03/85766.html

版权

本文探讨了DNS服务的四个安全问题：1) named服务程序缺陷；2) 区域文件泄露；3) DNS抑制；4) 本地DNS文件欺骗。作者通过实例解释了这些威胁，提出了解决方案，如更新服务程序、限制查询权限、使用加密信道和保护本地DNS对照表。

摘要由CSDN通过智能技术生成

有关DNS的几个安全性问题

作者：demonalex

在TCP/IP架构中最不安全的莫过于应用层的数据安全了，什么程序/操作系统远程缓冲区溢出、脚本注入都发生在这一层，知道它如何不安全了吧？！今天我想谈谈的也是在这一层的、与各位日常的网迷们息息相关的协议----DNS服务的安全性问题。

最近总结出的有四种出于DNS服务而考虑的安全问题。
1）named服务程序本身的缺陷问题
2）区域文件泄露问题
3）DNS抑制
4）本地DNS文件欺骗
上述的第一、二种威胁是针对DNS服务器，而三、四种则属于针对DNS客户端的。

named服务程序本身的缺陷主要是指该服务的开发者在开发的阶段因为不注意而导致该服务在应用层方面出现类型缓冲区溢出导致攻击者得到ROOTSHELL或D.o.S导致服务或系统出错瘫痪之类的问题，相关缺陷的详细资料可以查阅当地的cert网站。勤加补丁或升级named服务程序是针对这个问题的最佳解决方法了。

区域文件泄露的问题很久以前就出现的了。状态是当客户端使用类似nslookup这样的工具更换主查询DNS服务器以后，该主服务器会以为客户端是本地的从DNS服务器，从而允许客户端查询整个DNS区域文件的内容的。下面是一个典型例子（/**/为解说部分）：
------------------------------------------------------------------------------------------------------
C:\>nslookup
Default Server: tempdns2.guangzhou.gd.cn
Address: 61.144.56.101

> set q=all　　　　　　　　　　　　　　　　　　　　　　　　　　/*这里设置查询为全部*/
> super1.com.cn
Server: tempdns2.guangzhou.gd.cn
Address: 61.144.56.101

Non-authoritative answer:
super1.com.cn
    primary name server = ns.xinnetdns.com　　　　　　　　/*在这里得到了该域的主域名服务器地址*/
    responsible mail addr = hostmaster.xinnetdns.com
    serial = 1090836369
    refresh = 3600 (1 hour) <