域名系统缓存投毒检测报告.docVIP

域名系统缓存投毒检测报告

一、域名系统缓存投毒的基本原理

（一）域名系统（DNS）的工作机制

域名系统作为互联网的“地址簿”，负责将人类易于记忆的域名转换为计算机可识别的IP地址。其工作流程主要分为递归查询和迭代查询两种模式。当用户在浏览器中输入一个域名时，本地DNS服务器首先会检查自身缓存中是否存在该域名对应的IP地址记录。若存在且未过期，则直接返回结果；若不存在，本地DNS服务器会向根域名服务器发起查询请求。根域名服务器并不直接提供域名的IP地址，而是返回负责该顶级域名（如.com、.cn等）的顶级域名服务器地址。本地DNS服务器接着向顶级域名服务器查询，顶级域名服务器再返回负责该二级域名的权威域名服务器地址。最后，本地DNS服务器向权威域名服务器查询，获取到域名对应的IP地址，并将该记录缓存到本地，同时返回给用户设备。

（二）缓存投毒的核心原理

DNS缓存投毒，又称DNS欺骗，其核心在于利用DNS查询过程中的安全漏洞，向本地DNS服务器的缓存中注入虚假的域名解析记录。在正常的DNS查询过程中，本地DNS服务器向外部服务器发送查询请求后，会等待外部服务器返回响应。而攻击者正是利用了这个等待窗口，向本地DNS服务器发送伪造的响应数据包。这些伪造数据包中的IP地址是攻击者指定的恶意地址，若本地DNS服务器未能正确验证响应的合法性，就会将虚假记录缓存起来。当后续用户再次查询该域名时，