美國服務(wù)器DNS緩存欺騙是 DNS記錄更改，導致惡意重定向流量的結果。美國服務(wù)器DNS 緩存欺騙可以通過(guò)直接攻擊 DNS 美國服務(wù)器主機，或通過(guò)任何形式的專(zhuān)門(mén)針對 DNS 流量的中間人攻擊來(lái)執行。下面美聯(lián)科技小編就來(lái)具體介紹下美國服務(wù)器DNS緩存欺騙的內容。

美國服務(wù)器DNS 緩存欺騙以一種利用 DNS 通信結構的方式明確地工作，當 DNS 美國服務(wù)器主機嘗試在域上執行查找時(shí)，它會(huì )將請求轉發(fā)到根權威 DNS，并沿著(zhù) DNS 美國服務(wù)器主機鏈向下查詢(xún)，直到它到達域上的權威 DNS 美國服務(wù)器主機。

由于本地 DNS 美國服務(wù)器主機不知道具體哪個(gè)服務(wù)器負責對應哪個(gè)域，并且不知道到每個(gè)權威服務(wù)器的完整路由，因此只要回復與查詢(xún)匹配并且格式正確，它就會(huì )從任何地方接受對其查詢(xún)的回復。

因此攻擊者利用在回復本地 DNS 美國服務(wù)器主機時(shí)，擊敗實(shí)際的權威 DNS 美國服務(wù)器，這樣做本地 DNS 美國服務(wù)器主機將會(huì )使用攻擊者的 DNS 記錄，而不是實(shí)際的權威答案。由于 DNS 的性質(zhì)，本地 DNS 美國服務(wù)器主機無(wú)法確定回復的真實(shí)性。

由于 DNS 美國服務(wù)器主機將在內部緩存查詢(xún)，因此每次請求域時(shí)，不必花費時(shí)間查詢(xún)權威美國服務(wù)器主機，從而加劇了這種攻擊。而這同時(shí)帶來(lái)了另一個(gè)問(wèn)題，因為如果攻擊者可以擊敗權威DNS 美國服務(wù)器主機進(jìn)行回復，那么攻擊者記錄將被本地 DNS 美國服務(wù)器主機緩存，這意味著(zhù)任何使用本地DNS美國服務(wù)器主機的用戶(hù)都將獲得攻擊者記錄，可能會(huì )重定向所有使用該本地 DNS 美國服務(wù)器主機的用戶(hù)，都可以訪(fǎng)問(wèn)攻擊者的網(wǎng)站。

美國服務(wù)器DNS 緩存欺騙攻擊的案例：

案例一：生日攻擊的盲目響應偽造

美國服務(wù)器DNS 協(xié)議交換不驗證對遞歸迭代查詢(xún)的響應，驗證查詢(xún)只會(huì )檢查 16 位事務(wù) ID 以及響應數據包的源 IP 地址和目標端口。在 2008 年之前，所有 DNS 使用固定端口53 解析，因此除了事務(wù) ID 之外，欺騙 DNS 回復所需的所有信息都是可預測的。用這種弱點(diǎn)攻擊 DNS 被稱(chēng)為【生日悖論】，平均需要 256 次來(lái)猜測事務(wù) ID。

為了使攻擊成功，偽造的 DNS 回復必須在合法權威響應之前到達目標解析器。如果合法響應首先到達，它將由解析器緩存，并且直到其生存時(shí)間TTL到期，解析器將不會(huì )要求權威服務(wù)器解析相同的域名，從而防止攻擊者中毒映射該域。

案例二：竊聽(tīng)

許多增強 DNS 安全性的新提議包括源端口隨機化，0x20 XOR 編碼，WSEC-DNS，這些都取決于用于身份驗證的組件的不對稱(chēng)可訪(fǎng)問(wèn)性。 換句話(huà)說(shuō)，它們通過(guò)隱匿而不是通過(guò)身份驗證和加密的機密性來(lái)提供安全性。它們的唯一目標是如上所述，防止盲目攻擊使用這些安全方法，仍然使 DNS 容易遭受受損和網(wǎng)絡(luò )竊聽(tīng)者的輕微攻擊，以打破并執行如上所述的相同攻擊，這次沒(méi)有盲目猜測。

即使在交換環(huán)境中，也可以使用 ARP 中毒和類(lèi)似技術(shù)強制所有數據包進(jìn)入惡意計算機，并且可以擊破這種混淆技術(shù)。

美聯(lián)科技已與全球多個(gè)國家的頂級數據中心達成戰略合作關(guān)系，為互聯(lián)網(wǎng)外貿行業(yè)、金融行業(yè)、IOT行業(yè)、游戲行業(yè)、直播行業(yè)、電商行業(yè)等企業(yè)客戶(hù)等提供一站式安全解決方案。關(guān)注美聯(lián)科技，了解更多IDC資訊！