很多朋友一聽“黑客技術(shù)”四個(gè)字第一反應(yīng)就是終端里滾動(dòng)的綠色字符、幽暗屏幕前的神秘人以及電影里那種敲幾下鍵盤就能黑進(jìn)對(duì)方系統(tǒng)的場(chǎng)面。真正接觸安全這一行之后你會(huì)發(fā)現(xiàn)相當(dāng)一部分被媒體報(bào)道成“黑客攻擊”的事件底層原理并沒有想象中那么玄乎。就拿DNS劫持來說——這可能是普通用戶和中小企業(yè)遇到頻率最高的網(wǎng)絡(luò)安全問題之一而它的原理、排查方法和防御手段半天時(shí)間就能理清楚。這篇文章的話題是“黑客技術(shù)沒你想象的那么難——DNS劫持篇”但我想說的不是它不值得重視恰恰相反正是因?yàn)樵黹T檻不高它才會(huì)被大規(guī)模使用每年都有大量站點(diǎn)和普通家庭網(wǎng)絡(luò)栽在上面。理解這一點(diǎn)你才能更好地保護(hù)自己和手上的業(yè)務(wù)。文章會(huì)從DNS的工作鏈路講起拆解常見劫持類型再給出一套可以照著做的排查流程和加固方案最后復(fù)盤一個(gè)我處理過的真實(shí)案例已脫敏。無論你是剛接觸安全的小白還是維護(hù)著網(wǎng)站、后臺(tái)甚至只是家里路由器被人動(dòng)過的普通用戶都能從中找到能直接上手的部分。1. 先說結(jié)論DNS劫持為什么屬于“原理不難”的攻擊方式1.1 DNS的日常完整鏈路一次訪問背后的多次問答要理解劫持先得知道DNS平時(shí)是怎么干活的。你在瀏覽器里輸入一個(gè)域名比如example.com背后其實(shí)有一連串的“問路”動(dòng)作。瀏覽器先去查本地緩存看自己之前有沒有記錄過這個(gè)域名對(duì)應(yīng)哪個(gè)IP地址沒查到就去問操作系統(tǒng)操作系統(tǒng)再查系統(tǒng)級(jí)的DNS緩存還沒有就會(huì)去看本地一個(gè)叫hosts的靜態(tài)映射文件如果hosts里也沒有系統(tǒng)才會(huì)把請(qǐng)求發(fā)給你配置的DNS服務(wù)器。這還不是終點(diǎn)你配置的DNS服務(wù)器如果也不知道它還得替你去問根域名服務(wù)器、問頂級(jí)域名服務(wù)器、最后問到example.com的權(quán)威域名服務(wù)器拿到最終答案后再一層層傳回來。整個(gè)過程看起來環(huán)節(jié)很多但每一步邏輯都非常簡(jiǎn)單。唯一的麻煩是這條鏈路實(shí)在太長(zhǎng)而每一個(gè)環(huán)節(jié)都有可能被動(dòng)手腳。你只要把DNS理解成“網(wǎng)絡(luò)世界的翻譯官”——負(fù)責(zé)把人類易記的域名翻譯成計(jì)算機(jī)能理解的IP地址——那么劫持的本質(zhì)就一句話有人在你問路的時(shí)候給你指了個(gè)錯(cuò)誤的方向而你以為這就是正確路線。1.2 劫持的本質(zhì)在“翻譯環(huán)節(jié)”給一個(gè)假答案DNS劫持不是說攻擊者一定要攻破某個(gè)大服務(wù)器它的核心思路是干預(yù)“翻譯結(jié)果”。你問bank.com在哪正常的答案是“在1.2.3.4等你”被劫持后系統(tǒng)可能給你返回“在5.6.7.8等你”而5.6.7.8是一臺(tái)攻擊者控制的機(jī)器。你根本不會(huì)察覺因?yàn)闉g覽器地址欄里輸?shù)拇_實(shí)是正確的域名打開的頁(yè)面內(nèi)容也可以被偽造得和真站幾乎一樣。更直白的類比是你打電話問114“某公司客服電話是多少”114給了你一個(gè)錯(cuò)的號(hào)碼而你不知道這個(gè)號(hào)碼是假的。接下來你聯(lián)系到的“客服”當(dāng)然不是真正的客服你告訴它的一切信息都會(huì)被對(duì)方利用。DNS劫持干的就是這件事——它不直接攻擊你的電腦而是在“翻譯”這個(gè)中間環(huán)節(jié)把關(guān)鍵信息替換掉。1.3 為什么“不高深”卻被傳得很神秘這里有個(gè)很實(shí)際的問題既然原理這么簡(jiǎn)單為什么很多新聞把它描寫成“高級(jí)黑客行為”原因有三。