DNS缓存投毒

本文最后更新于：2025年1月2日 上午

DNS系统中任务最复杂的组件：递归服务器（Recursive Resolver）

为什么递归服务器的任务最复杂？

递归服务器在整个DNS解析过程中承担了核心任务，负责完成用户主机的查询请求，并与其他多个服务器交互，直至获取最终的解析结果。其复杂性主要体现在以下几个方面：

1. 任务繁重：负责完整的递归解析

  • 工作内容：
    • 接受用户主机（Stub Resolver）的请求。
    • 从根服务器开始，逐步查询TLD服务器、权威服务器，直至获取最终结果。
    • 将最终结果返回给用户主机。
  • 原因：
    • 递归服务器需要主动查询多个服务器，并维护完整的查询路径。
    • 每次解析都涉及多次通信，递归服务器必须管理这些请求的状态，直到任务完成。
    • 对于复杂的域名（如子域较多的情况），递归服务器的查询路径可能很长。

2. 需要缓存优化：减少查询次数

  • 缓存机制：
    • 递归服务器会缓存查询结果（如根服务器或TLD服务器的地址），以提高性能、减少查询开销。
    • 但缓存需要根据TTL（Time-to-Live）进行管理，过期的数据需要及时清理并重新查询。
  • 复杂性：
    • 缓存的管理涉及查询结果的有效性判断和过期处理。
    • 需要在大量用户查询中平衡性能和准确性，避免返回过期或无效的数据。

3. 需要处理多种查询类型

  • 递归服务器不仅要支持常见的A记录（IPv4地址）查询，还需要支持其他类型的记录，如：
    • AAAA记录（IPv6地址）
    • MX记录（邮件服务器地址）
    • TXT记录（附加信息验证，如用于DNS验证的SPF记录）
  • 复杂性：
    • 需要根据不同的查询类型，与对应的权威服务器交互，返回用户需要的结果。

4. 需要维护高可靠性和性能

  • 高并发：
    • 递归服务器需要处理大量来自不同用户的DNS查询请求，通常是互联网服务中最繁忙的节点之一。
  • 故障处理：
    • 需要在查询失败时尝试其他路径或备用服务器。
    • 必须处理网络延迟、超时、服务器不可达等异常情况。
  • 性能优化：
    • 使用并行查询技术，提升响应速度。
    • 采用智能缓存策略，减少重复查询。

5. 安全性需求

  • 防止DNS攻击：
    • 递归服务器是DNS系统中最容易遭受攻击的组件之一，必须防御以下威胁：
      • DNS放大攻击：递归服务器可能被滥用为攻击的工具。
      • 缓存投毒：攻击者伪造DNS响应数据，污染递归服务器的缓存，从而误导用户。
    • 为防御这些攻击，递归服务器需要引入以下机制：
      • DNSSEC（DNS Security Extensions）验证查询结果的完整性。
      • 限制查询频率，防止滥用。
  • 隐私保护：
    • 递归服务器需要保护用户的查询隐私，避免将用户的访问记录暴露给其他第三方。

对比其他组件的复杂性

组件 复杂性 原因
Stub Resolver 低 仅将用户请求转发给递归服务器，返回最终结果，无需参与实际的查询过程。
权威服务器 中等 只负责对自己管理的域（Zone）返回权威答案，不参与跨域查询。
递归服务器 高 需要完成完整的递归查询过程，管理缓存，优化性能，处理异常，以及防御安全威胁。
根服务器 中等 只负责指向TLD服务器，任务相对单一，且通常由多个镜像服务器分担流量。

总结

递归服务器是DNS系统中任务最复杂的组件，原因如下：

  1. 它需要完成整个递归查询流程，与多个外部服务器通信。
  2. 需要管理缓存、优化性能，并处理高并发的查询请求。
  3. 必须确保查询结果的安全性，防御攻击，同时保护用户隐私。

