维普资讯 http://www.cqvip.com
《宁夏电力）２００７年第５期 浅析ＤＮＳ技术与安全防护 李莹岚 （宁夏石嘴山供电局，石嘴山市７５３０００） 摘要：ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）是网络建设中首要解决的问题之一，是实现Ｉｎｔｅｍｅｔ应用的基础，其作 用是实现域名和ＩＰ地址之间的转换。本文介绍了ＤＮＳ的基本概念、域名解析的工作原理，分析了ＤＮＳ在 安全方面的漏洞及防范措施。 ． 关键词：ＤＮＳ；域名解析；ＩＰ地址；安全 中图分类号：ＴＰ３９３ 文献标志码：Ｂ 文章编号：１６７２－３６４３（２００７）０５－００５７－０３ Ａｎａｌｙｓｉｓ ｏｆ ＤＮＳ ｔｅｃｈｎｏｌｏｇｙ ａｎｄ ｓｅｃｕｒｉｔｙ ｐｒｏｔｅｃｔｉｏｎ ＵＹｉｎｇ＿ｌ蛐 （Ｓｈｉｚｕｉｓｈａｎ Ｅｌｅｃｔｒｉｃ Ｐｏｗｅｒ Ｓｕｐｐｌｙ Ｂｕｒｅａｕ，Ｓｈｉｚｕｉｓｈａｎ ７５３０００，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：Ｉｎｔｒｏｄｕｃｅｓ ｔｈｅ ｂａｓｉｃ ｃｏｎｃｅｐ６ｏｎ ｏｆ Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ ＮＳ）ａｎｄ ｗｏｒｋ ｐｒｉｎｃｉｐｌｅ ｏｆ ｄｏｍａｉｎ ｎａｍｅ ａｎａｌｙｚｅｒ，ａｎａｌｙｚｅｓ ｈｔｅ ｌｅａｋｓ ｏｆ ｔｈｅ ｓｅｃｕｒｉｔｙ ａｎｄ ｐｒｏｔｅｃｔｉｖｅ ｃｏｕｎｔｅｒｍｅａｓｕｒｅｓ ｆｏｒ ＤＮＳ． Ｋｅｙ ｗｏｒｄｓ：ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）；ｄｏｍａｉｎ ｎａｍｅ ｎａａｌｙｚｅｒ；ＩＰ ａｄｄｒｅｓｓ；ｓｅｃｕｒｉｔｙ １引言 型、层次结构分布式数据库。如图１所示。 根（无名） 随着Ｉｎｔｅｒｎｅｔ／Ｉｎｔｒａｎｅｔ技术的发展和应用日益普及，越来 越多的企业都建立了自己的Ｉｎｔｒａｎｅｔ，并且通过各种不同的方 式接入Ｉｎｔｅｒｎｅｔ。Ｉｎｔｅｒｎｅｔ上计算机之间的ＴＣＰ／ＩＰ通信是通过 ＩＰ地址来进行的，因此，Ｉｎｔｅｒｎｅｔ上的计算机都应有—个ＩＰ地 ｇｏｖ ｎｅｔ ｔｏｍ ｅｄｕ …… 。ｎ 址作为其唯一标识。但ＩＰ地址是数字型名字，难于记忆和理 解。为了便于应用，ＴＣＰ／ＩＰ提供了一种字符型的主机命名机 制，即域名系统（ＤＮＳ，Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）。它将枯燥、没有 意义的数字映射成具有特定含义的的词或词的缩写，便于人们 ｍ瓜 记忆和理解。在网站架构过程中，ＤＮＳ是首要解决的问黾亘之・， ＷＷＷ ｍａｉｌ 也是实现ｗｗｗ￣ｐ、Ｅ－ｍａｉｌ等多种Ｉｎｔｅｒｎｅｔ应用的基础。所以， 图ｌ ＤＮＳ域名树型层次结构 ＤＮＳ技术的应用及安全性研究具有深远的意义。 域是域名空间的一棵子树或一个分支，树的根就是根 域，根是没有名字的，用“．”表示。树中最靠近根域的节点， ２ ＤＮＳ的工作原理 称为顶级域，每个顶级域下面又包含很多级、很多子域，主 机则位于树的叶子上。同一级中拥有同一个父节点的标示 ２．１域名空间 各不相同，主机名由从相应的叶子到这一路径的各个节点 ＤＮＳ的命名结构称为域名空间。域名空间是一个呈树 的标示组成。 