第一傳統(tǒng)DNS協(xié)議默認(rèn)使用UDP明文傳輸而且歷史上很長(zhǎng)一段時(shí)間沒有完整性校驗(yàn)。第二DNS鏈路上的“可介入點(diǎn)”太多了本機(jī)配置、hosts文件、路由器、運(yùn)營(yíng)商網(wǎng)絡(luò)、公共遞歸DNS、甚至域名托管商的賬號(hào)任意一個(gè)被拿下解析結(jié)果就可能被篡改。第三劫持之后的表現(xiàn)非常直觀——網(wǎng)頁(yè)打不開、頁(yè)面被插廣告、輸入A網(wǎng)站卻被帶到B網(wǎng)站普通用戶很容易把原因歸結(jié)為“電腦壞了”或“網(wǎng)站掛了”。真正讓攻擊顯得復(fù)雜的只是攻擊者把這幾個(gè)簡(jiǎn)單環(huán)節(jié)組合成一條自動(dòng)化鏈條。所以文章標(biāo)題我才說“沒你想象的那么難”這不是低估安全問題而是提醒大家一個(gè)原理簡(jiǎn)單的攻擊如果被無視殺傷力反而更大。2. 拆解常見劫持類型每個(gè)環(huán)節(jié)都有人盯上DNS劫持并不是只有一種玩法。按介入位置劃分常見的有四類本地劫持、網(wǎng)絡(luò)設(shè)備劫持、鏈路側(cè)劫持、遞歸服務(wù)器緩存污染。下面逐個(gè)拆開看每類劫持的現(xiàn)象和排查側(cè)重點(diǎn)都不一樣。2.1 本地劫持入口文件與系統(tǒng)設(shè)置本機(jī)層面的劫持最典型的操作對(duì)象是hosts文件和系統(tǒng)DNS設(shè)置。hosts文件是一個(gè)純文本文件里面的內(nèi)容是“域名 空格 IP地址”作用是在電腦發(fā)起DNS查詢之前先檢查這個(gè)靜態(tài)映射表。如果這里面被寫入一條記錄比如127.0.0.1 example.com那么所有訪問example.com的請(qǐng)求都會(huì)被指向本地回環(huán)地址也就是自己訪問自己頁(yè)面自然打不開。更麻煩的是它可以把bank.com指向一個(gè)偽造頁(yè)面服務(wù)器的IP用戶毫無察覺。系統(tǒng)DNS設(shè)置被篡改是另一條常規(guī)路徑。Windows可以在網(wǎng)絡(luò)適配器屬性里看到“首選DNS服務(wù)器”這一項(xiàng)正常情況下它填的是你運(yùn)營(yíng)商或公司分配的地址也可能是公共DNS。惡意軟件可以修改這個(gè)值讓你所有查詢都發(fā)給它指定的服務(wù)器由它來決定返回什么結(jié)果給你。這類劫持常見于下載了不明軟件、點(diǎn)擊了奇怪的激活腳本、U盤病毒傳播。排查起來也算簡(jiǎn)單——打開hosts文件檢查有沒有可疑條目再進(jìn)系統(tǒng)網(wǎng)絡(luò)設(shè)置里看一眼DNS地址是否被改動(dòng)過。不過要注意的是惡意軟件防篡改做得越來越隱蔽它會(huì)偽裝成系統(tǒng)進(jìn)程來修改配置所以只靠肉眼檢查還不夠最好配合殺毒軟件一起處理。2.2 網(wǎng)絡(luò)設(shè)備劫持最容易被忽略的家庭路由器路由器在局域網(wǎng)里的地位相當(dāng)于“網(wǎng)絡(luò)交警”它負(fù)責(zé)給每一臺(tái)上網(wǎng)設(shè)備分配IP地址告訴它們網(wǎng)關(guān)在哪同時(shí)也會(huì)通過DHCP協(xié)議把DNS服務(wù)器地址下發(fā)給所有設(shè)備。這意味著只要路由器被攻破攻擊者不用去動(dòng)你的電腦或手機(jī)就能讓家里所有設(shè)備都使用惡意的DNS服務(wù)。路由器能被攻破最常見的原因是弱口令。很多人買回路由器后管理密碼設(shè)置得極其簡(jiǎn)單甚至直接沿用出廠默認(rèn)賬號(hào)密碼。攻擊者掃描到設(shè)備后順手一試就進(jìn)去了然后在后臺(tái)把DNS服務(wù)器地址改成自己的。從此以后你家里的電腦、手機(jī)、平板訪問任何網(wǎng)站都要先經(jīng)過它指定的“翻譯官”。