递归服务器是DNS解析过程的核心组件，其复杂性决定了它对系统性能和安全性至关重要。

为什么攻击者会选择伪装权威服务器的方式来实施 ID猜测与查询预测攻击

在 DNS攻击 中，攻击者会选择伪装权威服务器的方式来实施 ID猜测与查询预测攻击，其核心目标是使受害者信任伪造的DNS响应，从而篡改域名解析结果。伪装权威服务器的原因如下：

1. 伪装权威服务器能够伪造可信的响应

权威服务器是DNS层级中的最高权限者，其负责为特定域名（如 hit.edu.cn）提供最终答案。如果攻击者能够伪装成权威服务器，其伪造的响应会被视为有效和权威的。

  • 影响范围广：一旦伪造响应被接收，不仅受害客户端会受到影响，递归服务器可能还会缓存伪造结果，进一步扩大影响。
  • 高可信度：权威服务器的响应通常不需要递归服务器进行进一步验证，因此更容易被直接采用。

2. 利用DNS层级特性，绕过递归服务器的验证

递归服务器通常会向权威服务器发起查询，然后将结果返回给客户端。如果攻击者伪装成权威服务器：

  1. 攻击者只需直接发送伪造的结果，递归服务器无需向其他服务器继续查询。
  2. 权威服务器的响应不会被进一步验证，因此攻击者的伪造响应更容易生效。

此外，攻击者可以通过预测查询中的 NAME（如 hit.edu.cn）和 TYPE（如 A记录），结合猜测 ID 和 UDP端口，伪造出符合预期的权威响应。

3. 权威服务器响应优先级高

DNS响应遵循“第一个到达先处理”的原则：

  • 如果攻击者的伪造响应先到达受害客户端或递归服务器，合法的权威服务器响应即便稍后到达，也会被忽略。
  • 因为攻击者不需要递归查询，只需直接构造伪造响应，响应速度可能比真正的权威服务器更快。

4. 便于插入伪造的恶意记录

伪装权威服务器可以伪造与目标域名相关的恶意记录，例如：

  • 将 hit.edu.cn 指向攻击者控制的IP地址（如 1.2.3.4）。
  • 插入其他恶意记录，例如CNAME（别名记录）或MX（邮件交换记录），用于进一步的攻击（如钓鱼或中间人攻击）。

通过这些伪造记录，攻击者可以：

  • 重定向流量到攻击者控制的服务器。
  • 进行钓鱼攻击或劫持用户的敏感信息。

5. 避免合法权威服务器干扰

伪装权威服务器的另一个原因是避免合法服务器的响应干扰：

  • 如果攻击者的伪造响应看似来自权威服务器，递归服务器会直接接收它，而不会继续向真正的权威服务器查询。
  • 攻击者的响应到达更快，合法权威服务器的真实响应不会被接收。

6. 结合查询预测和ID猜测

伪装权威服务器的方式与 查询预测 和 ID猜测 的结合非常紧密：

  1. 查询预测：攻击者通过诱导受害者访问某些域名（例如 hit.edu.cn），从而预测受害者可能的DNS查询内容。
  2. ID猜测：攻击者通过尝试随机的ID和UDP端口值，伪造一个匹配的DNS响应。
  3. 伪装权威服务器：攻击者构造的响应假冒权威服务器，使其看似合法并优先到达受害者或递归服务器。

总结

攻击者选择伪装权威服务器，是因为：

  • 权威服务器的响应具有更高的可信度。
  • 权威响应无需进一步验证，容易被接受。
  • 攻击者可以通过预测查询、伪造ID和快速发送响应，成功欺骗递归服务器或受害者，篡改域名解析结果。

0x20编码方案

是一种通过利用DNS查询中的大小写特性来增加安全性（尤其是在防御伪造响应时）的技术。下面是详细解释：

1. 背景与目标

背景：

  • DNS查询对域名的大小写是不敏感的，即 www.hit.edu.cn 和 WWW.HIT.EDU.CN 被视为相同的域名，解析结果相同。
  • 传统DNS查询中，攻击者可以通过伪造响应，猜测查询ID和UDP端口等，实施DNS伪造攻击。

