一、DNS 基础与安全重要性
DNS（域名系统）是互联网的"电话簿"，负责把人类可读的域名（如example.com）转换成机器可读的 IP 地址（如 1.2.3.4）。几乎所有的网络应用都依赖DNS，没有 DNS，用户就没法通过域名访问网站、发邮件、用 APP。DNS 是互联网的基础服务，也是非常关键的基础设施。正因为 DNS 如此重要，它也成为攻击者的重点目标。DNS 一旦出问题，影响范围非常大——可能导致整个网站无法访问、邮件收发失败、应用无法使用、用户被钓鱼等。而且 DNS 协议设计比较早，本身存在很多安全缺陷，容易被攻击和利用。DNS 安全是网络安全中非常基础也非常重要的一块，是每个网安从业者都应该掌握的知识点。
二、常见 DNS 安全漏洞与攻击
1. DNS 域传送漏洞（DNS Zone Transfer）：DNS 服务器支持域传送功能，允许从主 DNS 服务器把整个域名的所有记录复制到从服务器，用于主从同步。但如果配置不当，允许任何人都能进行域传送，攻击者就能获取整个域名的所有 DNS 记录，包括子域名、IP 地址、服务器类型等信息，相当于拿到了目标的"网络地图"，为后续攻击提供极大便利。
危害：泄露大量子域名和 IP 信息，帮助攻击者扩大攻击面；泄露内部网络结构和服务器信息；可能发现测试环境、后台系统等隐蔽资产。检测方法：用 dig、nslookup 等工具测试是否允许域传送，命令如 dig@dns_server example.com axfr。
2. DNS 缓存投毒（DNS Cache Poisoning）：攻击者通过伪造 DNS 响应包，让DNS 缓存服务器缓存错误的域名解析结果，把用户引导到攻击者的恶意网站。用户输入正确的域名，却被解析到错误的IP，访问到钓鱼网站或恶意网站，而用户自己完全察觉不到。经典的 DNS 缓存投毒攻击如 Kaminsky 攻击，利用 DNS 的事务 ID 和源端口的可预测性实现投毒。
危害：用户被劫持到钓鱼网站，账号密码被盗；用户下载恶意软件，设备被入侵；网站流量被劫持，造成业务损失和声誉损失。
3. DNS 劫持：攻击者通过各种手段篡改 DNS 解析结果，把域名指向错误的 IP。实现方式有很多种：入侵 DNS 服务器直接修改记录、入侵路由器修改 DNS 设置、运营商层面的 DNS 劫持、本地 Hosts 文件篡改、恶意软件篡改 DNS 设置等。和缓存投毒不同，DNS 劫持是直接篡改了 DNS 记录或配置，而不是欺骗缓存。
危害：和缓存投毒类似，用户被引导到恶意网站；可能被用于流量劫持、广告注入、钓鱼诈骗等；企业内网 DNS 被劫持可能导致内部系统无法访问或数据泄露。
4. DNS 隧道（DNS Tunneling）：攻击者利用 DNS 协议传输非 DNS 数据，把DNS 作为隐蔽通信的隧道。因为 DNS 通常不会被防火墙拦截，很多企业的防火墙允许DNS 流量自由通过，攻击者就把恶意数据、命令、文件等编码到 DNS 查询和响应中，通过 DNS 隧道实现数据外泄、远程控制、绕过防火墙等目的。
危害：数据泄露，把内部数据通过 DNS 偷偷传出去；远程控制，通过 DNS 隧道控制内网的被控机器；绕过防火墙和上网行为管理，访问被禁止的内容。
5. DDOS 攻击（DNS 放大攻击）：利用 DNS 协议的特点发起分布式拒绝服务攻击。DNS 请求包很小，但响应包可能很大（比如 ANY 查询），攻击者伪造源 IP 向大量开放的 DNS 递归服务器发送请求，所有响应都涌向被攻击的目标 IP，形成放大效应，把目标的带宽打满。DNS 放大攻击是常见的 DDoS 攻击方式之一，放大倍数可以达到几十倍甚至上百倍。
危害：目标服务器带宽被占满，无法正常提供服务；业务中断，造成经济损失和声誉损失。
6. 子域名接管（Subdomain Takeover）：某个子域名解析到了一个已经失效的第三方服务（如云存储、CDN、SaaS 平台等），但 DNS 记录没有删除。攻击者可以去注册这个失效的服务，然后就"接管"了这个子域名，子域名的内容完全由攻击者控制。这是一种常见但容易被忽视的安全问题。
危害：攻击者可以在子域名上搭建钓鱼网站；可以利用子域名的信任关系绕过同源策略窃取 Cookie；可以发布恶意内容损害品牌声誉。
