一、DNS 基础与安全重要性DNS域名系统是互联网的电话簿负责把人类可读的域名如example.com转换成机器可读的 IP 地址如 1.2.3.4。几乎所有的网络应用都依赖DNS没有 DNS用户就没法通过域名访问网站、发邮件、用 APP。DNS 是互联网的基础服务也是非常关键的基础设施。正因为 DNS 如此重要它也成为攻击者的重点目标。DNS 一旦出问题影响范围非常大——可能导致整个网站无法访问、邮件收发失败、应用无法使用、用户被钓鱼等。而且 DNS 协议设计比较早本身存在很多安全缺陷容易被攻击和利用。DNS 安全是网络安全中非常基础也非常重要的一块是每个网安从业者都应该掌握的知识点。二、常见 DNS 安全漏洞与攻击1. DNS 域传送漏洞DNS Zone TransferDNS 服务器支持域传送功能允许从主 DNS 服务器把整个域名的所有记录复制到从服务器用于主从同步。但如果配置不当允许任何人都能进行域传送攻击者就能获取整个域名的所有 DNS 记录包括子域名、IP 地址、服务器类型等信息相当于拿到了目标的网络地图为后续攻击提供极大便利。危害泄露大量子域名和 IP 信息帮助攻击者扩大攻击面泄露内部网络结构和服务器信息可能发现测试环境、后台系统等隐蔽资产。检测方法用 dig、nslookup 等工具测试是否允许域传送命令如 digdns_server example.com axfr。2. DNS 缓存投毒DNS Cache Poisoning攻击者通过伪造 DNS 响应包让DNS 缓存服务器缓存错误的域名解析结果把用户引导到攻击者的恶意网站。用户输入正确的域名却被解析到错误的IP访问到钓鱼网站或恶意网站而用户自己完全察觉不到。经典的 DNS 缓存投毒攻击如 Kaminsky 攻击利用 DNS 的事务 ID 和源端口的可预测性实现投毒。危害用户被劫持到钓鱼网站账号密码被盗用户下载恶意软件设备被入侵网站流量被劫持造成业务损失和声誉损失。3. DNS 劫持攻击者通过各种手段篡改 DNS 解析结果把域名指向错误的 IP。实现方式有很多种入侵 DNS 服务器直接修改记录、入侵路由器修改 DNS 设置、运营商层面的 DNS 劫持、本地 Hosts 文件篡改、恶意软件篡改 DNS 设置等。和缓存投毒不同DNS 劫持是直接篡改了 DNS 记录或配置而不是欺骗缓存。危害和缓存投毒类似用户被引导到恶意网站可能被用于流量劫持、广告注入、钓鱼诈骗等企业内网 DNS 被劫持可能导致内部系统无法访问或数据泄露。4. DNS 隧道DNS Tunneling攻击者利用 DNS 协议传输非 DNS 数据把DNS 作为隐蔽通信的隧道。因为 DNS 通常不会被防火墙拦截很多企业的防火墙允许DNS 流量自由通过攻击者就把恶意数据、命令、文件等编码到 DNS 查询和响应中通过 DNS 隧道实现数据外泄、远程控制、绕过防火墙等目的。危害数据泄露把内部数据通过 DNS 偷偷传出去远程控制通过 DNS 隧道控制内网的被控机器绕过防火墙和上网行为管理访问被禁止的内容。5. DDOS 攻击DNS 放大攻击利用 DNS 协议的特点发起分布式拒绝服务攻击。DNS 请求包很小但响应包可能很大比如 ANY 查询攻击者伪造源 IP 向大量开放的 DNS 递归服务器发送请求所有响应都涌向被攻击的目标 IP形成放大效应把目标的带宽打满。DNS 放大攻击是常见的 DDoS 攻击方式之一放大倍数可以达到几十倍甚至上百倍。危害目标服务器带宽被占满无法正常提供服务业务中断造成经济损失和声誉损失。6. 子域名接管Subdomain Takeover某个子域名解析到了一个已经失效的第三方服务如云存储、CDN、SaaS 平台等但 DNS 记录没有删除。攻击者可以去注册这个失效的服务然后就接管了这个子域名子域名的内容完全由攻击者控制。这是一种常见但容易被忽视的安全问题。危害攻击者可以在子域名上搭建钓鱼网站可以利用子域名的信任关系绕过同源策略窃取 Cookie可以发布恶意内容损害品牌声誉。7. DNS 重绑定DNS Rebinding攻击者控制一个域名让这个域名的 DNS 解析在短时间内从攻击者的 IP 切换到目标内网的 IP利用浏览器的同源策略漏洞让攻击者的网页脚本可以访问内网资源。