目标：

  • 增加熵值：通过在DNS查询中随机化域名的大小写，增加查询的随机性，从而增加攻击者猜测伪造响应的难度。
  • 不影响解析过程：由于DNS对大小写不敏感，大小写的随机化不会影响域名的正常解析。

2. 实现思路

  • 在DNS客户端发送查询时，将域名的每个字母随机地设置为大写或小写。例如，

    1
    www.HIT.edu.cn

    可以随机表示为以下任意形式：

    1
    2
    3
    www.hit.edu.cn
    WWW.hit.EDU.CN
    WwW.hIt.eDu.Cn

  • 服务器在返回DNS响应时，必须保持请求中域名的大小写设置。如果请求是 www.HIT.edu.cn，服务器的响应中域名也应为 www.HIT.edu.cn。

3. 工作机制

  1. 客户端生成查询：
    • 客户端随机调整域名中每个字母的大小写（如 www.HIT.edu.cn）。
    • 连同其他信息（如查询ID、UDP端口等）一起发送给DNS服务器。
  2. 服务器响应：
    • DNS服务器处理查询时，对大小写不敏感，但在生成响应时，会保留查询中域名的大小写格式。
    • 返回的响应中，域名格式如 www.HIT.edu.cn。
  3. 客户端校验：
    • 客户端在接收到响应后，检查响应中域名的大小写是否与查询一致。如果一致，则认为响应可能有效；否则，认为响应可能被伪造。

4. 安全效果

熵的增加：

  • 每个字母的大小写有两种可能性（大写或小写），因此域名中每个字母增加了 1比特的熵。
  • 如果域名有 \(n\) 个字母，总共增加的熵为 \(n\) 比特。例如：
    • 对于 www.HIT.edu.cn，共有 12 个字母（忽略 .），因此增加了 \(2^{12} = 4096\) 种可能。

增加攻击难度：

  • 攻击者不仅需要猜测查询ID和UDP端口，还需猜测正确的大小写模式。
  • 伪造响应所需的可能性从原来的 \(2322^{32}\) 增加到 \(232+n2^{32 + n}\)，极大提高了攻击复杂度。

5. 技术优势

  1. 兼容性：
    • DNS协议对大小写不敏感，因此此方案不会影响解析功能。
    • 目前所有DNS服务器的实现都会在响应中保留域名大小写，满足此方案的要求。
  2. 实现简单：
    • 客户端只需在查询时随机调整域名的大小写，不需要修改DNS协议本身。
  3. 性能无影响：
    • 只涉及简单的字符大小写转换和校验，不增加明显的处理开销。

6. 示例解析

以下是一个实际查询的过程：

查询：

客户端发送：

1
www.HIT.edu.cn IN A

其中域名随机化为 www.HIT.edu.cn。

响应：

服务器返回：

1
www.HIT.edu.cn 930 IN A 61.167.60.70
  • 响应中域名的大小写与查询中一致（www.HIT.edu.cn）。
  • 客户端校验大小写一致性后，认为响应有效。

7. 总结

0x20编码方案通过利用域名的大小写随机化增加了DNS查询的熵值，从而显著提高了攻击者伪造响应的难度。这种方法简单、高效，兼容现有的DNS基础设施，是防御DNS伪造攻击的有效技术手段之一。

管辖区规则（Bailiwick Rules） 是一种DNS防御机制，用来防止DNS缓存投毒攻击，特别是针对伪造的DNS响应。这个规则的核心思想是检查DNS响应中返回的资源记录（RR）是否符合一定的合法性标准，即是否属于正确的权威域名服务器的管辖区域。

辖区原则

1. RFC 2181：Clarifications to the DNS Specification

RFC 2181是DNS协议的一个补充说明，它对DNS的行为和一些细节进行了澄清，特别是在如何验证DNS响应的合法性方面。该文档强调了管辖区规则的概念，这是防止缓存投毒攻击的一个有效策略。