更隱蔽的是有些惡意固件會(huì)把修改藏得很深你登錄路由器后臺(tái)看到的DNS地址是正常的但實(shí)際下發(fā)到設(shè)備的配置卻是另一套。所以排查的時(shí)候不僅要看路由器后臺(tái)還要看電腦上實(shí)際獲取到的DNS地址。碰到這種情況最佳做法是重置路由器、升級(jí)固件、修改管理密碼然后重新設(shè)置網(wǎng)絡(luò)。2.3 鏈路與運(yùn)營(yíng)商側(cè)劫持你看到的解析結(jié)果來自哪里這一層劫持發(fā)生在“設(shè)備到遞歸DNS服務(wù)器”之間的傳輸鏈路上。傳統(tǒng)DNS查詢是明文的UDP報(bào)文只要攻擊者能接入網(wǎng)絡(luò)鏈路比如在公共WiFi的出口、在運(yùn)營(yíng)商骨干網(wǎng)的某個(gè)節(jié)點(diǎn)、甚至在某些小機(jī)房的路由設(shè)備上做手腳就可以在合法的DNS響應(yīng)返回給你之前搶先偽造一個(gè)響應(yīng)包發(fā)給你。普通用戶遇到最多的可能不是“違法劫持”而是運(yùn)營(yíng)層面的內(nèi)容改寫。比如你訪問一個(gè)正常的網(wǎng)站卻看到頁(yè)面底部被插入一段廣告或者訪問某個(gè)域名時(shí)被重定向到提示頁(yè)、充值頁(yè)。這些現(xiàn)象的根源之一就是鏈路側(cè)或運(yùn)營(yíng)商側(cè)對(duì)DNS響應(yīng)做了篡改把部分域名解析到了他們的廣告服務(wù)器上。鏈路劫持不容易從你這一端直接確認(rèn)因?yàn)槟愕碾娔X沒有做錯(cuò)任何事你配置的DNS服務(wù)器也沒有問題問題出在“你的請(qǐng)求從家里到DNS服務(wù)器”這條路上。驗(yàn)證手段是用加密DNS下文會(huì)講或者對(duì)比多個(gè)網(wǎng)絡(luò)環(huán)境下同一域名的解析結(jié)果。2.4 遞歸服務(wù)器緩存污染公共DNS也并非“絕對(duì)純凈”遞歸DNS服務(wù)器的工作方式很像一個(gè)大號(hào)緩存庫(kù)。用戶問它某個(gè)域名時(shí)它先去查緩存緩存沒有再向根、頂級(jí)域和權(quán)威服務(wù)器發(fā)起遞歸查詢。為了讓查詢更快它會(huì)將結(jié)果緩存一段時(shí)間比如幾分鐘到幾小時(shí)。緩存污染或者說DNS投毒針對(duì)的就是這個(gè)緩存過程。攻擊者想辦法讓遞歸DNS服務(wù)器在緩存里留下一份錯(cuò)誤的解析記錄。此后該服務(wù)器覆蓋范圍內(nèi)的所有用戶查詢這個(gè)域名都會(huì)直接得到被篡改的IP地址。這類攻擊在傳統(tǒng)DNS協(xié)議場(chǎng)景下難點(diǎn)在于猜對(duì)事務(wù)ID和端口號(hào)但隨著協(xié)議老化和攻擊工具自動(dòng)化程度提高它并沒有想象的那么難防御。公共DNS服務(wù)雖然維護(hù)團(tuán)隊(duì)技術(shù)實(shí)力更強(qiáng)部署了各種流量清洗和DNSSEC校驗(yàn)但仍然可能因?yàn)閰f(xié)議本身的問題在特定網(wǎng)絡(luò)環(huán)境下面臨污染風(fēng)險(xiǎn)。不要覺得“用了公共DNS就一定安全”它只是把風(fēng)險(xiǎn)概率降到了一個(gè)比較低的水平不代表你可以完全不管其他環(huán)節(jié)。為了更直觀對(duì)照我把四類劫持放在一個(gè)表里劫持類型介入位置典型現(xiàn)象主要排查方向本地劫持hosts文件、系統(tǒng)DNS設(shè)置特定網(wǎng)站打不開或跳轉(zhuǎn)異常檢查hosts、查看網(wǎng)卡DNS配置路由器劫持路由器后臺(tái)、DHCP下發(fā)的參數(shù)局域網(wǎng)內(nèi)所有設(shè)備同時(shí)出現(xiàn)異常登錄路由器檢查設(shè)置和固件鏈路/運(yùn)營(yíng)商側(cè)劫持客戶端到遞歸服務(wù)器之間的鏈路上頁(yè)面被插廣告、訪問被重定向用加密DNS對(duì)比驗(yàn)證遞歸服務(wù)器緩存污染公共或自建遞歸服務(wù)器的緩存大片用戶同時(shí)解析到錯(cuò)誤IP更換DNS做交叉驗(yàn)證3. 