dns緩存污染(編輯修改稿)
2024-08-31 23:05 本頁面
【文章內(nèi)容簡介】 口支持遞歸解析的DNS Server向其它DNS Server發(fā)送請求時所用源PORT不易獲知。絕大多數(shù)DNS Server會在啟動時隨機(jī)選取一個源PORT，以后向外發(fā)送請求時始終使用這個源PORT。還有一些DNS Server更蠢，向外發(fā)送請求時所用源PORT固定使用53()。如果這個源PORT僅僅是初始時分隨機(jī)確定，但隨后就靜態(tài)不變的話，任何在攻擊者監(jiān)視下的權(quán)威名字服務(wù)器都可用于獲知這個源PORT，僅需一次正常的遞歸查詢即可。， Server，， Server程序或者動用sniffer工具抓包。如果這個源PORT不是靜態(tài)的，在變化中，攻擊者就需要猜測這16bits?？紤]到小于1024的端口可能不被用于這個源PORT，平均猜測次數(shù)是32256。，這次攻擊者必須同時窮舉猜測Transaction ID、源PORT。顯然攻擊難度加大。某些商用DNS實現(xiàn)，其請求報文的源端口范圍太小，應(yīng)該盡可能地擴(kuò)大源端口取值范圍。一般來說，源端口位于[1024,49152]是可以接受的。以前很少有DNS Server的這個源PORT不是靜態(tài)的。 NAT對源端口隨機(jī)化的干撓如果DNS Server位于NAT背后，NAT會干撓到由DNS Server發(fā)出的請求報文的源端口，很可能DNS Server自己隨機(jī)化了源端口，但NAT減弱了其隨機(jī)化程度。圖中Cache Server隨機(jī)化了源PORT(54132/UDP)，但DNS請求報文經(jīng)過NAT設(shè)備后源PORT變成相對靜態(tài)的1025/UDP。位于Internet一側(cè)的攻擊者偽造響應(yīng)報文時只需指定目標(biāo)端口為1025/UDP即可，NAT設(shè)備會自動轉(zhuǎn)換成54132/UDP。 生日攻擊如果DNS Server允許并發(fā)向外查詢同一QNAME，就很容易遭致生日攻擊。生日攻擊的最簡描述是，23個人中有兩個人生日相同的概率接近1/2。*k^，k等于365時，前述結(jié)果約等于23。如果Attacker能迫使DNS Server并發(fā)請求同樣的Question Section(QNAME、QTYPE、QCLASS)，就可以利用生日攻擊原理對Transaction ID、源PORT進(jìn)行碰撞。如果簡單套用前述公式的話(事實上不能簡單套用)，k等于65536*65536，公式計算結(jié)果為78643，就是說同時發(fā)78643個響應(yīng)報文，Transaction ID、源PORT一起命中的概率接近1/2。同時發(fā)送更多的響應(yīng)報文，Transaction ID、源PORT一起命中的概率就更大。CERT 457875介紹了更多內(nèi)容。圖中攻擊者向Cache Server并發(fā)請求解析同一QNAME，Cache Server也就向Auth Server并發(fā)請求解析同一QNAME，與此同時攻擊者偽造大量響應(yīng)報文以求產(chǎn)生Transaction ID、源PORT碰撞。 ID、源PORT不同，此次來自Cache Server的查詢請求有多個，而偽造的響應(yīng)報文只要有一個被Cache Server接受就完
醫(yī)療健康相關(guān)推薦
鄂ICP備17016276號-1