2. 辖区原则（Bailiwick Principle）

辖区原则的关键内容是：响应中返回的资源记录的域名必须是相应权威域名服务器所负责的域名的子域或本身。

具体来说：

  • 当DNS递归服务器从某个权威DNS服务器接收到一个DNS响应时，它会检查这个响应中的每个资源记录（如A记录、CNAME记录等）。
  • 如果响应中的资源记录的域名属于该权威DNS服务器的管辖区域（即它是该服务器负责的子域或本身），则认为该响应是合法的。
  • 如果响应中的资源记录的域名不属于该权威DNS服务器的管辖区域（即它是其他域名的记录），则认为该响应是非法的，应该被丢弃。

3. 执行方式

在实际的DNS防御中，执行方式如下：

  • 当DNS递归服务器接收到一个响应时，它会验证该响应中的资源记录是否符合辖区规则。
    • 如果资源记录的域名是该权威DNS服务器管辖区域的子域或该域本身，那么响应被认为是合法的，递归DNS服务器会将其缓存下来。
    • 如果资源记录的域名不在该权威DNS服务器的管辖区域内（即响应的域名和查询的域名不匹配），则认为该响应是非法的，服务器会丢弃这个响应，并且不会将其缓存。

4. 防御效果

  • 防止伪造的DNS响应：通过管辖区规则，攻击者不能通过伪造DNS响应来将不属于该域名的记录（比如一个恶意域名的A记录）注入到递归服务器的缓存中。
  • 确保响应的来源合法：只有当响应的记录属于合法的权威DNS服务器管辖区域时，才会被接受并缓存，这大大提高了DNS解析过程的安全性。

5. 示例

假设递归DNS服务器向example.com的权威DNS服务器发出查询请求并收到响应：

  • 如果响应中包含的记录是example.com A 192.0.2.1，这是合法的，因为example.com是该权威服务器的管辖域名。
  • 如果响应中包含的记录是attacker.com A 1.2.3.4，这是非法的，因为attacker.com不是example.com的子域名，应该被丢弃。

总结

管辖区规则通过检查DNS响应中的资源记录是否属于相应权威域名服务器管辖的区域，来防止伪造和非法的DNS响应被缓存，从而有效地防御了DNS缓存投毒攻击。这一机制确保只有合法的、与查询相关的DNS响应会被接受，并且被添加到递归服务器的缓存中。

名字链攻击

名字链攻击（Name Chain Attack） 是一种通过利用递归DNS服务器的查询过程来实施缓存投毒的攻击方式。该攻击的核心在于攻击者通过精心构造的DNS应答，将恶意的IP地址注入受害递归服务器的缓存中。攻击者控制一个客户端和一个攻击者服务器，通过这一过程构造并注入恶意DNS记录。

名字链攻击的过程：

  1. 受操纵客户端的请求：
    • 受操纵的客户端向受害递归DNS服务器发送一个查询请求，查询attacker.com的A记录。
  2. 受害递归服务器的请求：
    • 受害的DNS递归服务器接收到查询请求后，发现自己没有缓存attacker.com的记录，于是向权威DNS服务器发出查询请求来获取attacker.com的IP地址。
  3. 攻击者服务器的恶意构造：
    • 攻击者的DNS服务器向受害递归服务器发送伪造的响应。该响应中，attacker.com的CNAME记录指向hit.edu.cn，然后hit.edu.cn的A记录返回恶意的IP地址（例如1.2.3.4）。
  4. 缓存投毒：
    • 受害的递归DNS服务器将响应中的记录缓存下来。由于攻击者构造的CNAME记录将attacker.com解析到hit.edu.cn，而hit.edu.cn指向恶意的IP地址，递归服务器会将这些恶意记录（attacker.com CNAME hit.edu.cn和hit.edu.cn A 1.2.3.4）写入缓存。
  5. 后续请求的中毒：
    • 以后任何查询attacker.com或hit.edu.cn的请求都会从缓存中返回错误的、恶意的IP地址（如1.2.3.4），导致用户访问攻击者指定的恶意网站。

