一、DNS协议安全：从劫持到防护的实战之路
大家好，我是老周。做安全十几年了，DNS这块我踩过的坑，比很多人见过的都多。今天咱们就聊聊DNS协议安全——这个话题说大不大，说小不小，但每次出事都是大事。
你想想看，DNS是互联网的“电话本”。电话本被人改了，你打给银行，接电话的却是骗子。这就是DNS劫持的本质。
1.1 DNS劫持与缓存投毒：老问题，新花样
DNS劫持，说白了就是中间人篡改你的DNS应答。我在2018年处理过一个跨国企业的案例——他们的海外分公司访问内部系统，总是跳转到钓鱼页面。查了一圈，发现是当地ISP在骨干网层面做了DNS劫持。
缓存投毒更隐蔽。攻击者不是直接改你的请求，而是往DNS服务器里“下毒”。
核心原理：DNS服务器会缓存查询结果。攻击者伪造应答，让服务器缓存错误的IP地址。后续所有用户都会被引导到恶意站点。
举个例子：
# 正常流程
用户查询 www.example.com → DNS服务器 → 返回真实IP 1.2.3.4
# 缓存投毒后
用户查询 www.example.com → DNS服务器（缓存已被污染） → 返回恶意IP 5.6.7.8为什么会这样？因为早期的DNS协议设计时没考虑安全。UDP无连接、无认证，谁先应答谁就是“真理”。
避坑指南：我曾经见过一个团队，他们自己搭建的DNS服务器完全开放递归查询。结果被攻击者利用做缓存投毒，整个内网瘫痪了4小时。记住：永远不要对外网开放递归查询！
1.2 DNSSEC原理：给DNS加把锁
DNSSEC（DNS Security Extensions）就是来解决这个问题的。它的核心思想很简单：数字签名。
每个DNS记录都附带一个签名。你收到应答后，先验签，再使用。签名对不上？直接丢弃。
我的经验：DNSSEC部署最大的坑不是技术，而是“信任链”。根区签名、顶级域签名、权威服务器签名——任何一个环节断了，整个链就废了。我见过一个金融客户，部署DNSSEC后忘了更新密钥，结果所有外部用户都无法解析他们的域名。
DNSSEC的工作流程：
1. 根区签名（Root Zone Signing）
2. 顶级域签名（TLD Signing）
3. 权威服务器签名（Authoritative Signing）
4. 递归解析器验证签名链
5. 用户获取已验证的DNS记录但DNSSEC也有短板。它只保证数据完整性，不保证机密性。而且部署复杂，很多中小企业根本搞不定。
1.3 DNS over HTTPS/TLS：隐私保护的新方案
说到DNS over HTTPS（DoH）和DNS over TLS（DoT），我得先吐槽一句：这俩东西本质上是“曲线救国”。
DNSSEC解决的是“数据对不对”，DoH/DoT解决的是“谁在查”。你想想看，就算DNS记录是真实的，但你的查询内容被ISP、被攻击者看得一清二楚，这能叫安全吗？
| 特性 | DNS over TLS (DoT) | DNS over HTTPS (DoH) |
|---|---|---|
| 传输层 | 独立端口853 | HTTPS端口443 |
| 可检测性 | 容易被识别 | 混在普通HTTPS流量中 |
| 性能 | 连接复用，延迟低 | HTTP开销，延迟略高 |
| 部署难度 | 中等 | 低（依赖浏览器） |
我个人习惯在企业内网用DoT，因为可控性好。但对外服务，我建议用DoH——你想想看，攻击者连你在查哪个域名都看不出来，这本身就是一种防护。
实战建议：如果你用DoH，记得选靠谱的提供商。Cloudflare的1.1.1.1、Google的8.8.8.8都支持DoH。但别用那些来路不明的公共DNS——你都不知道它会不会记录你的查询日志。
1.4 域名生成算法（DGA）与检测
DGA（Domain Generation Algorithm）是恶意软件的“保命符”。
传统的C2（命令与控制）服务器，IP地址固定，很容易被封。于是攻击者想了个办法：让恶意软件每天生成成千上万个域名，只注册其中几个。你封得完吗？
典型的DGA算法：
# 伪代码示例
def generate_domain(date, seed):
domain = ""
for i in range(16):
char_index = (date + seed + i) % 26
domain += chr(ord('a') + char_index)
domain += ".com"
return domain
# 每天生成不同域名
# 2024-01-01: aqwertyuiopasdf.com
# 2024-01-02: bzxcvbnmlkjhgf.com怎么检测DGA？我总结了几种方法：
- 熵值分析：正常域名有语义，DGA域名像乱码。计算字符分布的熵值，超过阈值就报警。
- N-gram分析：正常域名中“ing”、“com”等组合出现频率高，DGA域名没有这种规律。
- DNS查询模式：DGA域名大量查询但大部分返回NXDOMAIN（域名不存在），这个特征很明显。
- 时间序列分析：DGA域名查询有周期性，比如每天固定时间生成一批新域名。
我曾经踩过的坑：有一次误报率特别高，查了半天发现是某个开发团队用脚本批量注册了测试域名。他们的域名生成逻辑和DGA一模一样——随机字符串+固定后缀。从那以后，我要求所有内部域名注册必须走审批流程，并且禁止使用随机字符串。
1.5 知识体系总览
下面这张图，是我梳理的DNS安全知识体系。你把它记在脑子里，遇到问题就知道从哪入手。
嗯，这张图基本把DNS安全的几个关键点串起来了。你从中心往外看，每个分支都是一个独立的攻防战场。
我的个人习惯：做DNS安全评估时，我一般按这个顺序查：先看递归查询是否开放，再看DNSSEC是否启用，然后抓包分析有没有异常查询模式，最后检查DoH/DoT配置。这个流程走下来，90%的问题都能发现。
好了，DNS协议安全这块，咱们今天就聊到这儿。记住一句话：DNS是互联网的基石，也是攻击者的最爱。你不重视它，它就会给你“惊喜”。