DNS劫持原理?如何处理DNS劫持?

DNS 劫持是在用户通过域名系统访问目标的时候劫持域名解析的回包,目标域名会被恶意地指向其他恶意 IP 地址,造成用户无法正常使用服务,甚至造成弹广告、挂马、搜集账号密码、DDoS更加严重的危害。本文主要介绍了DNS劫持原理以及如何处理DNS劫持。

一、DNS劫持原理

DNS劫持最直接的手段是通过入侵 DNS 服务器,获取攻击目标域名的解析记录控制权,之后修改攻击目标域名的解析结果,等到 TTL 时间生效之后,所有对该域名的访问由原 IP 地址指向修改后的恶意 IP。DNS 劫持的后果就是对被修改域名记录的网址不能访问, 甚至访问到虚假网址,导致用户数据被盗、被挂马的严重危害。

通常的 DNS 查询没有强大的认证机制作为安全保证,而且 DNS 查询通常基于无连接 不可靠的 UDP 协议,因此 DNS 的查询非常容易被篡改,通过对 UDP 端口 53 上的 DNS 查 询进行侦听,一经发现与关键词相匹配的请求,则立即伪装成目标域名的解析服务器(NS, Name Server)给查询者返回虚假结果,从而实现窃取资料或者破坏原有正常服务的目的。 还有一种手段是黑客伪造权威 DNS 服务器的应答,对缓存 DNS 服务器进行污染。

二、如何处理DNS劫持

1.DNS劫持对策 

DNS劫持往往是针对个人,分布在不同的运营商和不同的网络中。就个人而言,针对 DNS劫持,可以采用使用国外免费公用的 DNS服务器解决,例如 GoogleDNS(8.8.8.8); 针对 DNS 污染,可以使用 VPN 或者域名远程解析的方法解决,但这大多需要购买付费的 VPN 或 SSH 等,还可以通过修改本地 Host 文件的方法,手动设置域名正确的 IP 地址,但 这样会大大提高维护成本。

对于服务提供方,需要对 DNS 劫持进行持续的检测。大量的终端布点可以检测 DNS 劫持的情况,帮用户针对劫持向运营商投诉。同时,现在越来越多的互联网厂商开始使用 HTTPDNS 服务,能够从一定程度上缓解 DNS 劫持的影响。

HTTPDNS 基本原理如下图:

 

2.如何使用 HTTPDNS 服务 

开通服务,在 HTTPDNS 服务提供商出注册账号,开通 HTTPDNS 服务。 

控制台添加域名

在HTTPDNS提供商的服务台申请HTTPDNS服务,这可能涉及费用(一般的HTTPDNS 服务提供商会有一定的免费查询次数,如果超过了这个次数就需要额外的费用)。假设我们 通过控制台获得了 HTTPDNS 服务商提供的账号,就直接在控制台上提价所需要解析的域 名记录,一般几分钟之后会在 HTTPDNS 服务端生效。

使用 HTTPDNS 解析域名 

使用 HTTPDNS 解析域名,可以使用类似下面的方式进行。http://httpdns-service.com? host=www.yourdomain.com,其中 http://httpdns-service.com 是 HTTPDNS 的提供方,www. yourdomain.com 是需要解析的域名。具体的 API 接口规范可参考 HTTPDNS 的服务提供商。

客户端集成 HTTPDNS 

在通过 HTTPDNS 设置获得域名的 IP 地址后,客户端应用能够利用这个 IP 发起业务请求。

参考文献:《云原生应用架构实践》 网易云基础服务架构团队 著

https://sq.163yun.com/blog/article/221404388877201408