DNS递归查询与迭代查询的流程、安全风险与防御 1. 知识点描述 DNS查询机制是互联网正常运行的基础，它负责将人类可读的域名（如 www.example.com ）解析为机器可识别的IP地址。解析过程主要分为 递归查询 和 迭代查询 两种模式，理解它们的区别、交互流程以及伴随的安全风险（如DNS劫持、缓存投毒、反射放大攻击等），对设计安全的网络架构至关重要。 2. 核心概念解析 2.1 递归查询 过程 ：客户端（如你的浏览器）向本地DNS解析器（通常是你的ISP或公共DNS如8.8.8.8）发出查询请求。本地解析器 承担全部工作 ，它会代表客户端向整个DNS层级系统（从根域名服务器到权威域名服务器）逐一查询，直到最终获得确切的IP地址，然后将结果返回给客户端。客户端只需发出一次请求，等待最终答案。 角色 ：客户端是“提问者”，本地解析器是“勤勉的代理人”。 特点 ：对客户端友好，减轻客户端负担，但增加了本地解析器的负载和责任。 2.2 迭代查询 过程 ：本地DNS解析器向外界DNS服务器查询时采用的方式。当解析器向某个DNS服务器（如根服务器）查询时，如果该服务器没有直接答案，它不会自己去查，而是告诉解析器“我不知道，但你去问下一个（如 .com 的顶级域服务器）”。解析器再向下一个服务器查询，如此迭代，直到从权威域名服务器获得最终答案。 角色 ：本地解析器成为“主动的追问者”，其他DNS服务器只提供“线索”或最终答案。 特点 ：查询责任分散在各级DNS服务器，是DNS服务器之间的标准交互方式。 3. 完整的DNS解析流程（结合递归与迭代） 我们以客户端访问 www.example.com 为例，假设客户端配置的本地DNS解析器是 8.8.8.8 。 步骤1：客户端发起递归查询 客户端向 8.8.8.8 发送请求：“ www.example.com 的IP地址是什么？” 这是一个 递归查询请求 。 步骤2：本地解析器检查缓存 8.8.8.8 首先检查自己的缓存。如果有且未过期，则直接返回给客户端，过程结束。如果没有，则开始迭代查询过程。 步骤3：迭代查询开始（从根开始） 8.8.8.8 向13个 根域名服务器 中的一个（如 a.root-servers.net ）发起 迭代查询 ：“ www.example.com 的IP是什么？” 根服务器回复：“我不知道 .com 的IP，但我可以告诉你负责 .com 域的顶级域服务器的地址列表（如 a.gtld-servers.net 的IP）。” 步骤4：迭代查询顶级域 8.8.8.8 向 .com 的顶级域服务器发起 迭代查询 。 顶级域服务器回复：“我不知道 example.com 的IP，但我可以告诉你负责 example.com 的权威域名服务器的地址列表（如 ns1.example.com 的IP）。” 步骤5：迭代查询权威域 8.8.8.8 向 example.com 的权威域名服务器发起 迭代查询 。 权威域名服务器回复：“ www.example.com 的A记录IP地址是 93.184.216.34 。” 步骤6：本地解析器回复客户端 8.8.8.8 获得最终IP地址后，将其存入缓存（根据TTL值设置过期时间），然后将结果返回给客户端。这是对客户端最初 递归查询 的最终答复。 核心关系 ：客户端对本地解析器是 递归查询 ，本地解析器对DNS层级系统是 迭代查询 。 4. 安全风险与攻击 DNS劫持 原理 ：攻击者篡改客户端与本地解析器之间的通信，或直接入侵本地解析器/路由器，将查询结果指向恶意IP。 利用点 ：通常发生在递归查询的“最后一公里”（客户端到本地解析器），或本地解析器本身被攻破。 DNS缓存投毒 原理 ：攻击者向本地解析器的缓存中注入伪造的DNS记录。例如，在 8.8.8.8 向权威服务器查询过程中，攻击者伪造一个看似来自权威服务器的回复，其中包含错误的IP地址和足够长的TTL。解析器信以为真，将其缓存，导致后续所有向该解析器查询此域名的客户端都被导向恶意地址。 利用点 ：针对递归解析器的迭代查询过程，利用UDP协议无连接、易伪造源IP的弱点。DNSSEC是根本解决方案。 DNS反射放大攻击 原理 ：攻击者伪造受害者IP作为源地址，向开放的公共递归解析器发送大量针对某个域名的查询请求（通常使用 ANY 查询，回复包很大）。解析器将庞大的回复包发回受害者，形成流量放大，耗尽受害者带宽。 利用点 ：利用递归解析器“有问必答”的特性，以及查询/回复包大小不对称的特点。防御措施包括递归解析器 不开放给全网 、禁用 ANY 查询、启用响应速率限制。 DNS信息泄露 原理 ：企业内网的DNS查询可能通过本地解析器流向外部，泄露内部主机名、网络结构等敏感信息。 利用点 ：递归查询链条。应部署内部DNS服务器，并确保其不外泄内部区域的转发信息。 5. 安全防御措施 部署DNSSEC 为域名记录添加数字签名，递归解析器可验证应答的真实性和完整性，是防御 缓存投毒 的终极方案。 使用加密的DNS协议 DNS over TLS 或 DNS over HTTPS ：加密客户端与递归解析器之间的通信，防止本地网络窃听和劫持，保护查询隐私。 安全配置递归解析器 限制递归服务范围 ：仅对授权客户端（如内部网络）提供递归服务，不对互联网开放。 启用响应速率限制 ：减缓反射放大攻击。 禁用不必要的查询类型 ：如 ANY 查询。 及时更新DNS软件 ：修补已知漏洞。 客户端安全 配置可信的、非恶意的本地DNS服务器（如知名公共DNS或企业内网DNS）。 使用防火墙阻止出站的非53端口的DNS请求（防隧道攻击）。 网络层防御 在边界部署IDS/IPS，检测异常的DNS流量模式（如大量同一域名的请求）。 实施出口过滤，防止内部主机伪造源IP发起攻击。 6. 总结 理解DNS递归查询和迭代查询的协作流程，是分析一系列DNS相关攻击的基础。递归查询方便了客户端但将风险集中于解析器，迭代查询是DNS系统的骨架但暴露了查询路径。安全风险贯穿始终，防御需要综合应用协议安全、加密传输、合理配置和网络监控等多层手段。