DNS劫持漏洞

1. DNS缓存投毒（DNS Cache Poisoning）

• 描述： 攻击者通过伪造DNS响应向DNS缓存注入恶意数据，导致域名解析结果错误，使得用户访问恶意网站。这种攻击通常利用DNS协议的漏洞，例如：允许未经授权的主机发送DNS响应。
• 漏洞特性： 缓存投毒攻击的根本问题是 DNS 服务器在解析过程中未能有效验证响应的来源和内容，特别是在未启用 DNSSEC 的情况下。
• 常见漏洞：
  • 未启用DNSSEC：DNSSEC可以为DNS数据提供签名，防止被篡改。没有DNSSEC保护的DNS服务器容易受到缓存投毒攻击。
  • DNS 随机化不足：早期的DNS协议使用固定的端口和查询ID，这使得攻击者可以通过猜测正确的响应来进行缓存投毒。现代DNS协议已经通过随机化这些值来增强安全性，但仍然可能存在一些实现缺陷。

2. DNS重绑定（DNS Rebinding）

• 描述： DNS重绑定攻击利用浏览器对DNS响应的缓存机制，绕过同源策略（Same-Origin Policy）从而访问用户本地网络中的内网设备。攻击者通过控制恶意网站的DNS服务器，将目标域名解析到不同的IP地址，使得浏览器被诱导与本地网络设备进行交互。
• 漏洞特性： DNS重绑定攻击能够突破浏览器的安全模型，允许恶意网站访问用户网络中的私有IP地址。
• 防范措施：
  • 对敏感服务启用防火墙并禁止外部访问。
  • 配置Web服务器和应用程序，使其能够识别和防范跨域请求。

3. DNS域传送漏洞（DNS Zone Transfer Vulnerability）

• 描述： DNS域传送是一种从DNS服务器请求并复制DNS区域数据的机制。如果DNS服务器配置错误，攻击者可能通过域传送请求获得关于该域的完整DNS记录信息，包括子域名和其他敏感信息。
• 漏洞特性： 许多DNS服务器默认允许域传送，特别是没有做出访问控制的公开DNS服务器。攻击者可以利用这一点获取所有的DNS记录。
• 防范措施：
  • 配置DNS服务器，只允许受信任的IP地址进行域传送。
  • 使用访问控制列表（ACLs）来限制域传送请求。

4. DNS Tunneling（DNS隧道）

• 描述： DNS隧道是一种利用DNS协议的漏洞，将非DNS数据封装在DNS查询和响应中进行传输的方法。攻击者可以用这种技术绕过防火墙、网络过滤器和其他安全机制。
• 漏洞特性： DNS协议本身是很难被过滤和检测的，因此DNS隧道可以被用来进行数据泄露或绕过网络监控系统。
• 防范措施：
  • 使用深度包检查（DPI）来识别DNS隧道流量。
  • 限制或监控DNS流量，并通过内容过滤器查找不寻常的DNS请求模式。
  • 禁用不必要的DNS查询类型。

5. DNS放大攻击（DNS Amplification Attack）

• 描述： DNS放大攻击是一种利用DNS服务器的开放递归功能进行的分布式拒绝服务（DDoS）攻击。攻击者向开放的DNS服务器发送伪造的请求，将流量反射到受害者地址，从而造成带宽耗尽。
• 漏洞特性： 许多DNS服务器被配置为开放递归解析器，这使得攻击者能够利用它们放大流量并发起攻击。
• 防范措施：
  • 配置DNS服务器仅对内部或受信任的IP地址提供递归解析。
  • 启用反射和放大防护，例如使用流量限制和过滤措施。

6. DNS over HTTPS (DoH) 和 DNS over TLS (DoT) 安全性问题

• 描述： DNS over HTTPS (DoH) 和 DNS over TLS (DoT) 是用于加密DNS查询的协议，防止DNS查询被窃听或篡改。但它们也带来了新的挑战，如绕过DNS内容过滤，阻止DNS服务器被管理和监控，或导致DNS解析过程的泄漏等。
• 漏洞特性：
  • 绕过防火墙：如果DoH或DoT配置不当，恶意用户可以绕过公司或家庭网络的DNS过滤机制。
  • DNS泄漏：即使使用加密DNS查询，也可能因为配置不当导致部分DNS流量通过非加密通道传输，造成数据泄露。
• 防范措施：
  • 在网络中强制要求使用特定的DNS服务并禁止未授权的DoH/DoT流量。
  • 配置防火墙或代理来监控和过滤加密DNS流量。

7. DNS反向解析漏洞

• 描述： DNS反向解析是通过IP地址查询对应的域名。如果DNS服务器的反向解析区域配置不当，攻击者可以通过滥用反向DNS查询来识别内部系统或敏感服务的名称。
• 漏洞特性： 攻击者可以利用此漏洞识别出网络中的设备，从而为后续攻击提供线索。
• 防范措施：
  • 配置反向DNS解析时避免公开内部网络信息。
  • 限制反向解析查询的访问权限。