你须要知道的“DNS劫持”--web安全篇（1）

原文连接

1、前言

背景：在一次CTO面试过程当中，忽然问起了我，平时开发过程当中有没有遇到过DNS劫持的状况，啊，啥是DNS劫持？脑子忽然蹦出全部的DNS的知识点，回忆以前工做遇到的问题，很凌乱，最终回答不知道。努力学习的我回来抓紧作功课，因而才有了这篇文章。

DNS劫持（DNS Hijacking）：又被称为域名劫持，DNS重定向（DNS direaction）,是一种DNS攻击方式。便是DNS查询没有获得正确的解析，以至引导user访问到恶意的网站，从而窃取用户隐私，或者进行某些恶意的操做。

DNS劫持 vs HTTP劫持

开始正式介绍DNS劫持以前，先与HTTP劫持作一个比较，可能有助于有些同窗对下文更容易理解更深刻一点。

DNS劫持现象：你输入一个google.com网址，出来的是百度的页面

HTTP劫持现象：访问着github的页面，右下角出现了一个格格不入的广告弹窗

比如：

DNS劫持是你想去机场的时候，把你给丢到火车站。 HTTP劫持是你去机场途中，有人给你塞小广告、

2、什么是DNS

理解dns劫持以前，先来回忆一下dns是如何工做的

DNS(Domin Name System or Domain Name Service)，域名解析系统(服务) ：在网络世界中，服务器（server）是经过IP 地址标识的，网站（client）经过端口80/443 （http/https）能够访问，所以有些网站（没有限制IP访问的）直接经过ip地址也是能够访问的。DNS的责任就是将难以记忆的IP地址映射成对用户友好，易于记忆的域名。有了这样的映射表（:notes:注意，不是一对一关系，一个服务器（IP）能够对应多个域名），这样用户能够直接输入域名就能够经过DNS 服务器查到对应的服务器IP地址。

好比咱们在终端命令 dig https://www.tungee.com/(探迹科技)就能够看到对应的服务器IP(49.99.141.230)了

从www.tungee.com 到 49.99.141.230的过程就叫作域名解析，域名解析须要由专门的域名解析服务器来完成

注：通常的网站会选择放在虚拟主机，且在主机上放置了不少个网站，而每一个网站绑定1个或以上域名。虽然主机上有多个站点，但当用户访问某个站点时，服务器会根据http报文信息（域名），访问对应站点的部署目录，从而实现一台服务器上配置多个站点，即便有多个网站，也不会相互干扰。但使用IP访问，主机不知道用户访问的具体目录，请求便会出现异常状况。）

3、DNS解析原理

1.查询步骤

从上图（图片来源网络，如侵权请联系删）能够大概看出大致的步骤：

1. 客户端（浏览器）发送一个域名（例如www.tungee.com）解析请求，先检查浏览器缓存中有没有对应域名解析的IP地址，若是有直接返回。

2. 若是用户浏览器缓存没有查到的话，会先到操做系统的hosts文件中查找（据说ios设备没有该步骤，待验证），有对应的域名IP地址的话直接返回。

3. 若是本地hosts文件没有查到，会向外网的本地区域名服务器（Local DNS）发起查询请求，本地服务器收到请求以后，会先查询本地缓存，若是有的话会直接返回。

   本地区域名服务器一般性能都会很好，它们通常都会缓存域名解析结果，固然缓存时间是受域名的失效时间控制的，通常缓存空间不是影响域名失效的主要因素。大约90%的域名解析都到这里就已经完成了，因此LDNS主要承担了域名的解析工做。

4. 若是LDNS缓存没有结果的话，会向跟域名服务器发起请求，根域名（Root Server）返回来的是一个所查询域（根的子域，例如.com）的主域名服务器（gTLD Server）的地址，gTLD是国际顶级域名服务器，如.com，.cn、.org等。据说全球只有13台左右。