排查鏈路從懷疑到確認(rèn)的完整過程很多人問我“我怎么知道自己是不是被DNS劫持了”其實(shí)排查思路很固定不用懂什么高深原理按下面這條鏈路走基本能定位到問題環(huán)節(jié)。3.1 癥狀清單什么情況首先想到DNS劫持先對(duì)照一下現(xiàn)象。以下幾條中出現(xiàn)任意一條優(yōu)先把DNS劫持列入懷疑對(duì)象訪問某幾個(gè)網(wǎng)站時(shí)明明輸入的是正確域名跳到的頁(yè)面卻完全無關(guān)甚至出現(xiàn)廣告頁(yè)、紅包頁(yè)、充值頁(yè)。同一個(gè)網(wǎng)站在手機(jī)上能打開電腦上打不開或者反過來用WiFi打不開切到手機(jī)流量就能打開。瀏覽器訪問時(shí)出現(xiàn)證書錯(cuò)誤提示該網(wǎng)站的安全證書與域名不匹配但你確認(rèn)自己沒輸錯(cuò)網(wǎng)址。電腦里反復(fù)出現(xiàn)“DNS錯(cuò)誤”“無法解析服務(wù)器的DNS地址”但重啟路由器和電腦后只能好一陣子。域名像“抽風(fēng)”一樣有時(shí)解析到正確的服務(wù)器有時(shí)解析到一個(gè)完全陌生的IP。需要說明的是這些現(xiàn)象也可能是其他故障引起的比如網(wǎng)站服務(wù)器宕機(jī)、本地網(wǎng)絡(luò)配置問題、瀏覽器插件篡改。所以“懷疑”只是第一步還需要用命令去驗(yàn)證。3.2 命令行取證nslookup、ipconfig與dig的正確用法在Windows上我用得最多的一套命令是這樣走的先看本機(jī)實(shí)際生效的DNS服務(wù)器是哪臺(tái)ipconfig /all在輸出里找到“DNS Servers”一項(xiàng)記下對(duì)應(yīng)的IP。這一步很關(guān)鍵因?yàn)楹芏鄷r(shí)候你以為自己用的是某個(gè)公共DNS實(shí)際上系統(tǒng)里配置的可能是另一串地址。然后用系統(tǒng)默認(rèn)解析器去查目標(biāo)域名的解析結(jié)果nslookup example.com系統(tǒng)會(huì)返回服務(wù)器地址和域名對(duì)應(yīng)的IP。如果返回的IP不是你熟悉的真實(shí)服務(wù)器IP先別急著下結(jié)論還需要換一個(gè)公開DNS再查一次。在macOS和Linux上對(duì)應(yīng)的查看DNS命令是cat /etc/resolv.conf查詢解析結(jié)果的命令則更推薦用dig輸出更詳細(xì)dig example.comWindows上也有nslookup最夠用關(guān)鍵是后面跟上指定DNS地址的參數(shù)。3.3 交叉驗(yàn)證法三組DNS地址對(duì)照結(jié)果交叉驗(yàn)證的核心思路很簡(jiǎn)單在同一個(gè)網(wǎng)絡(luò)環(huán)境、同一臺(tái)電腦上換用不同的DNS服務(wù)器去查同一個(gè)域名如果結(jié)果不一致說明某個(gè)環(huán)節(jié)有問題。命令示例第一組用系統(tǒng)的默認(rèn)DNS查nslookup example.com第二組指定公共DNS A來查nslookup example.com 114.114.114.114第三組指定公共DNS B來查nslookup example.com 8.8.8.8記錄三組命令返回的IP地址通常會(huì)出現(xiàn)三種情況情況一三組結(jié)果一致但都指向一個(gè)陌生IP。這說明解析鏈路大概率正常問題出在上游權(quán)威解析記錄本身。也就是說域名托管商那邊的A記錄可能被改了或者服務(wù)器那邊換了IP而DNS沒同步。這種情況需要登錄DNS托管平臺(tái)后臺(tái)去核對(duì)解析記錄。情況二系統(tǒng)默認(rèn)DNS的結(jié)果和公共DNS結(jié)果不一致。優(yōu)先懷疑本機(jī)DNS配置或路由器劫持。因?yàn)楣睤NS返回的往往是相對(duì)可信的結(jié)果而系統(tǒng)默認(rèn)DNS可能是被改過的或路由器下發(fā)的惡意地址。