什么是DNS劫持？如何检测和修复？

DNS 劫持是一种常见的网络攻击技术，称为域名服务器重新配置。攻击者的目标是将用户重定向到他们创建的虚假网站。

域名服务器劫持

也称为 DNS 重定向，黑客利用该过程更改域名系统 (DNS) 的解析，使用恶意软件确保将真实服务器修改为不符合设定的互联网标准。

多年来，基于 DNS 的攻击一直处于高位。事实上，网络罪犯知道 DNS 是组织使用的受信任协议，并且其中许多组织不会跟踪其 DNS 流量以了解异常流量或恶意活动。因此，犯罪者利用这个漏洞攻击网站，以窃取信息、进行欺诈或破坏网站。

如今，许多组织比以往任何时候都花费更多的金钱和资源来实施 DNS 监控解决方案，并雇用和培养坚实的第一道防线所需的人才。不用说，这是因为 DNS 在商业世界中已经司空见惯。

什么是DNS？

域名系统 (DNS) 是互联网不可或缺的一部分，每个人都有意或无意地使用它。正如联系人保存在您的电话簿中以在他们拨打您的电话时识别他们一样，互联网有自己的计算机、服务和其他连接资源的电话簿。互联网使用的这种命名系统称为 DNS。

当试图访问互联网上的信息时，人们会输入“google.com”、“supersport.com”等网站的域名。完成后，用于启动搜索的网络浏览器通过设备的互联网协议进行交互（ IP地址。DNS 随后将域名转换为 IP 地址，网站加载互联网上可用的资源。

DNS 是技术爱好者开发的一项计划，因为没有它；人类将不得不记住或连续记下他们用来连接互联网的不同设备的不同数字——笔记本电脑、手机、平板电脑等。

换句话说，DNS 是互联网的名称记录，它与称为 IP 地址的数字相匹配。这些数字（IP 地址）是计算机用来通过网络相互通信的，以消除人类记忆 IP 地址的需要。

DNS是如何工作的？

就像每个有街道地址的房子一样，互联网上的每个设备都有一个与其相关联的 IP 地址。如果没有 IP 地址，则连接到 Internet 网络的其他设备无法找到该设备。因此，当用户在他们的 Web 浏览器中键入一个人性化的 URL，如“www.mfisp.com”（使用计算机友好的 IP 地址，如192.123.1.1 – 对于 IPv4 或2606:1100:220:1:258 :1893:25c8:1945 – 对于 IPv6)，输入浏览器的信息与通过查找服务器（包括递归解析器、根名称服务器、顶级域服务器 (TLD)）的 IP 地址之间存在通信) 和权威名称服务器，然后才能在 Internet 上找到该网页。请务必注意，除了从计算机发送的初始请求外，DNS 查找过程在幕后进行，不需要计算机进行任何进一步的交互。

什么是 DNS 劫持？

DNS 劫持是对域名系统 (DNS) 的攻击。在某些情况下，它可能是对 DNS 的攻击，使其无法使用，而在其他情况下，它可能是一种将网站用户重定向到另一个网站的隐秘模式。无论哪种方式，DNS 劫持攻击都将 DNS 用作攻击过程的重要组成部分。通常，在 DNS 劫持期间，攻击者会错误地解析用户发送的 DNS 查询，并在用户不知情的情况下将其重定向到虚假站点。之后，网站用户无意中进入了链接的有害网站或继续在网络攻击者已入侵的服务器上使用互联网。

在世界各地，每天都会发生大量的 DNS 劫持攻击浪潮，因为许多公司都有链接到其网站的域名，这些域名旨在向网站访问者提供有关其产品和服务的更多信息。

通常，恶意软件由攻击者安装在用户的计算机上，攻击者随后将他们的查询重定向到有害网站，网络犯罪分子可以在这些网站上窃取用户的登录凭据和其他信息等数据。在其他一些情况下，域名服务器通信被黑客攻击以达到相同的结果。

从业务角度来看，DNS 劫持攻击可能会使您失去无法信任您网站安全性并因无法访问您网站内容而感到沮丧的用户。它可以让黑客访问您客户的敏感信息，并使他们和您的企业面临欺诈活动的风险。