5. 接着，本地服务器再向上一步返回来的域名服务器下发送请求。

6. 接受请求的gTLD服务器查找并返回此域名对应的Name Server域名服务器的地址，这个Name Server一般就是你注册的域名服务器，例如你在某个域名服务提供商申请的域名，那么这个域名解析任务就由这个域名提供商的服务器来完成。

7. 获得了Name Server 服务器地址以后，Local DNS 再次向Name server 服务器发送请求，Name Server提供商是你申请的域名提供商，所以Name Server域名服务器会查询存储的域名和IP的映射关系表，正常状况下都根据域名获得目标IP记录。

8. Local DNS 获得了www.tungee.com对应的ip地址与TTL值（Time to live 的缩写，也就是上面的588这个值）以后，会根据这TTL值缓存这个域名与ip的对应关系。

9. 最终把该ip地址返回给浏览器

2.dig+域名 命令的输出解读

虽然最终只返回了一个ip地址，可是查询的过程仍是很是复杂的，分多个步骤，利用dig命令（windows 下须要额外装dig工具）能够大概知道这个查询过程。

dig tungee.com 
复制代码

随后会出现如下几节信息

• 第一段是dig工具版本，查询参数和统计信息

  

• 第二段是查询内容

  

• 第三段是DNS服务器的答复

  

  上面结果显示，tungee有1个A记录，即1个IP地址。 588是TTL值（Time to live 的缩写），表示缓存时间，即588秒以内不用从新查询。

• 第四段显示 tungee.com的NS记录（Name Server的缩写），即哪些服务器负责管理tungee.com的DNS记录

  

  上面结果显示 tungee.com共有2条NS记录，即2个域名服务器，向其中任一台查询就能知道 tungee.com的IP地址是什么。

• 第五段是上面2个域名服务器的IP地址，这是随着前一段一块儿返回的

  

• 第六段是DNS服务器的一些传输信息

  

  上面结果显示，本机的DNS服务器是192.168.1.253，查询端口是53（DNS服务器的默认端口），以及回应长度是418字节。

更多关于dig命令与解读，请能够看参考列表连接或者自行谷歌，百度。

3.DNS服务器

上面第六段截图中

；； SERVER: 202.96.128.86#53
复制代码

上面这个就是当前电脑的DNS服务器ip地址，这个DNS服务器的ip地址是自动分配（固然也能够自定义）的，当用户联网时，宽带运营商会分配一个DNS服务器，这个服务器一般状况下时最快，距离最近的服务器。

上图就是window电脑的当前电脑分配的DNS服务器，Mac，Linux系统DNS服务器IP地址保存在/etc/resolv.conf文件中

若是用户由于某些网络问题，安全问题须要手动设置DNS服务器也是能够的

上图就是window设置DNS服务器页面，关于手动设置公共DNS服务器IP地址能够阅读公共DNS哪家强？

4.域名的层级

从查询的步骤来看,域名是有层级的。

举个例子来讲,www.tungee.com 真正的域名是www.tungee.com.root

由于全部的域名的根域名都是.root 因此默认都是省掉的

根域名的下一级叫作‘顶级域名’（top-level domain），好比.com .net

再下一级则是"次级域名"（second-level domain），好比www.tungee.com里面的tungee,这级域名用户是能够注册的。

再下一级是主机名（host），好比www.tungee.com里面的www，又称为"三级域名"，这是用户在本身的域里面为服务器分配的名称，是用户能够任意分配的。

主机名.次级域名.顶级域名.根域名

www.tungee.com.root

5.分级查询的实例演示

咱们已经介绍过了域名的层级，那是具体怎么样分级查询的呢

咱们能够利用dig命令来显示每一级的域名记录查询过程。

dig +trace www.tungee.com
复制代码

每一级域名都有本身的NS记录，NS记录指向（后面跟着）就是该级的域名服务器，这些服务器知道下一级域名的各类记录（类比电话簿，记录着域名与ip地址映射关系）。

大体分级查询的过程以下：

• 首先本地DNS服务器向根域名发起请求，
• "根域名服务器"查到"顶级域名服务器"的NS记录和A记录（IP地址）
• 从"顶级域名服务器"查到"次级域名服务器"的NS记录和A记录（IP地址）
• 从"次级域名服务器"查出"主机名"的IP地址