再進(jìn)一步查看路由器后臺(tái)看DHCP設(shè)置里下發(fā)的DNS是哪個(gè)。情況三系統(tǒng)默認(rèn)和公共DNS的結(jié)果一致但與“真實(shí)IP”不一致。怎么判斷“真實(shí)IP”如果你是站長(zhǎng)去云服務(wù)商控制臺(tái)看服務(wù)器公網(wǎng)IP直接對(duì)比即可。如果你只是普通用戶可以去在線IP查詢平臺(tái)查這個(gè)域名對(duì)應(yīng)的真實(shí)IP或者對(duì)比手機(jī)運(yùn)營(yíng)商網(wǎng)絡(luò)下的解析結(jié)果。如果權(quán)威記錄確實(shí)被改接下來要處理的就不是“本地清理”這么簡(jiǎn)單了。這里也提一個(gè)我常用的進(jìn)階命令Linux/macOS下可以追蹤完整解析路徑dig example.com trace它能展示DNS查詢從根服務(wù)器到權(quán)威服務(wù)器的全過程適合確認(rèn)問題是否出在某個(gè)中間環(huán)節(jié)。3.4 確認(rèn)后的取證動(dòng)作留好“案發(fā)現(xiàn)場(chǎng)”再動(dòng)手很多人發(fā)現(xiàn)DNS異常后第一反應(yīng)是立即改設(shè)置、刷緩存結(jié)果沒留證據(jù)后面想追查都不知道從哪里入手。正確做法是先把現(xiàn)場(chǎng)固定下來。具體記四樣?xùn)|西異常發(fā)生的時(shí)間、當(dāng)前系統(tǒng)生效的DNS服務(wù)器IP、解析出的可疑IP、正常情況下的真實(shí)IP。前面命令的執(zhí)行結(jié)果最好直接保存一份文本日志。這些信息后續(xù)無論是報(bào)修、投訴、還是聯(lián)系域名托管商協(xié)查都很有用。比如你確認(rèn)了本機(jī)DNS被改成了一臺(tái)可疑地址先不要急著改回去可以先用nslookup多查幾個(gè)域名看看這臺(tái)服務(wù)器的解析規(guī)律。同時(shí)檢查hosts文件有沒有被動(dòng)過手腳殺毒軟件全盤掃描一遍確認(rèn)是單純配置問題還是設(shè)備已經(jīng)中招了。處理完以后再回到修改配置的步驟。4. 防御加固從終端到服務(wù)的分層方案排查完之后更重要的環(huán)節(jié)是加固不讓同樣的問題再發(fā)生。我把方案按場(chǎng)景分成三層個(gè)人終端層、網(wǎng)絡(luò)設(shè)備層、服務(wù)端業(yè)務(wù)層。4.1 個(gè)人終端三件事必須做第一件事把系統(tǒng)DNS設(shè)置為可信的公共DNS地址。Windows和手機(jī)都可以手動(dòng)指定DNS服務(wù)器。這里要強(qiáng)調(diào)一下設(shè)置完以后還是得復(fù)查因?yàn)椴糠謵阂廛浖?huì)在系統(tǒng)啟動(dòng)時(shí)重新覆蓋配置。第二件事清理hosts文件并恢復(fù)默認(rèn)。Windows的hosts路徑是C:\Windows\System32\drivers\etc\hostsmacOS和Linux在/etc/hosts。打開后逐行檢查正常情況下里面大多是注釋項(xiàng)如果發(fā)現(xiàn)可疑的映射記錄先備份再刪除。第三件事升級(jí)系統(tǒng)和瀏覽器?，F(xiàn)代瀏覽器普遍支持自動(dòng)啟用DoHDNS over HTTPS也就是說瀏覽器會(huì)通過加密HTTPS連接去查詢DNS不再走傳統(tǒng)明文鏈路。系統(tǒng)更新則能修補(bǔ)惡意軟件常用的漏洞降低本機(jī)被種下劫持模塊的概率。不用刻意去配置太復(fù)雜的東西確認(rèn)系統(tǒng)補(bǔ)丁更新到了最新、殺毒軟件開啟實(shí)時(shí)監(jiān)控就把一大半風(fēng)險(xiǎn)擋在了門外。4.2 網(wǎng)絡(luò)設(shè)備路由器也需要單獨(dú)加裝“防護(hù)層”路由器是家庭網(wǎng)絡(luò)的總閘門也是最容易被忽略的防御節(jié)點(diǎn)。