为什么 DNS 会被劫持？

网络罪犯出于不同的原因劫持域名系统。在某些情况下，黑客将其用于域欺骗——显示不需要的广告以从用户重定向中获取收入。在其他情况下，它被用于网络钓鱼——显示有害的虚假网站，旨在窃取用户的凭据和其他数据。然而，在许多其他情况下，黑客发起域名系统攻击的主要目的是非常明显的。他们想从网站用户的银行账户中抽取资金到其他渠道，进行信用卡欺诈，在暗网上出售从此类网站获得的用户个人数据。

同样公开的秘密是，相当多的互联网服务提供商（ISP）也使用这种域重定向方法来控制用户的DNS查询，收集他们的数据，并根据这些数据定制广告。在一些不受欢迎的情况下，ISP 随后会向其订户提供可配置的设置，以自行禁用劫持。如果设置正确，该设置会将 DNS 恢复为默认状态。但是，在更多情况下，其他 ISP 会使用网络浏览器 cookie 来存储用户的偏好。在这种情况下，用户的 DNS 查询继续被重定向，而 ISP 重定向页面被伪造的 DNS 错误页面所取代。一些政府机构使用 DNS 劫持将用户重定向到政府网站或在其他一些情况下用于审查目的。

DNS 劫持攻击的类型

网络犯罪分子可以通过四种不同的方式实现 DNS 劫持：

• 本地 DNS 劫持：当网络罪犯在网站用户的计算机上安装特洛伊木马恶意软件时，就会实现这种 DNS 劫持方法。该恶意软件旨在伪装成合法软件。一旦激活，黑客便可以访问正在使用的网络系统，并允许他们窃取数据和更改 DNS 设置以将用户重定向到虚假网站。
• 路由器 DNS 劫持：这种 DNS 劫持方法涉及黑客使用易受攻击的 DNS 路由器（域服务提供商用来将其域名链接到等效 IP 地址的硬件设备）通过覆盖和重新配置路由器的 DNS 设置来发起 DNS 攻击。一旦完成，攻击者就会阻塞网站，然后将流量重定向到另一个恶意网站，使用户无法访问该网站。
• 中间人DNS 劫持：这是由黑客在网络用户和 DNS 服务器之间的通信中进行操作以阻止此类通信并最终将用户重定向到导致有害网站的未知目标 IP 地址来完成的。它也称为 DNS 欺骗。
• 流氓 DNS 劫持：这涉及攻击者入侵 DNS 服务器，更改其保存的记录，并将随后的 DNS 查询重定向到通常由他们拥有的恶意网站。

缓解 DNS 劫持的方法

由于 DNS 劫持是对网站的频繁攻击，网站所有者和用户都应该采取预防措施来防止 DNS 劫持。有很多方法可以从网站使用的前端和后端防止 DNS 劫持。

要提高您的 DNS 安全性：

• 在 DNS 解析器周围安装防火墙：由于 DNS 解析器是每个 DNS 的一部分，并且在 DNS 劫持攻击期间，攻击者会在 DNS 中安装伪造的解析器以对抗合法的解析器，您的 IT 团队必须让您的合法解析器受到防火墙的保护才能关闭每个未知的解析器。这将阻止任何外部访问并保护您的 DNS。
• 改进名称服务器访问限制：由于攻击者可能在您的组织内部，因此您的 IT 团队必须部署物理安全系统和多因素身份验证访问以降低 DNS 劫持的风险。
• 采取措施防止缓存中毒：可以通过随机化用户身份、使查询 ID 随机化、为您的服务器使用随机源端口以及在您的网站域名中随机包含大写和小写字符来防止网站缓存中毒。
• 立即修复已知的域漏洞：DNS劫持的实施者知道时不时会出现域漏洞，并利用这些漏洞实施DNS劫持攻击。因此，让您的 IT 人员经常评估您的 DNS 是否存在错误并立即修复此类错误至关重要。
• 单独运行解析器和权威名称服务器：在同一台服务器上运行两者会使您的 DNS 面临 DNS 劫持的风险，因为当其中一个受到DDoS 攻击时，另一个也会自动受到影响。
• 防止区域传输：存储在 DNS 中的记录包含网络犯罪分子感兴趣的敏感数据。为了访问这些记录，黑客通常会伪装成从属名称服务器，这些服务器通常会请求区域传输。一旦发起区域传输，被攻击服务器的区域记录就会被黑客复制。因此，阻止这些传输将减轻 DNS 劫持。