管辖区规则（Bailiwick Rules）在名字链攻击中的防御作用：

在名字链攻击中，管辖区规则能够有效地防止攻击者伪造无关的DNS响应记录（如CNAME指向与查询无关的域名）。该规则确保DNS递归服务器只会接受与查询的域名管辖区域相关的记录。具体来说，管辖区规则的执行方式如下：

  1. 管辖区规则检查：
    • 当DNS递归服务器接收到权威服务器的响应时，它会检查响应中的每个资源记录是否符合辖区规则。
    • CNAME记录的合法性：假设客户端查询attacker.com的A记录。如果权威服务器返回的响应中包含了attacker.com CNAME hit.edu.cn，递归服务器会验证该CNAME记录是否来自attacker.com的权威服务器。如果这个CNAME记录是从attacker.com的合法权威服务器返回的，那么这个记录会被接受。如果不是，递归服务器会拒绝这个响应。
  2. 如何设置管辖区规则：
    • 响应验证：管辖区规则要求响应中的记录必须在查询的域名管辖区域内。比如，在上述的名字链攻击例子中，attacker.com CNAME hit.edu.cn应该是由attacker.com的权威DNS服务器提供的，而不是攻击者伪造的。
    • 域名匹配：CNAME记录和A记录等必须属于查询的域名的权威管辖区域。如果攻击者尝试将attacker.com指向hit.edu.cn，而hit.edu.cn并不属于attacker.com的管辖区域，那么该响应应该被丢弃。

防御机制总结：

通过实施管辖区规则，DNS递归服务器能够拒绝那些来自不正确权威服务器的记录，避免了名字链攻击中的伪造CNAME记录被缓存。具体来说，只有那些来自查询域名管辖区域内的资源记录才能被接受并缓存，而其他域名的记录会被视为非法并丢弃，从而有效防止缓存投毒。

管辖区规则的步骤：

  • 检查响应中资源记录的域名是否与查询域名的管辖区域一致。
  • 如果响应中包含CNAME记录，递归服务器检查该记录是否来自查询域名的合法权威DNS服务器。
  • 如果不符合管辖区规则，拒绝响应，不将其缓存。

通过这些机制，管辖区规则可以防止攻击者通过伪造DNS响应（如伪造CNAME记录或指向恶意域名的记录）来实施缓存投毒攻击。

名字链攻击分析与胶水记录注入攻击的对比

名字链攻击和胶水记录注入攻击都是DNS缓存投毒的攻击方式，但它们的原理和实施方式有所不同。以下是这两种攻击方式的比较和分析。

1. 攻击者能力对比：

  • 名字链攻击

    ：

    • 攻击者通过控制一个客户端和一个攻击者DNS服务器来实施攻击。攻击者的目标是伪造DNS响应，使得受害的递归服务器缓存恶意记录。
    • 攻击者通常会通过精心构造的CNAME记录来绕过传统的DNS查询和验证机制。通过在CNAME记录中指定一个受害域名，攻击者能够将受害域名指向自己的恶意服务器，从而实现DNS缓存投毒。

  • 胶水记录注入攻击

    ：

    • 攻击者控制一个权威DNS服务器，利用该服务器向受害的递归DNS服务器发送伪造的应答（包括恶意的胶水记录）。
    • 攻击者通过注入胶水记录，使得递归DNS服务器缓存指向恶意域名的记录。胶水记录是DNS响应中带有域名和IP地址信息的特殊记录，通常在某个域名无法解析时提供。

尽管这两种攻击方式都依赖攻击者控制一台DNS服务器，但名字链攻击更依赖于精心构造的DNS记录（如CNAME记录），而胶水记录注入攻击则利用了特定的DNS记录类型（如胶水记录）来直接注入恶意信息。