7. DNS 重绑定（DNS Rebinding）：攻击者控制一个域名，让这个域名的 DNS 解析在短时间内从攻击者的 IP 切换到目标内网的 IP，利用浏览器的同源策略漏洞，让攻击者的网页脚本可以访问内网资源。这种攻击可以穿透防火墙，从外网攻击内网系统。
危害：攻击内网的 Web 服务、管理后台、IoT 设备等；窃取内网数据；利用内网作为跳板进一步攻击。
三、DNS 安全完整防御方案
1. 关闭不必要的域传送：严格限制 DNS 域传送的 IP 范围，只允许授权的从服务器进行域传送，绝对不能开放给所有人。用 ACL、IP 白名单等方式控制域传送权限。定期检查 DNS 服务器配置，确保域传送没有被错误开放。
2. 部署 DNSSEC：DNSSEC（DNS 安全扩展）通过数字签名技术保证 DNS 响应的真实性和完整性，防止 DNS 缓存投毒和数据篡改。虽然部署和运维稍微复杂一点，但这是从协议层面防御 DNS 欺骗的根本方案。重要的域名建议部署 DNSSEC。
3. 使用安全的 DNS 服务器：选择可靠、安全的 DNS 服务商，定期升级 DNS 服务器软件版本，及时修补安全漏洞。不要使用来历不明的 DNS 服务器。自建 DNS 服务器要做好安全加固，关闭不必要的功能，限制访问权限。
4. 配置 DNS 递归查询限制：如果 DNS 服务器不需要为公众提供递归查询服务，就关闭递归功能，只做权威解析。开放的递归 DNS 服务器不仅可能被用于放大攻击，也增加了缓存投毒的风险。如果必须提供递归服务，要严格限制访问范围，做好安全防护。
5. DNS 隧道检测与防护：部署 DNS 安全检测设备或系统，监控异常的 DNS 流量，比如异常长的域名、异常多的 DNS 请求、罕见的查询类型等，识别和阻断 DNS隧道。同时可以配置 DNS 防火墙，过滤恶意域名和可疑的 DNS 查询。
6. 防 DDoS 攻击：对于 DNS 服务器，部署 DDoS 防护设备或服务，能够抵御DNS 放大攻击等 DDoS 攻击。同时优化 DNS 服务器配置，限制查询速率，防止被打垮。使用 Anycast、CDN 等技术分散流量，提升抗攻击能力。
7. 定期清理 DNS 记录：定期检查和清理 DNS 记录，及时删除已经失效的子域名解析，特别是指向第三方服务的记录，防止子域名接管。建立 DNS 变更管理流程，所有
DNS 记录的增删改都要有审批和记录。
8. 客户端安全：终端用户要使用安全可靠的 DNS 服务器（如公共 DNS、加密DNS），不要随便使用陌生的 DNS。开启 DNS-over-HTTPS（DoH）或 DNS-over-TLS（DoT）等加密 DNS 服务，防止 DNS 查询被窃听和篡改。定期检查本机的 DNS设置和 Hosts 文件，防止被恶意篡改。
9. 内网 DNS 安全：企业内网的 DNS 服务器要特别注意安全加固，限制访问范围，做好访问控制。内网 DNS 不要暴露到公网。内网域名和公网域名分开管理，防止内网信息泄露。
10. 监控与审计：对 DNS 服务器的运行状态、查询日志、异常流量进行持续监控，及时发现和响应安全事件。保留 DNS 查询日志，便于事后溯源和取证。
四、常见误区
觉得 DNS 只是个基础服务，没什么安全问题：DNS 是关键基础设施，出问题影响很大，攻击手段也很多
只防护公网 DNS，不管内网 DNS：内网 DNS 被入侵可能导致整个内网被渗透
觉得用了 HTTPS 就不需要 DNS 安全：HTTPS 只能保证传输加密，防不了DNS 劫持和投毒
DNS 记录加了就不管了：失效的 DNS 记录可能导致子域名接管，要定期清理
开放递归 DNS 服务器没什么风险：开放递归可能被用于 DDoS 放大攻击，也增加了投毒风险
五、DNS 安全检测方法
1. 域传送漏洞检测：用 dig axfr、nslookup 等工具测试 DNS 服务器是否允许匿域传送；
2. DNSSEC 检测：检查域名是否部署了 DNSSEC，验证签名是否有效；
3. 子域名枚举：用子域名扫描工具（如 subfinder、amass 等）枚举所有子域名，检查是否有失效的、可被接管的子域名；
4. DNS 隧道检测：分析 DNS 流量，检查是否有异常的域名格式、异常的查询频率、异常的响应大小等；
5. DNS 服务器配置审计：检查 DNS 服务器的配置是否安全，是否关闭了不必要的功能，权限控制是否到位；
6. 缓存投毒测试：测试 DNS 服务器是否容易受到缓存投毒攻击，检查源端口是否随机、事务 ID 是否随机等。
