第二章TCP/IP協(xié)及其安全隱患-DNS協(xié)議及其安全隱患計算機系統(tǒng)與網(wǎng)絡(luò)安全技術(shù)DNS協(xié)議及安全隱患域名、域名解析及域名解析系統(tǒng)域名是一串用點分隔的字符組成的互聯(lián)網(wǎng)上某一臺計算機或計算機組的名稱域名解析是指域名與之所對應(yīng)的主機的IP地址之間的相互轉(zhuǎn)換域名解析系統(tǒng)（DNS，DomainNameSystem)是一種分布式的網(wǎng)絡(luò)目錄服務(wù)，其主要功能是實現(xiàn)域名和IP地址之間的相互轉(zhuǎn)換。DNS已經(jīng)成為非常重要的信息基礎(chǔ)設(shè)施DNS協(xié)議及安全隱患域名解析協(xié)議的查詢問題字段DNS資源記錄（DNSResourceRecords）IP地址和域名映射等資源的集合DNS服務(wù)器（DNSNameServer）提供域名解析服務(wù)的服務(wù)器DNS解析器（resolver）向域名服務(wù)器提出查詢請求并將結(jié)果返回給客戶的程序DNS主要包括資源記錄、服務(wù)器和解析器comorgcnedunet/org/uk/…educom/org/…uestcwwwbbsccseme/ee/…ManagedbyUESTCUESTCManagedbyRegistrationAuthorityDNS協(xié)議及安全威脅域名的層次結(jié)構(gòu)DNS協(xié)議及安全隱患域名解析協(xié)議域名解析協(xié)議是指域名解析系統(tǒng)所采用的協(xié)議域名解析協(xié)議屬于應(yīng)用層協(xié)議DSN既可以使用UDP協(xié)議，也可以使用TCP協(xié)議DNS協(xié)議及安全隱患域名解析協(xié)議標(biāo)識查詢問題標(biāo)志01531問題數(shù)資源記錄數(shù)授權(quán)資源記錄數(shù)額外資源記錄數(shù)回答（資源記錄數(shù)可變）授權(quán)（資源記錄數(shù)可變）額外信息（資源記錄數(shù)可變）DNS協(xié)議及安全隱患域名解析協(xié)議的標(biāo)志字段QR01531OpcodeAAQCRDRA（zero）rcodeQR：0表示查詢報文，1表示響應(yīng)報文Opcode：通常值為0（標(biāo)準(zhǔn)查詢），其他值為1（反向查詢）和2（服務(wù)器狀態(tài)請求）AA：表示授權(quán)回答（authoritativeanswer）TC：表示可截斷的（truncated）RD：表示期望遞歸RA：表示可用遞歸隨后3bit必須為0Rcode：返回碼，通常為0（沒有差錯）和3（名字差錯）DNS協(xié)議及安全隱患域名解析協(xié)議的查詢問題字段查詢類型查詢類查詢名DNS協(xié)議及安全隱患域名解析協(xié)議的查詢問題字段查詢名（變長）是要查找的名字，它由一個或者多個標(biāo)示符序列組成。每個標(biāo)示符已首字節(jié)數(shù)的計數(shù)值來說明該標(biāo)示符長度，每個名字以0結(jié)束。計數(shù)字節(jié)數(shù)必須是0~63之間。查詢類型（2字節(jié)）每個問題有一個查詢類型，通常查詢類型為A（由名字獲得IP地址）或者PTR（獲得IP地址對應(yīng)的域名）查詢類（2字節(jié)）通常為1，指Internet數(shù)據(jù)。DNS協(xié)議及安全隱患域名解析協(xié)議的查詢問題字段標(biāo)識符1標(biāo)識符2標(biāo)識符n長度標(biāo)識0計數(shù)結(jié)束標(biāo)志DNS協(xié)議及安全隱患域名解析協(xié)議的查詢問題字段類型

助記符

說明01 A IPv4地址02 NS 名字服務(wù)器05 CNAME 規(guī)范名稱，定義主機的正式名字的別名06 SOA 開始授權(quán)，標(biāo)記一個區(qū)的開始11 WKS 熟知服務(wù)，定義主機提供的網(wǎng)絡(luò)服務(wù)12 PTR 指針，把IP地址轉(zhuǎn)化為域名。13 HINFO 主機信息，給出主機使用的硬件和操作系統(tǒng)的表述15 MX 郵件交換，把郵件改變路由送到郵件服務(wù)器28 AAAA IPv6地址252 AXFR 傳送整個區(qū)的請求255 ANY 對所有記錄的請求DNS協(xié)議及安全隱患域名解析協(xié)議的查詢問題字段類型類域名生存時間資源數(shù)據(jù)長度資源數(shù)據(jù)客戶端本地DNS服務(wù)器0其他DNS①DNS查詢?②DNS查詢?③DNS應(yīng)答0④DNS應(yīng)答0⑤HTTP請求⑥HTTP應(yīng)答DNS協(xié)議及安全威脅域名解析服務(wù)迭代（iterative）如果服務(wù)器查找不到對應(yīng)的記錄，會返回另一個可能知道結(jié)果的域名服務(wù)器的IP地址給查詢的發(fā)起者遞歸（recursive）當(dāng)客戶向DNS服務(wù)器提出請求之后，如果不能從該服務(wù)器本地得到解析，由該DNS服務(wù)器向其他DNS服務(wù)器發(fā)出請求，直到得到查詢結(jié)果或出現(xiàn)超時錯誤為止DNS協(xié)議及安全威脅DNS有兩種查詢方式DNS解析有兩種方式：迭代和遞歸DNS協(xié)議及安全隱患域名解析協(xié)議的脆弱性NS沒有提供認(rèn)證機制DNS使用高速緩存DNS系統(tǒng)的軟件實現(xiàn)存在較多漏洞DNS配置比較復(fù)雜易導(dǎo)致安全缺陷本地DNS服務(wù)器受害客戶端①?ID=111④=ID=111DNS協(xié)議及安全威脅DNS域名服務(wù)器劫持用戶認(rèn)為的正常DNS請求DNS服務(wù)器受害客戶端①?ID=111②?ID=36③=和一些其他被篡改的記錄，ID=36④=ID=111DNS協(xié)議及安全威脅DNS緩存污染攻擊DNS服務(wù)器受害客戶端①?ID=111②=ID=111攻擊者DNS協(xié)議及安全威脅DNSID劫持攻擊DNS服務(wù)器受害客戶端②=ID=xxxx大量猜測ID的偽造應(yīng)答數(shù)據(jù)包攻擊者①?ID=xxxx發(fā)出大量查詢③?④=DNS協(xié)議及安全威脅DNSID欺騙攻擊DNS查詢請求DNS服務(wù)器組攻擊者被攻擊者①?ID=xxxx發(fā)出大量查詢，F(xiàn)romIP=②=大量應(yīng)答DNS協(xié)議及安全威脅DNS泛洪攻擊DNS服務(wù)器組攻擊者被攻擊者①?ID=xxxx發(fā)出大量查詢，F(xiàn)romIP=②=大量應(yīng)答DNS協(xié)議及安全威脅DNS泛洪攻擊攻擊者①?ID=xxxx發(fā)出大量查詢DNS協(xié)議及安全威脅D