DNS 劫持漏洞

1. DNS 缓存投毒（DNS Cache Poisoning）

• 描述： 攻击者通过伪造 DNS 响应向 DNS 缓存注入恶意数据，导致域名解析结果错误，使得用户访问恶意网站。这种攻击通常利用 DNS 协议的漏洞，例如：允许未经授权的主机发送 DNS 响应。
• 漏洞特性： 缓存投毒攻击的根本问题是 DNS 服务器在解析过程中未能有效验证响应的来源和内容，特别是在未启用 DNSSEC 的情况下。
• 常见漏洞：
  • 未启用 DNSSEC：DNSSEC 可以为 DNS 数据提供签名，防止被篡改。没有 DNSSEC 保护的 DNS 服务器容易受到缓存投毒攻击。
  • DNS 随机化不足：早期的 DNS 协议使用固定的端口和查询 ID，这使得攻击者可以通过猜测正确的响应来进行缓存投毒。现代 DNS 协议已经通过随机化这些值来增强安全性，但仍然可能存在一些实现缺陷。

2. DNS 重绑定（DNS Rebinding）

• 描述： DNS 重绑定攻击利用浏览器对 DNS 响应的缓存机制，绕过同源策略（Same-Origin Policy）从而访问用户本地网络中的内网设备。攻击者通过控制恶意网站的 DNS 服务器，将目标域名解析到不同的 IP 地址，使得浏览器被诱导与本地网络设备进行交互。
• 漏洞特性： DNS 重绑定攻击能够突破浏览器的安全模型，允许恶意网站访问用户网络中的私有 IP 地址。
• 防范措施：
  • 对敏感服务启用防火墙并禁止外部访问。
  • 配置 Web 服务器和应用程序，使其能够识别和防范跨域请求。

3. DNS 域传送漏洞（DNS Zone Transfer Vulnerability）

• 描述： DNS 域传送是一种从 DNS 服务器请求并复制 DNS 区域数据的机制。如果 DNS 服务器配置错误，攻击者可能通过域传送请求获得关于该域的完整 DNS 记录信息，包括子域名和其他敏感信息。
• 漏洞特性： 许多 DNS 服务器默认允许域传送，特别是没有做出访问控制的公开 DNS 服务器。攻击者可以利用这一点获取所有的 DNS 记录。
• 防范措施：
  • 配置 DNS 服务器，只允许受信任的 IP 地址进行域传送。
  • 使用访问控制列表（ACLs）来限制域传送请求。

4. DNS Tunneling（DNS 隧道）

• 描述： DNS 隧道是一种利用 DNS 协议的漏洞，将非 DNS 数据封装在 DNS 查询和响应中进行传输的方法。攻击者可以用这种技术绕过防火墙、网络过滤器和其他安全机制。
• 漏洞特性： DNS 协议本身是很难被过滤和检测的，因此 DNS 隧道可以被用来进行数据泄露或绕过网络监控系统。
• 防范措施：
  • 使用深度包检查（DPI）来识别 DNS 隧道流量。
  • 限制或监控 DNS 流量，并通过内容过滤器查找不寻常的 DNS 请求模式。
  • 禁用不必要的 DNS 查询类型。

5. DNS 放大攻击（DNS Amplification Attack）

• 描述： DNS 放大攻击是一种利用 DNS 服务器的开放递归功能进行的分布式拒绝服务（DDoS）攻击。攻击者向开放的 DNS 服务器发送伪造的请求，将流量反射到受害者地址，从而造成带宽耗尽。
• 漏洞特性： 许多 DNS 服务器被配置为开放递归解析器，这使得攻击者能够利用它们放大流量并发起攻击。
• 防范措施：
  • 配置 DNS 服务器仅对内部或受信任的 IP 地址提供递归解析。
  • 启用反射和放大防护，例如使用流量限制和过滤措施。

6. DNS over HTTPS (DoH) 和 DNS over TLS (DoT) 安全性问题

• 描述： DNS over HTTPS (DoH) 和 DNS over TLS (DoT) 是用于加密 DNS 查询的协议，防止 DNS 查询被窃听或篡改。但它们也带来了新的挑战，如绕过 DNS 内容过滤，阻止 DNS 服务器被管理和监控，或导致 DNS 解析过程的泄漏等。
• 漏洞特性：
  • 绕过防火墙：如果 DoH 或 DoT 配置不当，恶意用户可以绕过公司或家庭网络的 DNS 过滤机制。
  • DNS 泄漏：即使使用加密 DNS 查询，也可能因为配置不当导致部分 DNS 流量通过非加密通道传输，造成数据泄露。
• 防范措施：
  • 在网络中强制要求使用特定的 DNS 服务并禁止未授权的 DoH/DoT 流量。
  • 配置防火墙或代理来监控和过滤加密 DNS 流量。

7. DNS 反向解析漏洞

• 描述： DNS 反向解析是通过 IP 地址查询对应的域名。如果 DNS 服务器的反向解析区域配置不当，攻击者可以通过滥用反向 DNS 查询来识别内部系统或敏感服务的名称。
• 漏洞特性： 攻击者可以利用此漏洞识别出网络中的设备，从而为后续攻击提供线索。
• 防范措施：
  • 配置反向 DNS 解析时避免公开内部网络信息。
  • 限制反向解析查询的访问权限。