DNS欺骗

DNS(域名系统)作为当前全球最大、最复杂的分布式层次数据库系统，具有着开放、庞大、复杂的特性。它为全球用户提供域名解析服务，是互联网的重要基础设施。但由于其在设计之初未考虑安全性、人为破坏等因素，DNS系统在互联网高度发达的今天面临着严重的安全威胁。而解决此威胁则首先需要知己知彼，既了解 DNS 设计存在的具体缺陷，又需要了解攻击手段的方式种类。本篇报告以 DNS协议原理简述切入，着重于DNS攻击(DNS反射放大攻击、DNS缓存投毒攻击)的原理与分析。最后进行 DNS安全增强相关标准如 DNSSEC 、DNSCrypt 协议的简介。

DNS协议机制

DNS的三个主要部分

域名空间与资源记录(domain namespace and resource records)。二者是树状结构名称空间和与这些名称关联的数据的规范。

名称服务器(name servers)。名称服务器是保存着有关域树的结构信息和设置信息的服务器程序。

解析器(resolvers)。解析器是为了响应客户端请求从名称服务器提取信息的程序。三者在应用中的简单组织关系如下：

解析器也可以适用于缺乏解析器功能的PC群中，此时可以从本地机器中移出解析功能，并将其移进支持递归查询的名称服务器，使之同时为多个PC提供解析服务。

名词辨析：域（domain）与区域（zone）

在逻辑上，DNS由域(domain)组成，在物理上，DNS由区域(zone)组成。通过域名结构可以清晰直观地了解DNS的层次化划分，而解析过程所需的文件是以区域为单位进行存储的。

DNS域名结构：层次化的树形结构

如下图表示的是DNS的域的结构。可见通过域的划分可以清晰地了解DNS的层次划分。

DNS区域组织形式：树形结构

如下图是DNS中区域的树形结构。每个DNS区域要求至少有一个权威域名服务器发布关于这个区域的信息，因此在某些情况下域和区域的划分并不是完全重叠的。

以上便是DNS的原理简述。在实际应用过程中，用户访问本地DNS服务器时使用递归方式，即在用户视角中通过一次请求就能得到所需要的解析结果。而本地DNS服务器查询则采用迭代方式，即通过一次或多次请求才能层次渐进地找到所需结果。

DNS报文响应格式简述

DNS 查询和响应使用标准的消息格式。此消息格式有包括众多固定字段的首部和携带查询参数和 RRs 的4个部分。四个部分依次为：问题、回答、权威、附加。后三部分内皆由多条RRs组成。

首部中：操作码(4 位) 用于区分查询。1表示标准查询，2表示反向查询和状态查询。四个部分的大致含义如下：

问题查询名称等参数。

回答直接回答问题的RRs。

权威携带描述其它权威服务器的RRs。

附加其它可能有帮助的资源记录。

DNS攻击的原理与分析

由于DNS在设计之初并未考虑安全性因素，如在消息传输中未进行加密、认证、签名等安全手段，DNS 攻击是非常常见的。攻击者开展攻击通常是为了得到收益。而对 DNS 的攻击也可根据收益类型进行区分。一是表层利益，对应DNS欺骗。如攻击者通过克隆网站欺骗消费者进行支付，再通过欺骗手段使用户收到的解析结果为克隆网站而非正规网站。二则是深层利益，对应 Dos(拒绝服务) 攻击。如2019年亚马逊的云计算部门DNS服务器遭受了持续了大约八小时的 DDoS (分布式拒绝服务)攻击，造成大量客户无法使用该服务。亚马逊权威 DNS 遭受到海量的查询数据，资源耗尽，无法正常响应。导致DNS服务彻底瘫痪。

DNS缓存投毒攻击

DNS 的缓存机制可以说是一把双刃剑。在性能提升方面，DNS通过在一次查询结束时将查询结果缓存在本地服务器，在下一次查找同样域名时，直接读取对应IP地址，节省了 DNS 解析服务器间通信所需时间，能有效地缩短域名解析时间、减少大量重复的查询、优化用户体验，从而提升 DNS 的性能。

而在安全性方面，缓存策略增加了安全威胁，因为只要攻击者修改了缓存，所有使用该 DNS 服务器的客户都可能得到攻击者提供的 IP 地址。DNS 查询时优先从缓存中寻找解析后地址的操作，使得恶意对象只需更改缓存中特定域名对应地址，即可让 DNS 向客户端返回错误的解析结果。

DNS缓存投毒攻击属于表层收益类型。它利用DNS 欺骗技术，即使客户端查询到虚假的 IP 解析地址，再利用 DNS 服务器的缓存机制将虚假信息进行缓存，从而产生持续危害。

