一、DNS基础知识：

1.DNS简介:

DNS 域名服务，用于建立 域名与 ip地址的 一对一 映射。DNS 将域名转换为 IP地址，以便浏览器能够加载 Internet 资源。

类似于一个翻译系统，将xxx.com 翻译为 ip地址（如：192.0.2.254），这种转换发生在幕后，因此用户只需记住域名，而不需要记住难记的IP

2.DNS数据包：

DNS数据包使用UDP进行封装，至于为什么使用UDP进行封装，可参考 为什么DNS使用UDP协议？

下面是DNS报文格式：

• Transaction ID（16bit）：事务ID，区分DNS应答报文对应哪个请求报文，DNS查询报文与DNS响应报文的会话ID相同，表示是对这个查询作出的响应。

• Queries：其中包括查询的域名，查询的类型，查询的类。

  查询的类型，通常是A类型，表示要查的是域名对应的IP地址。第3节会进行详细介绍。

  查询类：地址类型，通常为互联网地址，值为1

• Answers：一般在响应包，在请求包为空，主要包括name，type，address等，name表示要查的域名，type表示类型，同queries区域的类型，address 即返回的IP地址。

若想知道详细报文格式，可参考DNS报文格式解析（非常详细）

3.DNS记录类型：

DNS记录是用于解析的数据，最常见的3种记录为：NS记录、A记录、CNAME记录。

NS记录

如果DNS给你回应一条NS记录，就是告诉你，这个家伙是这个域的权威DNS，有事你去问它。

比如在com的DNS里，记录着baidu.com这个域的DNS，长的大概是这个样子：

baidu.com.  NS  ns1.baidu.com.
baidu.com.  NS  ns2.baidu.com.
baidu.com.  NS  ns3.baidu.com.

这三条记录，就是说ns1.baidu.com、ns2.baidu.com、ns3.baidu.com(以下简称ns1、ns2、ns3)都是baidu.com域的权威DNS，问任意其中一个都可以（一般都是顺序问的，如果连不上第一个，就去找第二个）。

注意，域名后面会比我们平时见到的多一个“.”，这就代表了根，严格地说，所有域名后面都应该有这一个“.”的，比如完整的www.baidu.com域名应该是www.baidu.com.，也可以把所有域名都看作有一个.root的后缀，比如www.baidu.com.root，但由于每个域名都有这个后缀，所以干脆就都省略了。

当然在com的权威域名服务器，也记录ns1，ns2，ns3这几个的ip地址，会一并返回让解析器去找这几个服务器解析。

A记录

A记录就是最经典的域名和IP的对应，在ns1.baidu.com里面，记录着百度公司各产品的域名和IP的对应关系，每一个这样的记录，就是一个A记录，比如下面的3个A记录（随意举的例子，IP都是随意写的）。

image.baidu.com   A   1.2.3.4wenku.baidu.com   A   5.6.7.8tieba.baidu.com   A   9.10.11.12

如果有人问ns1.baidu.com：“wenku.baidu.com的IP是多少？”，ns1就会找到对应的A记录或者CNAME记录并返回。

CNAME记录

这种记录比较有趣，你问DNS一个域名，它回CNAME记录，意思是说，你要解析的这个域名，还有另一个别名，你去解析那个好了。

比如，在ns1中，其实并没有www.baidu.com的A记录，而是一个CNAME记录：

www.baidu.com  CNAME  www.a.shifen.com

这就是在告诉递归解析器，www.baidu.com的别名是www.a.shifen.com，去解析www.a.shifen.com吧

其他记录类型

4.DNS服务器类型：

DNS递归解析器

也可以当作local DNS，也称为DNS解析器。是DNS查询中的第一站，作为客户端与 DNS 域名服务器的中间人。从 Web 客户端收到 DNS 查询后，递归解析器将使用缓存的数据进行响应，或者将向根域名服务器发送请求，接着向 TLD 域名服务器发送另一个请求，然后向权威性域名服务器发送最后一个请求。收到来自包含已请求 IP 地址的权威性域名服务器的响应后，递归解析器将向客户端发送响应。