個(gè)人終端做得再到位路由器一旦被改所有設(shè)備還是會(huì)被帶走。第一步就是改管理密碼。很多路由器出廠默認(rèn)賬號(hào)依舊是“admin/admin”這個(gè)一定要改。密碼不要用生日、手機(jī)號(hào)這種短口令至少12位以上混合大小寫、數(shù)字和符號(hào)。第二步補(bǔ)安全設(shè)置。關(guān)掉WPSWi-Fi Protected Setup功能這個(gè)功能方便但漏洞不少關(guān)閉路由器的遠(yuǎn)程管理或者至少限制為僅局域網(wǎng)訪問開啟Wi-Fi加密用WPA2/WPA3不要用古老的WEP。第三步升級(jí)固件。路由器固件更新不像電腦系統(tǒng)那么頻繁但廠商一旦發(fā)布安全更新盡量及時(shí)升級(jí)。部分路由器還能在“DHCP設(shè)置”中指定下發(fā)的DNS地址你可以直接在這里統(tǒng)一設(shè)置為可信公共DNS這樣下面所有設(shè)備都會(huì)自動(dòng)使用它。有條件的話把訪客WiFi和常用設(shè)備分開避免訪客設(shè)備中毒后影響到智能家居或電腦所在的網(wǎng)絡(luò)段。這些動(dòng)作不需要任何編程基礎(chǔ)在路由器后臺(tái)點(diǎn)幾下就行關(guān)鍵是愿意花這十來分鐘。4.3 服務(wù)端和域名持有者別讓賬號(hào)安全成為突破口如果你負(fù)責(zé)維護(hù)網(wǎng)站、小程序或者任何線上業(yè)務(wù)DNS劫持帶來的后果會(huì)比普通用戶嚴(yán)重得多。因?yàn)橐坏┯蛎馕鲇涗洷桓乃性L客都會(huì)被引導(dǎo)到惡意頁(yè)面業(yè)務(wù)形象和用戶數(shù)據(jù)都會(huì)受損。這類事故的根因十有八九不是協(xié)議漏洞而是域名托管平臺(tái)的賬號(hào)被攻破了。所以服務(wù)端側(cè)的第一要?jiǎng)?wù)是給域名注冊(cè)商和DNS托管平臺(tái)的賬號(hào)開啟兩步驗(yàn)證。兩步驗(yàn)證相當(dāng)于多一把鎖即使賬號(hào)密碼泄露攻擊者也很難登錄進(jìn)去改解析記錄。第二登錄DNS托管平臺(tái)后臺(tái)逐個(gè)檢查解析記錄。不只檢查A記錄還要看是否有異常的TXT、CNAME、MX記錄。攻擊者在拿到控制權(quán)后有時(shí)會(huì)順手加一條隱蔽的子域名解析用于后續(xù)垃圾郵件發(fā)送或釣魚頁(yè)面部署。第三為域名開啟DNSSEC簽名校驗(yàn)。DNSSEC是一個(gè)專門用來防止DNS偽造的技術(shù)它會(huì)給DNS響應(yīng)加上數(shù)字簽名遞歸服務(wù)器收到響應(yīng)后會(huì)驗(yàn)簽驗(yàn)不過就丟棄。目前主流域名托管商都支持一鍵開啟DNSSEC只是一些老用戶一直沒注意。開啟前先確認(rèn)托管平臺(tái)是否支持避免簽名算法不匹配導(dǎo)致解析失效。第四配置解析變更告警。部分DNS服務(wù)商提供“解析記錄變更通知”功能開啟后任何A記錄、CNAME、MX等記錄被修改都會(huì)第一時(shí)間發(fā)短信或郵件通知你。這一點(diǎn)很實(shí)用至少能讓你在攻擊發(fā)生后的幾分鐘內(nèi)發(fā)現(xiàn)異常而不是等用戶投訴了才知道。4.4 進(jìn)階方案DoH/DoT與DNSSEC的適用場(chǎng)景很多人分不清DoH、DoT和DNSSEC這幾個(gè)概念我用自己的話說一下。DoHDNS over HTTPS和DoTDNS over TLS解決的是“查詢過程被偷聽和篡改”的問題。DoH把DNS查詢內(nèi)容塞進(jìn)HTTPS請(qǐng)求里走443端口和網(wǎng)頁(yè)流量合在一起普通網(wǎng)絡(luò)審計(jì)很難單獨(dú)識(shí)別DoT則給DNS查詢專門建一條TLS加密隧道。兩者都是加密通道區(qū)別只是封裝方式不同。它們的共同缺點(diǎn)是如果本機(jī)被惡意軟件控制攻擊者可以繞過系統(tǒng)設(shè)置直接不加密查詢所以它們防的是鏈路側(cè)篡改不是終端病毒。