收稿日期：２００７－－－０４—１０ 作者简介：李莹岚（１９７６一），女，助理工程师，从事计算机及网络维护工作。 ・５７・ 维普资讯 http://www.cqvip.com 《宁夏电力》２００７年第５期 根域各服务器具有指向第一层域的初始指针，也就是 顶层域，如．ｅｏｍ，．ｎｅｔ。顶层域名最初由Ｉｎｔｅｍｅｔ授权给一些 组织，如ｉｎｔｅｒＮＩＣ来管理。ＮＩＣ将第一级域的管理分派 “浅析ＤＮＳ技术与安全防护 ＷＷＷ．ｓｚｓ．ｎｘ．ｓｇｅｃ．ｃｏｍ．ｅｎ”主机的ＩＰ地址（④）；“．ｅｎ”域名服 务器将“ｅｏｍ．ｅｎ”的域名服务器的ＩＰ地址返回给本地域名 服务器（⑤）；本地域名服务器再向“ｅｏｍ．ｅｎ”域名服务器发 出“ＷＷＷ．ＳＺＳ．ｎｘ．ｓｇｅｅ．ｔｏｍ．ｅｎ”的主机ＩＰ地址是什么的请求 给指定管理机构，各管理机构再对其管辖的域名空间继续 划分，并将各子部分管理授予子管理机构，如此下去， 便形成了层次型域名。由于管理机构是逐级授权的，所以最 终的域名都得到ＮＩＣ承认，成为全球Ｉｎｔｅｍｅｔ的唯一名字。 （⑥）；“ｅｏｍ．ｅｎ”域名服务器“ＷＷＷ．ｓｚｓ．ｎｘ．ｓｇｅｅ．ｅｏｍ．ｅｎ”的ＩＰ 地址返回给本地域名服务器（⑦）；本地域名服务器“ＷＷＷ． ＳＺＳ．ｎｘ．ｓｇｅｅ．ｅｏｍ．ｅｎ”域名服务器发送查询“ＷＷＷ．ＳＺＳ．ｎｘ．ｓｇｅｅ． 如域名ＷＷＷ．ｉｂｍ．ｅｏｍ，其中ＷＷＷ是主机名，ｉｂｍ代表ＩＢＭ公 司，．ｅｏｍ代表商业组织。由此通过域名代替ＩＰ地址，便于用 ｅｏｍ．ｅｎ”的ＩＰ地址的请求（⑧）；““ＷＷＷＳＺＳ．ｎｘ．ｓｇｅｅ．ｅｏｍ．ｅｎ” 域名服务器给本地域名服务器返回“ＷＷＷ．ｓｚ８．ｎｘ．ｓｇｅｅ．ｃｏｍ． 户理解和记忆。 ２．２域名解析 为了把一个域名映射为一个ＩＰ地址，应用程序调用一 种名叫解析器（ｒｅｓｏｌｖｅｒ）的库过程，参数为域名。解析器将 ＵＤＰ分组传送给本地ＤＮＳ服务器上，本地ＤＮＳ服务器查 找域名并将ＩＰ地址返回给解析器，解析器再把它返回给应 用程序。 域名解析有两种方式：反复解析和递归解析。在反复解 析方式中，如果服务器查不到相应的记录 会返回另一个可 能知道结果的服务器发送查询请求。在递归解析方式中，要 求域名服务器系统一次性完成全部名字一地址转换，即如 果不能从该服务器本地得到解析，就由该ＤＮＳ服务器向其 他ＤＮＳ服务器发出请求，直到得到查询结果或出现错误为 止，相当于由收到递归请求的ＤＮＳ服务器来完成反复解析 中用户的工作。 域名解析是按照分层结构的特点自顶向下进行的。然 而，如果每一个解析请求都从根服务器开始，那么到达根服 务器的信息流量随互联网规模的增大而增大。在大型互联 网中，根服务器有可能因负荷太重而超载。在实际中，大多 数域名解析都是解析本地域名，可以在本地域名服务器中 完成。因此．往往域名解析都先向本地域名服务器发出请 求，这样可以提高域名解析的效率。解析过程如图２所示。 ： 二二二二 二： ｔ … － ●… ………… ・… … （１ ０） 匦至至 巨２ ＤＮＳ的解析过程 客户机向本地域名服务器发送请求，请求回“ＷＷＷ．ＳＺＳ． ｎｘ．ｓｇｅｅ．ｃｏｍ．ｃｎ”主机的ＩＰ地址（①）；本地域名服务器检查 其数据库，发现数据库中没有域名为“ｗｗｗ．ＳＺｓ．ｎｘ．ｓｇｃｃ．ｃｏｍ． ｃｎ”的主机，于是将此请求发送给根域名服务器（②）：根域 名服务器将“．ｃｎ”一级域名服务器的ＩＰ地址返回给本地域 名服务器（③）；本地域名服务器向“．