大多数 Internet 用户使用他们 ISP 提供的递归解析器，但还有其他可用选择；例如 Google的8.8.8.8。

根域名服务器

一共有13个根域名服务器（并不表示只有13台计算机，13种类型），解析器查询的第一站，根域名接收到查询后，告知相应的顶级域名服务器（TLD DNS）所在域地址，如.com域。

顶级域名服务器

例如，.com TLD 域名服务器包含以“.com”结尾的每个网站的信息。如果用户正在搜索 baidu.com，则在收到来自根域名服务器的响应后，递归解析器将向 .com TLD 域名服务器发送查询，然后将通过针对该域的权威性域名服务器进行响应。

权威域名服务器

    递归解析的最后一站，查找IP地址的最后一步。此时根据要查询的域名，返回相应的IP地址或其他类型记录。

5.DNS解析过程：

客户端在浏览器输入example.com,去进行访问，需要找到该域名的IP地址。

1.向DNS 递归解析器（DNS Resolver）发送查询，优先查看缓冲区是否存在记录，若没有 ，继续 2。

2.向根域名服务器发出查询。

3.根域名服务器给出.com （TLD）顶级域名服务器的地址。

4.然后，DNS解析器向 .com TLD Server 发出请求。

5.TLD 服务器随后使用该域的域名服务器 example.com 的 IP 地址进行响应。

6.最后，递归解析器将查询发送到example.com的权威域名服务器。

7.权威域名服务器将example.com 的 IP 地址响应给解析器。

8.然后 DNS 解析器将最初请求的域的 IP 地址响应 Web 浏览器，并在自己的高速缓存，记录下来，以备下次使用，不用再次查询。

DNS 查找的这 8 个步骤返回 example.com 的 IP 地址后，浏览器便能发出对该网页的请求：

9.浏览器向该 IP 地址发出 HTTP 请求。

10.位于该 IP 的服务器将网页返回。

二、攻击原理：

这里引用，清华大学团队的原理图，进行解释。

trudy是一个偏离信道的攻击者（off-path），即不可以进行监听和篡改 递归解析器 到权威域名服务器 信道上的内容，trudy拥有一定的IP spoof 能力。

• Trudy 通过web浏览器访问 www.bank.com，假如此时 resolver 缓存中并无此记录。

• 解析器进行递归查询，向根域名服务器，顶级域名服务器，以及权威域名服务器发出查询。

• 攻击者Trudy此时使用 bank.com的权威域名服务器IP地址，伪造 回应报文向 解析器发送。 该回应报文解析的IP地址，指向攻击者自己的服务器。

• 解析器收到Trudy假冒的DNS响应报文之后，将 www.bank.com对应的假冒 IP =6.6.6.6 写入缓存。

• 待真正的响应报文到达解析器时，为时已晚，此时解析器发现已经有了相应的记录，会进行丢弃

• 这时 用户 Alice 想要访问www.bank.com,通过解析器查看自己的错误缓存表，会访问到一个错误的IP，得到一个攻击者伪造一模一样的错误页面。（此时如果用户输入各种账号密码，会被窃取。）

但真正的攻击却不是如此简单，根据上文介绍的DNS协议数据包，IP头|UDP头|DNS

攻击者伪造的响应数据包，如下：

注意：

这里的目的端口与事务ID都是未知的，攻击者如果想要同时爆破这两个字段，目的端口两个字节，事务ID两个字节，一共 232$2^{32}$种可能，目前不太可能实现。

DNS权威域名服务器 响应的源端口 一般是确定的53端口， DNS 解析器客户端以前也默认用源端口53去查询，这样随机性只靠TxID，很容易进行攻击 ，216,65536种可能。 2008年7月，Dan Kaminsky就利用了这个。因此，为了有效的防御，DNS解析器采取了源端口随机化。

