域名服务器缓存污染
 |
本条目需要补充更多来源。 （2013年1月8日） |
 |
本条目需要編修，以確保文法、用詞、语气、格式、標點等使用恰当。 |
域名服務器緩存投毒（DNS cache poisoning），又名域名服務器緩存污染（DNS cache pollution），是指一些刻意製造或無意中製造出來的域名服務器封包，把域名指往不正確的IP位址。一般來說，在互聯網上一般都有可信賴的域名服務器，但為減低網絡上的流量壓力，一般的域名都會把外部的域名服務器資料暫存起來，待下次有其他機器要求解析域名時，可以立即提供服務。一旦有關網域的局域域名服務器的緩存受到污染，就會把網域內的電腦導引往錯誤的服務器或伺服器的網址。
域名服務器緩存污染可能是透過域名服務器軟件上的設計錯誤而產生，但亦可能由別有用心者透過研究開放架構的域名服務器系統來利用當中的漏洞。
為防止局域的域名服務器緩存污染除了要定時更新服務器的軟件以外，可能還需要人手變更某些設定，以控制服務器對可疑的域名封包作出篩選[1]。
緩存污染攻擊[编辑]
一般來說，一部連上了互聯網的電腦都會使用互聯網服務供應商提供的域名服務器。這個服務器一般只會服務供應商的客戶，通常都會將部分客戶曾經請求過的域名暫存起來，這種伺服器被稱為非權威伺服器，其應答稱非權威應答。緩存污染攻擊就是針對這一種服務器，以影響服務器的用戶或下游服務。
中国防火長城[编辑]
在中國大陆，對所有经过防火長城的在UDP的53端口上的域名查询进行IDS入侵检测，一經發現與黑名單關鍵詞相匹配的域名查詢請求，會馬上伪装成目标域名的解析服务器返回虚假的查詢结果。由于通常的域名查询没有任何认证机制，而且域名查詢通常基于无连接不可靠的UDP協議，查询者只能接受最先到达的格式正确结果，并丢弃之后的结果。[2]
- 对于不了解相关知识的网民来说，由于系统默认使用的ISP提供的域名查詢服務器查询国外的权威服务器时即被防火長城污染，進而使其缓存受到污染，因此默认情况下查询ISP的服务器就会获得虚假IP地址；而用户直接查询境外域名查詢服務器（比如 Google Public DNS）時有可能會直接被防火長城污染，从而在没有任何防范机制的情况下仍然不能获得目標網站正确的IP地址。[2]
- 由于受限于TCP连接的可靠性，防火长城理论上未对TCP协议下的域名查询进行污染，故现在能通过强制使用TCP协议查询真实的IP地址。而现实的情况是，防火长城对於真实的IP地址也可能会采取其它的手段进行封锁，或者对查询行为使用连接重置的方法进行拦截，故能否真正访问可能还需要其它翻墙的手段。
虚假IP地址[编辑]
根据互联网上长期收集到的污染目标IP地址列表，防火长城会将黑名单内的域名重新導向至不限于以下列表的IP地址：[3]
- 4.36.66.178
- 8.7.198.45
- 37.61.54.158
- 46.82.174.68
- 59.24.3.173
- 64.33.88.161
- 64.33.99.47
- 64.66.163.251
- 65.104.202.252
- 65.160.219.113
- 66.45.252.237
- 72.14.205.99
- 72.14.205.104
- 78.16.49.15
- 93.46.8.89
- 128.121.126.139
- 159.106.121.75
- 169.132.13.103
- 192.67.198.6
- 202.106.1.2
- 202.181.7.85
- 203.98.7.65
- 203.161.230.171
- 207.12.88.98
- 208.56.31.43
- 209.36.73.33
- 209.145.54.50
- 209.220.30.174
- 211.94.66.147
- 213.169.251.35
- 216.221.188.182
- 216.234.179.13
- 243.185.187.39
一个比较特别的例子是Google+的域名 plus.google.com 被重新導向至Google自己的服务器 74.125.127.102、74.125.155.102、 74.125.39.113 还有 209.85.229.138 上以封锁ip地址的形式进行封锁。
IPv6隧道则会被重新導向至 1.1.1.1 和 255.255.255.255。
污染攻击大事记[编辑]
- 2010年3月，当美国和智利的用户试图访问热门社交网站如facebook.com和youtube.com还有twitter.com等域名，他们的域名查询请求转交给中国控制的DNS根镜像服务器处理，由于这些网站在中国被封锁，结果用户收到了错误的DNS解析信息，这意味着防火长城的DNS域名污染域名劫持已影响国际互联网。
- 2010年4月8日，中国大陆一个小型ISP的错误路由数据，经过中国电信的二次传播，扩散到了整个国际互联网，波及到了AT&T、Level3、Deutsche Telekom、Qwest Communications和Telefónica等多个国家的大型ISP。
- 2012年11月9日下午3点半开始，防火长城对Google的泛域名 .google.com 进行了大面积的污染，所有以 .google.com 结尾的域名均遭到污染而解析错误不能正常访问，其中甚至包括不存在的域名，而Google为各国定制的域名也遭到不同程度的污染（因为Google通过使用CNAME记录来平衡访问的流量，CNAME记录大多亦为 .google.com 结尾），但Google拥有的其它域名如 .googleusercontent.com 等则不受影响。有网友推测这也许是自防火长城创建以来最大规模的污染事件，而Google被大面积阻碍连接则是因为中共正在召开的十八大。
- 2014年1月21日下午三点半，中国互联网顶级域名解析不正常，出錯網站解析到的網址是65.49.2.178，這個IP位於美國北卡羅來納州的Dynamic Internet Technology，即自由门的开发公司[4][5]。
參見[编辑]
參考資料[编辑]
- ^ 1.0 1.1 如何防止 DNS 快取侵害. Microsoft 技術支援服務. 2007-02-28 [2008-08-21].
- ^ 2.0 2.1 深入了解GFW：DNS污染. 2009-11-27 [2011-02-06].
- ^ GFW DNS 污染 IP 列表. 2010-01-06.
- ^ http://www.cna.com.tw/news/acn/201401210456-1.aspx
- ^ 2014 年 1 月 21 日中国互联网根域名服务器 (DNS) 故障是什么原因？ - 知乎.
外部連結[编辑]
- BIND 9 DNS Cache Poisoning - Discovered by Amit Klein (Trusteer)
- Predictable transaction IDs in Microsoft DNS server allow cache poisoning
- SANS DNS cache poisoning update
- DNS Threats & Weaknesses: research and presentations
- Blocking Unwanted Domain Names Creative Usage of the Hosts File
- Dnsstuff.com's DNS Vulnerability Check Test to see if you are Vulnerable
- Security-Database Tools Watch PorkBind Scanner for 13 DNS Flaws including the DNS Poisoning
- Movie explaining DNS Cache Poisioning