ｃｎ”域名服务器询问 ・５８・ ｃｎ”所对应的ＩＰ地址；最后本地域名服务器“ｗｗｗ．ＳＺＳ．ｎｘ． ｓｇｅｅ．ｃｏｍ．ｃｎ”的ＩＰ地址返回给客户机（④），至此，整个解析 过程完成。 在大型的ＴＣＰ／ＩＰ互联网中，除了从本地域名服务器 开始解析外，还可以采用高速缓冲技术来提高域名解析的 效率。在域名服务器开辟一个专用内存，存放最近解析过的 域名及相应的ＩＰ地址。服务器收到域名请求后，若在本地 数据库中未找到对应信息，则回去检查缓冲区，看是否最 近解析过该域名，有则报告给解析器，没有再去向其他服 务器发送解析请求。同样，高速缓冲机制也可以在主机上 使用。当然，在使用时，要采取相应措施保证缓冲区中域名 和ＩＰ地址的映射关系的有效性。 ３ ＤＮＳ安全风险分析 ＤＮＳ服务主要完成域名与ＩＰ地址间的转换及有关电 子邮件的路由信息。ＤＮＳ使用超高速缓存将收到的有关映 射信息存放在高速缓存中，以后有相同的请求就直接使用 缓存中的信息，大大提高了解析的速度。由于本地存在高速 缓存，所以，一旦高速缓存的信息被修改，就会产生错误的 解析结果，这是ＤＮＳ潜在的安全问题之一，此外还有许多 其它方面的安全隐患。 ＤＮＳ的安全隐患有以下方面： （１）缓冲区溢出漏洞允许远程控制计算机； （２）域名欺骗（ＤＮＳ Ｓｐｏｏｆｉｎｇ）； （３）利用区传输造成Ｄ Ｎ Ｓ信息泄密； （４）ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）拒绝服务攻击； （５）无访问控制的递规查询； （６）反向查询缓冲区超时（Ｉｎｖｅｒｓｅ Ｑｕｅｒｙ Ｂｕｆｆｅｒ Ｏｖｅｒｒｕｎ） 版本所衍生的安全问题； （７）动态更新和递规查询。 ＤＮＳ欺骗（ＤＮＳ Ｓｐｏｏｆｉｎｇ）：主要有以下三种形式： ①攻击者在自己的主机上安装网络侦听器，劫持域名 查询请求，然后假冒ＤＮＳ的响应，返回一个错误解析地址， 使发出该域名查询请求的客户机得到—个错误的解析地址； ②攻击者通过污染ＤＮＳ的缓冲区（ＤＮＳ Ｃａｃｈｅ Ｐｏｉ— ｓｏｎｉｎｇ）将ＤＮＳ高速缓存内的信息修改。由于ＤＮＳ的解析 过程是先从本地的缓存中查找要求解析的域名的ＩＰ地址，当 一维普资讯 http://www.cqvip.com 《宁夏电力））２００７年第５期 本地的缓存内的信息被修改后，就会将—个被篡改后的ＩＰ地 址发送给请求者，使请求者得到—个错误的解析地址。 浅析ＤＮＳ技术与安全防护 进行区域复制，这样入侵者就无法利用区域复制获取区域 中的所有数据了。 ４．２保护ＤＮＳ的方法 ③攻击者侵入操作系统，获得管理员权限，直接修改 ＤＮＳ数据文件。 针对域名服务器的拒绝服务（ＤｏＳ）攻击： （Ｉ）采用最新版本的ＤＮＳ服务器软件，但随着新漏洞 和新版本的出现，要注意升级或安装相应的补丁程序。 （２）使用交叉检验，即服务器通过反向查询已得到ＩＰ 这种攻击主要有二种，一种是利用ＤＮＳ软件本身的漏 洞进行攻击；另一种是用户端泛滥，攻击者仿造源地址，产 生一个查询请求，使域名服务器忙于应付大量的无效回应， 而无法处理正常的用户请求。 地址所对应的主机名后，再用该主机名查询ＤＮＳ系统对应 于该主机名的ＩＰ地址。两者一致，判定用户合法。 （３）配置防火墙，将内、外ＤＮＳ服务器隔离。内部 利用区传输造成ＤＮＳ信息泄密： 名字服务器通常含有域名空间中某一部分的完整信 息，这一部分称为区；区的内容是从文件或其它名字服务器 中加载过来的，在加载的过程中，黑客可以劫获传输的内 ＤＮＳ服务器只提供内部网名字解析，外部ＤＮＳ服务器负责 外部用户的查询，并处理内网服务器提交的请求。