DNS 的工作原理及其风险

域名系统（DNS）会将 example.com 这样的易读名称转换为 93.184.216.34 这样的 IP 地址。几乎每次网络事务都始于 DNS 查询，这使 DNS 成为高价值目标。

如果攻击者控制或操纵名称解析，就可以在不接触应用本身的情况下，悄无声息地将受害者重定向到恶意服务器、拦截流量或窃取数据。了解解析路径是保护它的第一步。

一次典型的递归查询会经过一连串服务器：

• 客户端上的存根解析器（OS）。
• 递归解析器（您的 ISP 或 8.8.8.8），负责完成实际查询工作。
• 根服务器，将查询指向 TLD 服务器。
• TLD 服务器（例如 .com），将查询指向权威服务器。
• 权威服务器，保存实际记录。

每一跳都可能成为拦截或欺骗的切入点。

递归解析器会代表客户端追踪转介结果并缓存结果，从而回答各种查询。权威服务器只回答其负责的区域中的查询，并提供最终确定的数据。

从安全角度看：开放递归解析器可能被滥用于放大攻击，而权威服务器则可能成为区域劫持和注册商遭入侵的目标。请将递归查询限制在您自己的网络内。

分析过程中您会遇到以下记录：

• A / AAAA——IPv4 / IPv6 地址。
• CNAME——指向其他名称的别名（请注意可能导致子域名接管的悬空 CNAME）。
• MX——邮件服务器。
• NS——指向权威服务器的委派。
• TXT——自由文本，用于 SPF、DKIM，也经常被滥用于隧道传输。

传统 DNS 通过UDP 端口 53运行；对于大型响应和区域传送，则回退到TCP 53。UDP 是无连接且无状态的，因此没有握手来证明响应方就是其声称的对象。

查询与响应之间唯一的关联是一个 16 位的事务 ID和源端口。这种薄弱的绑定关系是欺骗和缓存投毒的根本原因。

为了减轻负载，解析器会在记录的 TTL（存活时间）期限内缓存响应。TTL 为 3600 的响应会缓存一小时。

缓存是一把双刃剑：它可以提升性能，但也意味着单个被投毒的响应可能会一直服务于大量受害者，直到 TTL 过期。攻击者经常试图推送较长的 TTL，让恶意条目持续更久。

DNS 暴露出多个攻击面：

• 路径中的欺骗——以快于合法服务器的速度伪造响应。
• 缓存投毒——将错误记录注入解析器缓存。
• 注册商劫持 / 区域劫持——窃取对域名本身的控制权。
• 隧道传输——将数据编码到查询中，以绕过出口控制。
• DDoS 放大攻击——滥用开放解析器充当反射器。

普通 DNS 不提供完整性或真实性保证。只要响应与源 IP、目标端口、查询名称和事务 ID 匹配，就会被信任。路径中的攻击者可以猜到或观察到所有这些信息。

正是这一设计假设（网络是可信的），促成了DNSSEC、基于 TLS 的 DNS（DoT）和基于 HTTPS 的 DNS（DoH）等附加式保护机制的出现。

攻击前，对手会枚举 DNS，以绘制您的网络资产图。配置错误的区域传送（AXFR）可能泄露所有记录。子域名暴力破解和证书透明度日志也会暴露隐藏主机。

防御者应将区域传送限制为已知的辅助服务器，并监控能够表明枚举行为的大批量查询模式。

基于 TLS 的 DNS（端口 853）和基于 HTTPS 的 DNS（端口 443）会加密查询，使路径上的观察者无法读取或篡改查询内容。这可以抑制欺骗攻击并保护隐私。

对防御者而言，代价是：加密 DNS 可能使您自己的过滤和监控失去可见性。许多企业会强制客户端使用受控的 DoH/DoT 解析器，而不是让终端自行选择外部解析器。

针对解析路径的实用加固措施：

• 运行内部递归解析器；阻止直接向互联网发出的出站端口 53 流量。
• 在权威服务器上禁用开放递归。
• 限制并记录 AXFR 区域传送。
• 在注册商处锁定域名（注册局锁定、MFA）。
• 监控查询量和熵，以发现隧道传输和枚举行为。

您已了解 DNS 解析会沿着从存根解析器到根服务器、TLD 服务器和权威服务器的链路进行，且响应会按 TTL 缓存。由于传统的 UDP/53 DNS 缺乏身份验证，因此容易遭受欺骗、缓存投毒、劫持、隧道传输和放大攻击。

主要防御措施包括：限制递归访问、限制区域传送、注册商锁定、加密传输（DoT/DoH）和 DNSSEC。接下来，我们将详细探讨欺骗和缓存投毒。