仔细琢磨，你就会发现本地DNS服务器怎么知道根域名的ip地址呢？

回答是根域名服务器目前全球一共只有十三台，从下面截图能够看出从a.root-servers.net.到m.root-servers.net.,它们对应的ip地址，已经内置在本地DNS服务器中了

上面的截图大概分红4段

1.第一段

根据内置的根域名服务器IP地址，DNS服务器向全部这些IP地址发出查询请求，询问www.tungee.com的顶级域名服务器com的NS记录。

2.第二段

接着向j.root-server.net返回来的13条.com域名的NS记录，同时也返回来每一条的IP地址（这里并非每一条都显示），而后DNS再向这些顶级域名服务器发出查询请求。查询tungee.com次级域名的NS记录

3.第三段

一样，最早返回来的结果的是i.gtld-server.net域名服务器查询的结果，分别有2条NS记录，同时返回来每一条NS记录对应的IP地址，DNS服务器再向以上两台NS服务器查询tungee.com的主机ip地址

4.第四段

最早返回来的dns10.hichina.com这个NS域名服务器的查询结果（A,Address，返回来的ip地址记录），获得ip地址以后，DNS服务器缓存起来，返回来浏览器

4、DNS劫持的方法以及防范

从上面能够知道DNS解析原理，解析步骤，在dns解析过程当中，有哪一环节出现问题的话，均可能会致使DNS解析错误，致使客户端（浏览器）获得一个假的ip地址，从而引导用户访问到这个冒名顶替，恶意的网站。

DNS劫持带来的危害：

1.钓鱼诈骗

2.网上购物支付安全

3.泄露我的隐私

4.轻则影响网速，重则不能上网

1.DNS劫持的方法

下面大概说几种DNS劫持方法

1.本机DNS劫持

攻击者经过某些手段使用户的计算机感染上木马病毒，或者恶意软件以后，恶意修改本地DNS配置，好比修改本地hosts文件，缓存等

2. 路由DNS劫持

不少用户默认路由器的默认密码，攻击者能够侵入到路由管理员帐号中，修改路由器的默认配置

3.攻击DNS服务器

直接攻击DNS服务器，例如对DNS服务器进行DDOS攻击，能够是DNS服务器宕机，出现异常请求，还能够利用某些手段感染dns服务器的缓存，使给用户返回来的是恶意的ip地址

4.......

2.DNS的防范

就这上面的劫持方法，说几种方法手段

1.增强本地计算机病毒检查，开启防火墙等，防止恶意软件，木马病毒感染计算机

2.改变路由器默认密码，防止攻击者修改路由器的DNS配置指向恶意的DNS服务器

3.企业的话能够准备两个以上的域名，一旦一个域名挂掉，还可使用另外一个

4.用HTTP DNS 代替 Local DNS

对于DNS劫持，每每单靠我的设置很难解决，若是已经出现了劫持现象的话，对电脑进去杀毒，清理，检查hosts文件，核查网络设置的DNS配置（可使用写公共的DNS服务器）

最后，查了不少资料才写了这篇文章，补充本身这方面的知识点，后面考虑继续写关于web安全--ddos攻击，xss，csrf等

Reference

下面是参考，补充文章，感谢如下文章做者提供的思路

• How to Prevent DNS Hijacking
• What is a DNS hijacking / redirection attack
• 黑客技术？没你想象的那么难！——dns劫持篇
• 深刻理解Http请求、DNS劫持与解析
• 如何使用Dig命令在Linux中查询DNS记录
• 从dig查询结果看DNS的A记录和NS记录
• TCP/UDP端口列表