这样还可 以简化安全管理。 （４）可通过访问控制列表用户对ＤＮＳ服务器的访问。 容，造成整个区域的信息泄露，同时在加载的过程中，也会 增加服务器的负载。一旦ＤＮＳ系统被攻击成功，入侵者就 会删除日志文件，销毁自己可能暴露的蛛丝马迹，然后在 ＤＮＳ系统中安装程序，通过运行它获得管理员权限，同时 （５）区域传送，以防入侵者通过正常的查询命令 获得丰富的内部信息。 ５结束语 从更安全、更可靠的角度来配置和使用ＤＮＳ服务，是 面对日益复杂和不安全的网络应用的有效方法之一。ＤＮＳ 开始向外进行扫描，在几分钟内就可发现大量的存在相同 漏洞的服务器，并可对之重复上述攻击，如此反复，后果不 堪设想。 不仅仅影响安全，它还影响到ｍａｉｌ服务，ＷＷＷ服务等等其他 ４ ＤＮＳ安全策略 由以上分析可知，ＤＮＳ服务器一旦被控制，有可能造 成信息泄漏、关键资源被侵入、拒绝服务等严重后果，必 须采取措施，保证ＤＮＳ的安全性。对于系统本身的设计和 重要内容。可以说除了网络层以下的物理连通之外。ＤＮＳ是 所有网络应用层中最重要的服务内容。确保ＤＮＳ的正常运 转和安全可靠，是怎样强调都不为过的。事实上，没有一种 安全策略是１００％安全的，网络攻击手段的不断发展和变 化，要求服务器管理员强化安全意识，在实际工作中不断地 总结和积累经验，逐步提高ＤＮＳ服务器的安全性和可靠 性。无论是在Ｉｎｔｒａｎｅｔ，还是在整个Ｉｎｔｅｍｅｔ，采用新的技术．防 软件的漏洞，大部分用户无法直接参与，所以，对ＤＮＳ的保 护关键是要进行安全的ＤＮＳ配置。 ４．Ｉ保护ＤＮＳ的指导方针 范潜在的攻击，是我们始终面对的问题。 参考文献： ［１］Ｈ ｕｎｔＣ．ＴＣＰ／／Ｐ网络管理［Ｍ］．北京：电子工业出版社，２００２． ［２］吴功宜．计算机网络［Ｍ］．北京：清华大学出版社，２００３． ［３］罗杰云，贺敏伟．ＤＮＳ协议的安全浅析，２００４． ［４］王达．网管员必读～网络基础．北京：电子工业出版社，２００４． （Ｉ）将内部用户与外部用户使用ＤＮＳ可以访问的信息相 互隔开。确保可从外部访问的ＤＮＳ服务器只包含与公共服务 有关的信息，例如Ｗｅｂ服务器和电子邮件服务器的地址。 （２）在内部ＤＮＳ服务器上可允许动态更新，但不要允 许外部ＤＮＳ服务器的动态更新Ｏ （３）只允许经授权的计算机更新各自的ＤＮＳ注册信 息，将内部ＤＮＳ服务器配置为只允许安全更新。 （４）只能从主ＤＮＳ服务器向辅助的ＤＮＳ服务器 ・十一—’ 一＋ —’ 一—’ 一＋一＋一＋—＋一＋一＋一＋一＋一＋一＋一＋一＋一＋一＋一＋一＋ ＋－＋一＋－—’ －＋－＋－十一＋－＋－＋・＋－＋－＋一＋－＋ （上接第３８页） 回路中采用了主变三侧开关ＴＷＪ串联的方式，这大大减少 ３结束语 完善主变备自投及过载切负荷装置回路和逻辑方案， 使之达到最优的配合，对提高变电所供电可靠性具有非常 重要的现实意义。随着新技术的不断发展和应用，各种自动 装置在应用中会不断遇到一些问题，这就需要我们不断发 现问题、分析问题、解决问题，只有这样才能使电网的二次 设备功能更可靠，更完善。 ．了装置误动作的可能性，但是当主变中低压侧开关偷跳，造 成母线失压时，装置又显得为力。安全性和可信赖性是 相互矛盾的，如何合理地找到一个平衡点，必须结合实际， 对电网的运行方式和变电所的特点进行分析，才能找到最 佳方案。 ５９．