这种攻击可以穿透防火墙从外网攻击内网系统。危害攻击内网的 Web 服务、管理后台、IoT 设备等窃取内网数据利用内网作为跳板进一步攻击。三、DNS 安全完整防御方案1. 关闭不必要的域传送严格限制 DNS 域传送的 IP 范围只允许授权的从服务器进行域传送绝对不能开放给所有人。用 ACL、IP 白名单等方式控制域传送权限。定期检查 DNS 服务器配置确保域传送没有被错误开放。2. 部署 DNSSECDNSSECDNS 安全扩展通过数字签名技术保证 DNS 响应的真实性和完整性防止 DNS 缓存投毒和数据篡改。虽然部署和运维稍微复杂一点但这是从协议层面防御 DNS 欺骗的根本方案。重要的域名建议部署 DNSSEC。3. 使用安全的 DNS 服务器选择可靠、安全的 DNS 服务商定期升级 DNS 服务器软件版本及时修补安全漏洞。不要使用来历不明的 DNS 服务器。自建 DNS 服务器要做好安全加固关闭不必要的功能限制访问权限。4. 配置 DNS 递归查询限制如果 DNS 服务器不需要为公众提供递归查询服务就关闭递归功能只做权威解析。开放的递归 DNS 服务器不仅可能被用于放大攻击也增加了缓存投毒的风险。如果必须提供递归服务要严格限制访问范围做好安全防护。5. DNS 隧道检测与防护部署 DNS 安全检测设备或系统监控异常的 DNS 流量比如异常长的域名、异常多的 DNS 请求、罕见的查询类型等识别和阻断 DNS隧道。同时可以配置 DNS 防火墙过滤恶意域名和可疑的 DNS 查询。6. 防 DDoS 攻击对于 DNS 服务器部署 DDoS 防护设备或服务能够抵御DNS 放大攻击等 DDoS 攻击。同时优化 DNS 服务器配置限制查询速率防止被打垮。使用 Anycast、CDN 等技术分散流量提升抗攻击能力。7. 定期清理 DNS 记录定期检查和清理 DNS 记录及时删除已经失效的子域名解析特别是指向第三方服务的记录防止子域名接管。建立 DNS 变更管理流程所有DNS 记录的增删改都要有审批和记录。8. 客户端安全终端用户要使用安全可靠的 DNS 服务器如公共 DNS、加密DNS不要随便使用陌生的 DNS。开启 DNS-over-HTTPSDoH或 DNS-over-TLSDoT等加密 DNS 服务防止 DNS 查询被窃听和篡改。定期检查本机的 DNS设置和 Hosts 文件防止被恶意篡改。9. 内网 DNS 安全企业内网的 DNS 服务器要特别注意安全加固限制访问范围做好访问控制。内网 DNS 不要暴露到公网。内网域名和公网域名分开管理防止内网信息泄露。10. 监控与审计对 DNS 服务器的运行状态、查询日志、异常流量进行持续监控及时发现和响应安全事件。保留 DNS 查询日志便于事后溯源和取证。四、常见误区觉得 DNS 只是个基础服务没什么安全问题DNS 是关键基础设施出问题影响很大攻击手段也很多只防护公网 DNS不管内网 DNS内网 DNS 被入侵可能导致整个内网被渗透觉得用了 HTTPS 就不需要 DNS 安全HTTPS 只能保证传输加密防不了DNS 劫持和投毒DNS 记录加了就不管了失效的 DNS 记录可能导致子域名接管要定期清理开放递归 DNS 服务器没什么风险开放递归可能被用于 DDoS 放大攻击也增加了投毒风险五、DNS 安全检测方法1. 域传送漏洞检测用 dig axfr、nslookup 等工具测试 DNS 服务器是否允许匿域传送2. DNSSEC 检测检查域名是否部署了 DNSSEC验证签名是否有效3. 子域名枚举用子域名扫描工具如 subfinder、amass 等枚举所有子域名检查是否有失效的、可被接管的子域名4. DNS 隧道检测分析 DNS 流量检查是否有异常的域名格式、异常的查询频率、异常的响应大小等5. DNS 服务器配置审计检查 DNS 服务器的配置是否安全是否关闭了不必要的功能权限控制是否到位6. 缓存投毒测试测试 DNS 服务器是否容易受到缓存投毒攻击检查源端口是否随机、事务 ID 是否随机等。