2. 绕过管辖区规则：

名字链攻击的关键优势之一是它能够绕过管辖区规则（Bailiwick Rules）。

  • 管辖区规则要求DNS递归服务器只接受符合权威服务器管辖区域的记录（即响应的域名应属于该权威服务器管理的区域）。
  • 在名字链攻击中，攻击者通过使用CNAME记录构建了一个指向受害域名的链条，这使得递归DNS服务器需要通过多个域名的解析来获取最终的IP地址。虽然attacker.com的CNAME指向hit.edu.cn，但由于DNS协议本身没有限制CNAME与其目标域名之间的关系，这种情况下，CNAME记录可以来自任何DNS服务器，而不需要严格遵循管辖区规则。
  • 例如：
    • 攻击者通过伪造响应，提供了attacker.com CNAME hit.edu.cn，而hit.edu.cn的A记录指向恶意IP地址1.2.3.4。
    • 在这个链条中，CNAME记录和A记录可以分别来自不同的DNS服务器，而递归服务器并不会因为CNAME记录来自攻击者控制的服务器而拒绝它。这使得名字链攻击可以绕过管辖区规则，成功注入恶意记录。

胶水记录注入攻击则通常依赖于攻击者控制的权威DNS服务器直接注入恶意记录，这种攻击方法更容易受到管辖区规则的限制，因为胶水记录必须符合查询域名的管辖区域。

3. CNAME的作用：

  • DNS协议对CNAME记录的限制：
    • 在DNS协议中，CNAME记录是一种指向另一个域名的记录，表示当前域名与另一个域名是等价的。DNS协议并没有限制一个域名与其CNAME目标之间的关系，允许CNAME记录指向任何其他域名。
    • 这意味着攻击者可以在CNAME记录中任意指定目标域名，甚至是一个完全不相关的域名。利用这一点，攻击者可以通过在CNAME记录中指向另一个域名（如受害域名）来实现缓存投毒。
  • CNAME与管辖区规则：
    • 在名字链攻击中，攻击者通过构造CNAME记录将attacker.com指向hit.edu.cn，然后通过hit.edu.cn的A记录返回恶意IP地址。
    • 由于DNS协议允许CNAME记录的自由关系，管辖区规则就很难对这种类型的攻击起到防护作用。攻击者能够利用CNAME记录将解析路径绕过受限制的域名管辖区域，从而成功实施攻击。

总结与对比：

特性 名字链攻击 胶水记录注入攻击
攻击目标 通过伪造CNAME记录来绕过管辖区规则 通过注入恶意胶水记录使递归服务器缓存错误数据
攻击方式 使用CNAME记录将一个域名指向另一个域名，形成链条 向DNS服务器返回伪造的IP地址或其他记录
管辖区规则绕过 可以绕过管辖区规则，因为CNAME记录不受严格限制 胶水记录通常需要遵循管辖区规则
DNS协议限制 DNS协议不限制CNAME记录与目标域名的关系 胶水记录有特定要求，通常必须符合管辖区规则
攻击者控制的内容 控制客户端与攻击者DNS服务器 控制权威DNS服务器

名字链攻击比胶水记录注入攻击更加复杂，但也更加隐蔽，且可以有效绕过管辖区规则。通过利用DNS协议对CNAME记录的宽松限制，攻击者能够将伪造的域名解析路径注入到递归DNS服务器的缓存中，从而实现缓存投毒。

Kaminsky攻击

Kaminsky攻击是DNS缓存投毒的一种高级攻击方式，它通过操控查询和ID猜测技术，快速且高效地劫持DNS缓存，将目标域名指向恶意服务器。这种攻击利用了DNS协议的一些弱点，尤其是在DNS响应的ID（Transaction ID）和源端口的预测性。