为了解决上述问题，在这篇论文中，清华大学安全团队，提出了一种分治的思想，即先通过ICMP侧信道探测开放的端口，后猜测相应事务ID，一共 217 种可能。

另外，相应的扩大攻击窗口的时间，可更容易的实现这种进攻。

推测源端口

    这里只介绍其中的一个 Private Source Port Scan Method。首先了解一下以下知识：

   IP速率限制： 比如IP 速率限制 为 1/s ，即在1秒这段时间内只限1个IP访问DNS解析器上的端口。

   ICMP速率限制：表示在这段时间内，DNS解析器最多能发出的ICMP响应报文个数。比如：ICMP 速率限制为 50 /20ms ，这里表示 在20ms内只能返回50个ICMP响应。比如攻击者以 1000/20ms 的速度进行探测端口，这里只能返回50个ICMP不可达报文。

   侧信道攻击：大体意思是，攻击者借助服务器进行响应的一些信息，发动攻击。

 端口探测：意思是通过向DNS解析器发送UDP报文，遍历目的端口，如果端口未开放，则会返回ICMP不可达报文，如果开放，不会收到响应报文

 临时端口：只对权威域名服务器开放，攻击者并不知晓，所以要用到IP欺骗，伪造权威域名服务器的IP发送UDP探测报文。

在上图中，假设解析器的ICMP速率限制为 50/20ms, 攻击者通过伪造权威域名服务器的IP，向解析器发送50个探测UDP报文，那么攻击者以自己的IP再向解析器发送一个UDP报文，如果没收到任何ICMP回复，说明已达到ICMP速率限制，可进行下一个20ms的探测，不断循环。如果此时收到回复，说明至少有一个端口是开放的。可通过二分查找，查找开放的端口。

但是 存在IP速率限制怎么办？

假如IP速率限制为1个/秒，即在这一秒内只允许一个IP访问解析器。在这篇论文中提到，清华大学安全团队通过观察源码发现，ICMP速率限制 是在IP速率限制之前 进行验证的。所以，即使最后一个IP只返回一个ICMP响应包，但是ICMP 速率限制的计数器是变化的。 所以与上图同理，只在这一方面有些许变化。

论文原图如下：

大约可以每秒1000的速度去探测解析器开放的端口。但是仍需很长时间，所以这就需要去相应扩大攻击窗口。

扩大攻击窗口

攻击窗口，指DNS解析器向服务器发送查询，到权威域名服务器响应报文到达解析器的这段时间。

所以扩大攻击窗口的主要思路，应该集中在阻止响应报文的到达，或延迟响应报文的到达。

通过发送大量的DNS查询来淹没权威域名服务器,类似于攻击者伪造解析器，发送大量DNS query，高于配置限制的速率(服务器上配置的RRL)，会权威域名服务器不发送响应，创建足够高的丢失率。

TTL时间

对于解析器缓冲区而言，可能已经拥有某条记录，但攻击者不得不等待这条记录消失之后，再发动攻击。TTL即表示这条记录的生存时间，时间可能为1天或者更久。

这就很头疼,有没有解决办法？

    有。

    攻击者可以去问类似1.xxx.com、2.xxx.com、3.xxx.com等等这些大概率就完全不存在的域名，由于DNS解析器并没有这些域名的缓存，就会发起查询，假设ns1.xxx.com是foo.com的权威DNS，DNS解析器就会去ns1.xxx.com询问。

Q：要投毒的是www.xxx.com，搞定83.xxx.com有什么意义啊。

A：没错，我们的目标并不是83.xxx.com，这个攻击比较精彩的地方是，可以并不是在应答区做手脚，而是在权威区和附加区行骗！

伪造的响应包，大约是这个样子：

问题区：83.xxx.com A
应答区：（空）
权威区：xxx.com NS www.xxx.com
附加区：www.xxx.com A 6.6.6.6

这个响应的意思是：“我不知道83.xxx.com的A记录，你去问问www.xxx.com吧，它负责xxx.com这个域，对了，他的IP是6.6.6.6”。

而这里的6.6.6.6，就是攻击者意欲让DNS解析器相信的IP地址。