DNS欺骗技术需要伪造DNS回复，类型通常是UDP 数据包。为了实现伪造 UDP 数据包，攻击者需要知道请求中的一些参数，如 UDP 源端口号、请求的交易 ID、请求的问题等。由于UDP 包并没有加密措施，处于同一局域网内的攻击者可以直接捕获请求，从而嗅探到所需信息。由此可以引申出 DNS缓存投毒机制的两个子分类：本地DNS缓存中毒攻击与远程DNS缓存中毒攻击。

本地 DNS 缓存中毒攻击

此种攻击中，攻击者与用户端处于同一局域网内。此时攻击者可以在局域网直接捕获并解析本地 DNS 服务器请求数据包，从而实现攻击。如下图所示，①②两处消息都可被攻击者获取，而由于 DNS 报文并未加密认证等，攻击者可以直接拦截报文获取需要的一切信息并将内容进行篡改后给出伪造报文，发送给本地 DNS 服务器或用户端。

针对报文伪造区域又可以分为两种类别。其一是只针对DNS响应报文中回复部分的伪造，此种伪造相对危害较小，只影响一个主机名 (如将 www.baidu.com 映射到攻击者 IP)。其二是针对DNS响应报文中权威和附加部分的伪造。攻击者将由自己控制的域名当作权威域名服务器域名插入权威区并在附加区给出对应域名与攻击者 IP 的映射关系。伪造记录被本地DNS服务器放入缓存后，当查询目标域内任何一个主机名时，本地服务器会把请求发给伪造的、攻击者控制的“权威域名服务器”。此种方式危害较大，可以殃及整个目标域内的主机。

本地DNS缓存中毒攻击的弊端也很明显，由于需要与本地 DNS服务器处于一个局域网内，该攻击对攻击者的物理位置做了限制，因此很难在现实中使用，大部分缓存中毒攻击都采用远程攻击实现。

远程 DNS 缓存中毒攻击

远程 DNS 缓存攻击应用范围更为广泛，但其难度较本地也显著增加。由于不同局域网内不能嗅探 DNS 请求数据包，远程攻击很难获取报文的两个数据：一是UDP的源端口号，二是 DNS 响应报文头部的交易 ID，二者皆为 16 比特。因此，远程 DNS 攻击需要猜测至少32位数据。然而猜测所需的时间往往超过本地 DNS服务器得到真实回答并存入缓存的时间，接受后 LDNS 就不再向权威服务器发起请求，这就会导致攻击者伪造的回复失去作用，攻击失败。因此，远程DNS缓存中毒攻击若想成功，必须想办法让 LDNS 持续发出查询请求。而当本地 DNS 的缓存失效后，伪造报文才会被接受。因此，远程DNS缓存中毒攻击需要完成三个任务：

(1) 令标 DNS 服务器发出查询报文；

(2) 伪造回复；

(3) 使缓存失效。

Kaminsky攻击是第一个成功实现的远程缓存中毒攻击。一方面，它通过发送DNS请求给目标DNS服务器触发服务器发送请求；另一方面，这种攻击手段通过不断查询随机化的域名、针对性的伪造授权记录从而绕过缓存失效的束。

具体而言，Kaminsky攻击方动访问不存在的域名，这种域名在名称服务器的缓存中并不存在，因此不存在缓存时限问题。

具体攻击方式及图示如下：

攻击者向被攻击DNS服务器询问一个随机产生的域名。

被攻击 DNS 服务器向权威域名服务器请求。

攻击者发送大量回复，猜测源端口号和交易 ID。

猜对则本地 DNS 服务器接受其中的 IP 和 NS 记录，污染被攻击 DNS 服务器的缓存。

猜错了，重新开始用另一个随机产生的域名查询实施新一轮攻击。

DNS反射放大攻击

DNS 反射放大攻击是 DDos 攻击 (分布式拒绝服务攻击) 的一种。“放大”是指诱发一个与发送的原始包请求不成比例的服务器响应。这种攻击主要利用 DNS 应答报文比请求包大的特点，以沿途DNS服务器为放大器，从而实现放大流量。

在DNS反射放大攻击中，攻击者通过将 DNS 报文的源地址修改为受攻击者地址，同时面向大量互联网公共递归请求海量的全记录类型域名查询，将应答包的流量引入受害的服务器，从而造成被攻击者的网络带宽、服务器性能资源的耗尽。这种攻击的对象是主机 (终端用户) 。在 DNS 放大攻击期间，攻击者将一个伪造的 IP 地址发送到一个开放的 DNS 解析器中，促使它使用 DNS 响应报文回复该地址。无数的伪造查询被发送出去，并且有若干 DNS 解析器同时回复。这样受害者的网络很容易被大量DNS 响应所淹没。

普通 Dos 攻击的常见流程如下：

僵尸主机群发起大量的 (随机) 伪造域名的 DNS 请求。

收到请求的 DNS 服务器查询本地数据，如不存在则来到③。

本地服务器缓存中对应项不存在，向下一个DNS服务器请求。流程2、3多次重复。

僵尸主机群的 DNS 请求被逐级放大，大量占用目标服务器的资源。