Kaminsky攻击分析

  1. 攻击步骤：
    • 受操纵客户端的请求： 攻击者控制的客户端查询一个不存在的域名（如randomxx.hit.edu.cn）的A记录。
    • 递归服务器查询： 由于该域名（randomxx.hit.edu.cn）不存在，受害的DNS递归服务器会向权威DNS服务器发送查询请求。
    • ID猜测与伪造应答： 攻击者基于已经知道的源端口和查询ID（Transaction ID）猜测，并发出大量伪造的DNS应答。攻击者伪造的应答中将hit.edu.cn的NS记录指向攻击者控制的服务器（例如attacker.com），并返回恶意的A记录（例如，指向1.2.3.4）。
    • 缓存投毒： 由于攻击者的伪造应答猜中正确的ID和端口，受害的DNS递归服务器会错误地将这些恶意记录缓存起来，将hit.edu.cn的域名服务器定向到攻击者的服务器。结果，任何查询hit.edu.cn的请求都会被错误地导向攻击者指定的恶意IP地址。
  2. 攻击特点：
    • 不受TTL限制：攻击者通过不断生成随机域名（如randomxx.hit.edu.cn），大多数情况下这些域名都不会被缓存。因此，攻击者的伪造请求几乎总能触发受害递归服务器发出查询请求。这种“无缓存命中”的特性让攻击几乎没有时间限制。
    • 猜中概率大：攻击者可以无限生成不存在的域名，每次尝试都会增加成功的概率。即使每个攻击尝试的成功率较低（例如猜中50次中的一次），但如果攻击者能够使用自动化工具生成大量的伪造请求并尝试不同的域名，猜中的概率会显著增加。在短短几秒钟内，攻击者就有可能猜中正确的查询ID和源端口，从而成功注入恶意记录。
  3. 控制整个域：如果攻击者成功实施Kaminsky攻击，意味着攻击者能够将目标域（如hit.edu.cn）的NS记录指向自己控制的服务器，相当于控制了整个域名的解析过程。一旦域名的解析被劫持，所有针对该域的查询都会被恶意重定向，攻击者可以执行如钓鱼攻击、恶意软件传播等。

防御Kaminsky攻击

针对Kaminsky攻击的防御策略主要是增强DNS查询的安全性，尤其是通过增加“校验字段”的空间来提高猜解的难度。

  1. 增加校验值的空间：
    • 原理：Kaminsky攻击的核心是通过预测DNS响应的Transaction ID（TXID）和源端口来伪造有效的DNS应答。因此，攻击者需要能够快速猜测出一个正确的ID和源端口的组合。攻击者的猜测依赖于TXID和源端口的有限组合，若该组合空间足够大，攻击者的暴力猜解变得非常困难。
    • 解决方案：通过提升TXID（16位）和源端口（16位）组合的大小，增加校验值空间。例如，TXID和源端口的大小总共为32位，这样总共有2^32（约43亿）种可能的组合。相比原来只有16位空间，32位空间使得攻击者几乎不可能通过暴力猜解来破解。
  2. 抵御效果：
    • 32位校验空间：通过增加到32位的校验值空间，Kaminsky攻击中的猜解攻击变得几乎不可能。即使攻击者能够发出成千上万的伪造响应，成功猜中正确的TXID和源端口的概率依然极低。2^32（约43亿）个组合使得暴力破解的成本极为庞大，几乎无法在短时间内完成。
    • 额外防御措施：
      • DNSSEC（DNS安全扩展）：采用DNSSEC签名可以有效防止DNS应答被篡改。DNSSEC通过使用公钥加密来确保DNS记录的完整性和真实性，使得即使攻击者能够伪造应答，递归DNS服务器也能通过验证签名来检测到伪造的记录。
      • 随机化端口和ID：在DNS请求中随机化源端口和Transaction ID（TXID）的生成，可以进一步增加猜解的难度，增加攻击者的攻击成本。

总结

Kaminsky攻击通过利用源端口和TXID的猜测来发起缓存投毒攻击，成功后能够劫持一个域名的DNS解析过程。防御该攻击的主要策略是通过增加校验字段的大小（如32位空间）来提升猜解的难度，从而有效抵御这种攻击。此外，DNSSEC和随机化端口和ID等技术也能进一步增强DNS的安全性，防止此类攻击。

域名攻击总结

域名欺骗攻击总结

域名欺骗攻击（DNS Spoofing或DNS Cache Poisoning）是通过伪造DNS响应，将恶意域名解析结果注入到DNS缓存中，从而使用户访问到错误的IP地址，达到劫持、窃听或篡改通信的目的。随着DNS协议的广泛应用，攻击者不断寻找新的漏洞和方式进行攻击。以下是对该类攻击的总结分析。