DNSSEC解決的是“DNS響應(yīng)本身真假”的問題。它給權(quán)威解析記錄加上簽名遞歸解析服務(wù)器可以驗(yàn)證響應(yīng)是否真的來自權(quán)威服務(wù)器。它不加密DNS請(qǐng)求內(nèi)容但能確保證完整性。對(duì)托管重要域名的人來說DNSSEC很值得開對(duì)普通用戶你無法直接控制權(quán)威服務(wù)器是否開啟了簽名所以更多是公共DNS那邊替你做校驗(yàn)。這三者不是替代關(guān)系而是互補(bǔ)關(guān)系。終端網(wǎng)絡(luò)環(huán)境好可以同時(shí)啟用DoH和DNSSEC企業(yè)自建遞歸DNS可以在解析器上啟用DNSSEC驗(yàn)證再配合DoT上游轉(zhuǎn)發(fā)鏈路安全性會(huì)明顯提高。4.5 常見誤區(qū)DNS不劫持不等于網(wǎng)絡(luò)攻擊到不了你先說第一個(gè)誤區(qū)“我用了HTTPSDNS被劫持也沒關(guān)系。”嚴(yán)格來說HTTPS能保護(hù)傳輸內(nèi)容的加密和完整性防止中間人讀取或篡改網(wǎng)頁(yè)內(nèi)容但它不能防止DNS把所有域名都解析到一個(gè)錯(cuò)誤地址。訪問到大面積提示錯(cuò)誤頁(yè)甚至被引導(dǎo)到看起來一模一樣的釣魚頁(yè)面依然可能發(fā)生。如果你的瀏覽器還能顯示一把鎖說明證書校驗(yàn)沒有失效這能擋住多數(shù)低水平釣魚但如果攻擊者偽造的頁(yè)面能通過免費(fèi)證書申請(qǐng)用戶又在證書告警時(shí)點(diǎn)了“繼續(xù)訪問”HTTPS也幫不了你。第二個(gè)誤區(qū)“換個(gè)公共DNS就高枕無憂了?！惫睤NS確實(shí)比運(yùn)營(yíng)商默認(rèn)DNS在安全性上更透明但它不負(fù)責(zé)解決你本機(jī)hosts中毒、路由器被篡改、域名托管賬號(hào)被盜等問題。把公共DNS當(dāng)成唯一防護(hù)手段遲早會(huì)在其他環(huán)節(jié)上吃虧。第三個(gè)誤區(qū)“DNS劫持跟病毒無關(guān)清理一下設(shè)置就好?！睂?shí)際上很多劫持的根本原因是終端已被惡意軟件控制它會(huì)在后臺(tái)反復(fù)修改配置。你已經(jīng)設(shè)置好了沒過幾天又變回去這種情況要優(yōu)先考慮清殺病毒。第四個(gè)誤區(qū)“只有大企業(yè)才會(huì)被盯上?！毙⌒蛡€(gè)人站點(diǎn)和博客同樣會(huì)被DNS劫持用于SEO菠菜引流、彈窗廣告。經(jīng)濟(jì)價(jià)值不一定直接來自你而來自“借用”你的域名信譽(yù)和流量。5. 一次現(xiàn)場(chǎng)復(fù)盤網(wǎng)站首頁(yè)被替換事件的前因后果前面講了原理和防御最后說一個(gè)我處理過的案例。為了保護(hù)隱私以下人名、域名、IP均已替換。5.1 現(xiàn)象為什么用戶看到的是紅包頁(yè)面A同學(xué)運(yùn)營(yíng)著一個(gè)本地生活服務(wù)平臺(tái)網(wǎng)站訪問量不高但用戶群很穩(wěn)定。某天客服接到反饋用戶從瀏覽器收藏夾打開網(wǎng)站居然跳到一個(gè)“XX紅包領(lǐng)取”的活動(dòng)頁(yè)面頁(yè)面風(fēng)格和正規(guī)活動(dòng)完全不同而且瀏覽器地址欄還出現(xiàn)了證書告警。A同學(xué)自己試了一下電腦上訪問正常手機(jī)連WiFi訪問也正常但切到手機(jī)流量訪問時(shí)正?；氐絎iFi就不正常了。一開始他以為是路由器緩存問題重啟了路由器問題依舊。5.2 排查三組DNS對(duì)照之后問題定位到了上游我讓他按上面交叉驗(yàn)證的方法操作。第一組命令用他公司網(wǎng)絡(luò)默認(rèn)DNS解析返回的是203.0.113.10第二組用公共DNS解析返回的是198.51.100.23第三組再用另一組公共DNS解析返回的依然是198.51.100.23。