针对最终用户的 DNS 劫持缓解措施

除了在 DNS 劫持期间用未经请求的产品广告塞满用户的设备外，攻击者还会获取用户的凭据和其他个人数据。因此，作为网站用户，您可以不时更改您的路由器密码，在您的计算机上安装防病毒软件并保持更新，只连接到可靠的私人和公共网络，或者使用 VPN 通道将您的 IP 地址更改为防止 DNS 劫持。如果是您的 ISP 进行 DNS 劫持，您可以选择替代 DNS 服务来阻止任何 DNS 劫持攻击。

网站所有者的 DNS 劫持缓解措施

作为网站所有者，如果您不管理您的 DNS，那么除非您有您的组织雇用的可靠的第三方技术支持服务提供商来执行任务，否则没有其他人会为您管理它。如果您或第三方公司不负责管理您的网站并留意异常活动，您的网站很可能在您不知情的情况下遭到黑客攻击。当攻击者劫持您的 DNS 时，他们能够拦截您的整个网络流量和电子邮件通信。

换句话说，采取措施防止 DNS 劫持攻击的重要性怎么强调都不为过，因为当您的网站受到攻击时，可能会造成金钱和客户损失。当您的网站遭受 DNS 劫持时，客户会感到沮丧，您会失去他们的信任，并且会花费大量资金让您的网站重回正轨。

因此，为防止 DNS 劫持，您公司的 IT 人员必须执行以下操作：

• 保证安全访问：这可以通过限制可以访问公司 DNS 的团队成员的数量来实现。网站所有者还可以通过使用双因素身份验证过程将访问权限授予域名服务器注册商来实现这一点。

同样，您可以让您的 IT 团队通过创建包含这些 IP 地址的白名单来限制有权访问您组织的 DNS 设置的 IP 地址的数量。这种方法将大大防止对您网站的 DNS 劫持攻击。

• 部署客户端锁：使用更改锁或客户端锁是防止您的网站遭受 DNS 劫持的另一种方法。如果您的 DNS 注册商启用了客户端锁定，锁定它可以防止在未经特定 IP 地址批准的情况下更改您网站的 DNS 设置。
• 使用 DNSSEC 域名服务器：DNSSEC为 DNS 请求验证部署电子签名和密钥。换句话说，如果您组织的 DNS 注册器与 DNSSEC 配合使用，它将充当您的 DNS 的另一层保护，并使攻击者更难以拦截从您的网站到他们的恶意网站的流量或欺骗流量。从而防止 DNS 劫持。

不要在您的网站上给 DNS 劫持留下空间

最终，DNS 劫持是当今全球许多网站的现实。由于各种原因，许多企业级企业都面临着网络犯罪分子的 DNS 劫持攻击。尽管许多企业主采取了所有措施和努力来避免 DNS 攻击和欺骗，但黑客与日俱增，并开发出新的方法来渗透到任何易受攻击的 DNS 中——窃取数据和破坏网络。

因此，为了保护您公司的网站免受 DNS 劫持，您的团队中必须有 IT 专业人员，他们始终处于领先地位。这些人员将确保您的安全级别高并保持更新。他们还将找出错误和错误，以便在肇事者利用它们之前修复它们。从本质上讲，遵循这些突出的措施将为您和您的企业带来更大的好处，并帮助您防止 DNS 劫持。

如果您需要有关设置安全 DNS 的更多信息或支持，或者您的团队中需要经验丰富的 IT 专业人员，请通过（插入公司名称）联系我们。我们的专家团队将非常乐意为您和您的企业提供支持。