1. 攻击者能力与目标的不同

  • 攻击者能力：攻击者的技能、资源和对目标的了解会直接影响其攻击的手段和复杂度。例如，某些攻击可能只需要基本的网络钓鱼技巧（如名字链攻击），而有些复杂的攻击则需要精确的技术操作（如Kaminsky攻击）。
  • 攻击目标：攻击者的目标可能是某个特定的域名、特定的组织或是广泛的DNS基础设施。目标的不同决定了攻击策略的选择。例如，针对特定目标的攻击可能会精心伪造DNS响应，而面向更广泛的攻击则可能会利用自动化工具进行大量随机查询。

2. 攻防的较量

  • 攻防手段交替演化：DNS欺骗攻击和防御手段都在不断演进。随着攻击技术的不断改进，防御者也相应地提升了防护措施，例如通过随机化源端口和Transaction ID来应对Kaminsky攻击。攻击和防御之间不断博弈，反映了技术和安全策略的动态演化。

3. 威胁难以彻底消除

  • 非密码学手段的局限性：即便通过一些防御手段（如增加源端口的随机性、限制伪造应答等）来提高攻击难度，但DNS协议本身并没有内建的强安全机制，攻击者总能找到新的漏洞或者绕过现有的防护措施。因此，单纯依靠非密码学手段很难彻底消除DNS欺骗攻击的威胁。

4. 增加应答伪造的难度

  • Kaminsky攻击后的防御：Kaminsky攻击让业界意识到源端口的随机化重要性。通过增加源端口和Transaction ID的随机性，可以显著增加攻击者猜测正确应答的难度，减缓缓存投毒攻击的成功率。尽管如此，这种手段依然无法从根本上解决DNS协议的安全问题。

5. 为域名类型资源记录设置安全规则

  • NS、CNAME等记录的安全性：针对DNS中的资源记录类型（如NS、CNAME等）进行安全加强，成为应对域名欺骗攻击的另一个思路。然而，由于DNS协议本身不支持强制实施这些规则，且规则的应用存在一定难度，因此这一方案在实践中很难完全有效。

6. 如何从根本上保证解析结果的安全性

  • 使用密码学手段：要从根本上保证DNS解析结果的真实性和完整性，最有效的方案是采用密码学手段。通过DNSSEC（DNS安全扩展）来为DNS查询和响应提供加密签名，能够确保响应未被篡改。这意味着，DNS解析的每个结果都会被数字签名，递归服务器在缓存或响应查询时可以验证签名的有效性，从而确保域名解析结果的完整性和真实性。
  • 牺牲可用性：虽然DNSSEC等密码学手段能够大大提高DNS安全性，但这也可能带来一些性能上的开销。例如，签名验证和密钥管理需要额外的计算资源，这可能影响DNS查询的速度。因此，在部署这些安全机制时，需要在安全性和可用性之间进行权衡。

7. 总结与展望

  • 技术与安全的不断发展：DNS欺骗攻击的防御依赖于DNS协议本身的改进，以及密码学手段的应用。随着DNSSEC等技术的发展，未来的DNS解析系统可能会更加安全，但仍然面临一些性能和可扩展性的挑战。
  • 综合防御策略：尽管DNSSEC能够提供强大的安全保障，但在实际应用中，综合防御策略仍然至关重要。包括加强DNS查询的源端口和ID随机化、使用DNSSEC进行签名验证，以及采用基于行为分析的入侵检测系统，能更有效地防御DNS欺骗和缓存投毒攻击。

总之，域名欺骗攻击是一个复杂且持续演变的领域，随着技术的发展，攻防手段将继续更新和升级。通过密码学手段以及系统性的安全设计，最终可以在一定程度上减少这种攻击的威胁，但完全消除仍需要不断创新和优化。

notes > CS
#互联网基础设施安全 #DNS
DNS缓存投毒
https://cdro.tech/notes/CS/dns-security/
作者
k9Q6CK42
发布于
2024年12月25日
更新于
2025年1月2日
许可协议