域名服务器缓存污染

網域伺服器快取污染（DNS cache pollution）或DNS污染，是指由于防火长城自动执行DNS劫持攻击导致DNS服务器缓存了错误记录的现象。而域名服务器缓存投毒（DNS cache poisoning）和DNS缓存投毒指由防火长城执行的DNS劫持攻击。污染一词可能取自域名系统域名解析之特性，若递归DNS解析器查询上游时收到错误回复，所有下游也会受影响。

缓存污染攻擊[编辑]

DNS劫持是一类旁观者攻击，攻击者借由其在网络拓扑中的特殊位置，发送比真实的DNS回应更早到达攻击目标的伪造DNS回应。一部連上了互聯網的電腦一般都會使用互聯網服務供應商提供的递归DNS服务器，這個服务器通常都會將部分客戶曾經請求過的域名暫存起來。快取污染攻擊就是針對這一特性，影響服务器的使用者或下游服務。

中国防火長城[编辑]

防火长城向查询zh.wikipedia.org的DNS请求注入伪造回复（使用dig测试）

在中國大陆，對所有经过防火長城（英語：Great Firewall，常用簡稱：GFW）的在UDP的53端口上的域名查询进行IDS入侵检测，一經發現與黑名單關鍵詞相匹配的域名查詢請求，會馬上伪装成目标解析服务器注入伪造的查詢结果。攻击仅出现在DNS查询之路由经过防火长城时^{[註 1]}。伪造的查询结果中的IP地址不是一成不变的，在一段时间后会更新。^[1]^[2]

对于TCP协议下的域名查询，防火长城可使用TCP重置攻击的方法进行干扰。

互联网服务提供商[编辑]

中国大陆的互联网服务提供商经常劫持部分域名，转到自己指定的网站，以提供自己的广告，方式为劫持域名不存在时返回的NXDOMAIN记录（Non-existent domain）返回自己服务器的IP，从而跳转至自己的服务器上显示广告等内容。

2021年，香港於1月起無法訪問網站「香港編年史」，傳媒消息稱警方要求網絡供應商封鎖網站。^[3]^[4]「香港編年史」於1月6日更改IP位址，但再次被封，共用同一IP的網站都無法訪問，包括麻醉科臨床藥理期刊（Journal of Anaesthesiology Clinical Pharmacology, JOACP）及美國機械人科技公司Apptronik。

2021年起^{[註 2]}，部分域名通过互联网服务提供商提供的DNS被劫持到国家反诈中心app的推广页面^{[註 3]}。^{[來源請求]}

应对[编辑]

DNSSEC技术为DNS解析服务提供了解析数据验证机制，理论上可以有效抵御劫持。此外，DNSCrypt、DoT、DoH等方法通过将DNS请求封装于安全连接内，以保护DNS请求中的数据不被中间传输设备篡改。

注释[编辑]

^ 中国大陆用户查询当地的DNS服务器收到错误结果是缓存所致，其并没有直接受到防火长城的DNS劫持攻击。
^ 从哪个月开始不可考
^ 例如：http://182.43.124.6 （中国电信）、http://39.102.194.95 （中国联通）、http://101.35.177.86 （中国移动）

参考文献[编辑]

^ Anonymous; Arian Akhavan Niaki; Nguyen Phong Hoang; Phillipa Gill; Amir Houmansadr. Triplet Censors: Demystifying Great Firewall’s DNS Censorship Behavior (PDF). 10th USENIX Workshop on Free and Open Communications on the Internet (FOCI 20). 2020-08-11. While other countries tend to use NXDOMAIN or reserved IP address space, China’s use of a range of public IP addresses owned by a variety of organizations is notable.
^ 深入了解GFW：DNS污染. 2009-11-27 [2011-02-06]. （原始内容存档于2020-12-14）.
^ 載警員個人資料「香港編年史」網站無法連線　消息：警方國安處首引用《港區國安法》封網. [2021-01-12]. （原始内容存档于2021-01-15）.
^ 警疑封編年史新IP 株連數百網站 IT人批損香港營商環境. [2021-01-12]. （原始内容存档于2021-01-12）.

參見[编辑]

外部連結[编辑]

BIND 9 DNS Cache Poisoning - Discovered by Amit Klein (Trusteer)
Predictable transaction IDs in Microsoft DNS server allow cache poisoning
SANS DNS cache poisoning update
DNS Threats & Weaknesses: research and presentations
Blocking Unwanted Domain Names（页面存档备份，存于互联网档案馆） Creative Usage of the Hosts File
Security-Database Tools Watch PorkBind Scanner for 13 DNS Flaws including the DNS Poisoning
Movie explaining DNS Cache Poisioning

[1] 中国大陆用户查询当地的DNS服务器收到错误结果是缓存所致，其并没有直接受到防火长城的DNS劫持攻击。

[6] 从哪个月开始不可考

[7] 例如：http://182.43.124.6 （中国电信）、http://39.102.194.95 （中国联通）、http://101.35.177.86 （中国移动）

[foci20-2] Anonymous; Arian Akhavan Niaki; Nguyen Phong Hoang; Phillipa Gill; Amir Houmansadr. Triplet Censors: Demystifying Great Firewall’s DNS Censorship Behavior (PDF). 10th USENIX Workshop on Free and Open Communications on the Internet (FOCI 20). 2020-08-11. While other countries tend to use NXDOMAIN or reserved IP address space, China’s use of a range of public IP addresses owned by a variety of organizations is notable.

[gfw-3] 深入了解GFW：DNS污染. 2009-11-27 [2011-02-06]. （原始内容存档于2020-12-14）.

[4] 載警員個人資料「香港編年史」網站無法連線　消息：警方國安處首引用《港區國安法》封網. [2021-01-12]. （原始内容存档于2021-01-15）.

[5] 警疑封編年史新IP 株連數百網站 IT人批損香港營商環境. [2021-01-12]. （原始内容存档于2021-01-12）.

[註 1]

[1]

[2]

[3]

[4]

[註 2]

[註 3]