锐客网

  1. 首页 > 睿知 > >

DNS欺骗攻击是什么意思？如何检测和防范DNS欺骗攻击？

睿知

DNS欺骗攻击是什么意思？如何检测和防范DNS欺骗攻击？DNS欺骗就是攻击者冒充域名服务器的一种行为 。那么，我们要如何防范DNS遭受欺骗攻击呢？下面小编以DNS ID欺骗（DNS ID spoofing）为例，给大家介绍DNS欺骗攻击原理及其防护方案 。

DNS欺骗攻击是什么意思？如何检测和防范DNS欺骗攻击？

文章插图
前言：
域名系统（Domain Name System，DNS）是一个将Domain Name和IP Address进行互相映射的Distributed Database 。DNS是网络应用的基础设施，它的安全性对于互联网的安全有着举足轻重的影响 。
一、DNS SERVER的服务工作过程
DNS是一种实现Domain Name和IP Address之间转换的系统，它的工作原理就是在两者间进行相互映射，相当于起到翻译作用，所以称为域名解析系统 。DNS System分为Server和Client两部分，Server的通用Port是53 。当Client向Server发出解析请求时，Local DNS Server第一步查询自身的Database是否存在需要的内容，如果有则发送应答数据包并给出相应的结果;否则它将向上一层DNS Server查询 。如此不断查询，最终直至找到相应的结果或者将查询失败的信息反馈给客户机 。如果Local DNS Server查到信息，则先将其保存在本机的高速缓存中，然后再向客户发出应答 。日常我们上网是通过Browser方式来申请从Domain Name到IP Address的解析，即Client向DNS Server提交域名翻译申请，希望得到对应的IP Address 。这里以笔者所在院校为例，说明DNS的工作原理 。
例如Client的Address为10.252.2.16，学校DNS Server为218.30.19.40，从此客户机来访问西安财经学院网站 。在地址栏键入学校网站的www.xaufe.edu.cn，通过DNS Server查找其对应的IP Address 。这个申请从10.252.2.16的一个随机PORT发送出去，由218.30.19.40的53绑定端口接收到此申请并进行翻译，首先在218.30.19.40的高速缓存中查找www.xaufe.edu.cn的IP Address，若存在对应的映射关系，就直接将IP Address发送给客户机，若缓存中没有，则218.30.19.40会向上层DNS SERVER查询，最后将查询到的结果先发送到218.30.19.40，最后由218.30.19.40将西安财经学院的IP Address（281.195.32.1）返回给Client 10.252.2.16 。这样10.252.2.16就可以和西安财经学院站点建立连接并访问了 。
二、DNS欺骗攻击原理
2.1 欺骗原理
Client的DNS查询请求和DNS Server的应答数据包是依靠DNS报文的ID标识来相互对应的 。在进行域名解析时，Client首先用特定的ID号向DNS Server发送域名解析数据包，这个ID是随机产生的 。DNS Server找到结果后使用此ID给Client发送应答数据包 。Client接收到应答包后，将接收到的ID与请求包的ID对比，如果相同则说明接收到的数据包是自己所需要的，如果不同就丢弃此应答包 。根据攻击者的查询和应答原理，可使用不同方法实现攻击，如：
（1）因为DNS Message仅使用一个简单的认证码来实施真实性验证，认证码是由Client程序产生并由DNS Server返回结果的，客户机只是使用这个认证码来辨别应答与申请查询是否匹配，这就使得针对ID认证码的攻击威胁成为可能 。
（2）在DNS Request Message中可以增加信息，这些信息可以与客户机所申请查询的内容没有必然联系，因此攻击者就能在Request Message中根据自己的目的增加某些虚假的信息，比如增加其它Domain Server的Domain Name及其IP Address 。此时Client在受到攻击的Domain Server上的查询申请均被转向此前攻击者在Request Message中增加的虚假Domain Server，由此DNS欺骗得以产生并对网络构成威胁 。
（3）当DNS Server接收到Domain Name和IP Address相互映射的数据时，就将其保存在本地的Cache中 。若再有Client请求查询此Domain Name对应的IP Address，Domain Server就会从Cache中将映射信息回复给Client，而无需在Database中再次查询 。如果黑客将DNS Request Message的存在周期设定较长时间，就可进行长期欺骗 。

推荐阅读


上一篇：三个土的垚怎么念

下一篇：跟已婚的人同居是否合法