兩組公共DNS結(jié)果一致但和公司默認(rèn)DNS返回的不一致。按照前面的判斷邏輯問題應(yīng)該出在公司網(wǎng)絡(luò)的本地DNS獲取環(huán)節(jié)大概率是路由器被動(dòng)了手腳。但登錄路由器后臺(tái)檢查后發(fā)現(xiàn)DHCP設(shè)置里填寫的DNS地址很正常也沒有發(fā)現(xiàn)異常下發(fā)記錄。這時(shí)我們換了一個(gè)思路直接把電腦網(wǎng)卡的DNS手動(dòng)設(shè)置為公共DNS地址再解析一次域名結(jié)果竟然還是203.0.113.10?！?既然電腦端已經(jīng)明確指定了公共DNS為什么解析還是指向那個(gè)可疑IP” 答案只剩下一個(gè)這個(gè)域名的權(quán)威解析記錄本身已經(jīng)被改了。登錄域名托管平臺(tái)的后臺(tái)后果然在解析記錄列表里發(fā)現(xiàn)主域名的A記錄被篡改成了203.0.113.10。而198.51.100.23才是A同學(xué)服務(wù)器真正的IP。也就是說攻擊者不是劫持了哪臺(tái)路由器而是直接拿到了托管平臺(tái)的登錄權(quán)限把域名的“官方翻譯結(jié)果”給換了。公司網(wǎng)絡(luò)里顯示異常只是因?yàn)楸镜谼NS緩存還沒有刷新切到手機(jī)流量后手機(jī)用的是運(yùn)營(yíng)商DNS緩存內(nèi)容不同所以才時(shí)好時(shí)壞。5.3 修復(fù)改密碼、開兩步驗(yàn)證、清理殘留記錄修復(fù)動(dòng)作分四步。第一步立即修改DNS托管平臺(tái)的登錄密碼并且強(qiáng)制退出所有已登錄會(huì)話。因?yàn)椴淮_定攻擊者是否還留在后臺(tái)修改密碼后還要檢查是否存在API密鑰、子賬號(hào)之類的后門。第二步開啟兩步驗(yàn)證。這一步尤其重要否則密碼泄露的問題解決不了下一次還會(huì)被人登進(jìn)來。第三步修正A記錄把example.com重新指到198.51.100.23同時(shí)清掉解析列表里多出來的幾行可疑子域名記錄。為了安全我們順手把域名的TTL值調(diào)低到300秒等全球解析緩存逐步過期用戶就能在較短時(shí)間內(nèi)恢復(fù)正常訪問。第四步通知相關(guān)部門和用戶清除本地DNS緩存等待一段時(shí)間后再訪問。如果還有用戶反饋異常可能是某個(gè)地區(qū)的遞歸服務(wù)器緩存還沒過期需要再等等。5.4 復(fù)盤這類事故的根因通常是賬號(hào)安全而不是DNS協(xié)議這個(gè)案例最值得復(fù)盤的一點(diǎn)是一開始大家習(xí)慣性地懷疑路由器、懷疑鏈路最后發(fā)現(xiàn)真正的突破口是托管平臺(tái)賬號(hào)。DNS劫持未必非得在“鏈路”上動(dòng)手把權(quán)威解析記錄改了相當(dāng)于在源頭把翻譯官買通了影響范圍反而更大。檢索下來托管平臺(tái)的賬號(hào)疑似在某次第三方站點(diǎn)數(shù)據(jù)泄露中暴露了密碼密碼強(qiáng)度一般又沒有開啟兩步驗(yàn)證攻擊者拿密碼直接登錄一分鐘就能完成修改。整個(gè)過程沒有涉及任何復(fù)雜技術(shù)卻造成了業(yè)務(wù)中斷和用戶信任度下降的嚴(yán)重后果。后來我給A同學(xué)的建議很簡(jiǎn)單把所有和域名、服務(wù)器相關(guān)的賬號(hào)統(tǒng)一整改一遍密碼隨機(jī)化能開兩步驗(yàn)證的全部開啟解析變更通知也配置上線。至少目前看來類似問題沒有再出現(xiàn)過。我自己在這些年的安全排查里最大的體會(huì)是最有效的往往不是那些聽起來很高深的攻防技巧而是把基礎(chǔ)配置做好。DNS劫持原理再簡(jiǎn)單也架不住你連管理密碼都沒改原理再?gòu)?fù)雜只要開啟兩步驗(yàn)證和DNSSEC攻擊的性價(jià)比就會(huì)大打折扣。希望這篇內(nèi)容能幫你把這條容易被忽略的安全防線補(bǔ)上下次再遇到“網(wǎng)站打不開、跳轉(zhuǎn)到奇怪頁(yè)面”的情況腦子里能第一時(shí)間多出一個(gè)排查方向。