建站
咨詢
售后
建站咨詢
新聞中心
DNS緩存中毒是一種網(wǎng)絡(luò)攻擊，它使您的計(jì)算機(jī)誤以為它會(huì)到達(dá)正確的地址，但事實(shí)并非如此。攻擊者使用DNS緩存中毒來(lái)劫持互聯(lián)網(wǎng)流量并竊取用戶憑據(jù)或個(gè)人數(shù)據(jù)。DNS緩存中毒攻擊也稱為DNS欺騙，它試圖誘騙用戶將其私人數(shù)據(jù)輸入不安全的網(wǎng)站，下面為大家具體講解一下DNS緩存中毒。
廣東ssl適用于網(wǎng)站、小程序/APP、API接口等需要進(jìn)行數(shù)據(jù)傳輸應(yīng)用場(chǎng)景，ssl證書(shū)未來(lái)市場(chǎng)廣闊！成為創(chuàng)新互聯(lián)的ssl證書(shū)銷售渠道，可以享受市場(chǎng)價(jià)格4-6折優(yōu)惠！如果有意向歡迎電話聯(lián)系或者加微信：18982081108（備注：SSL證書(shū)合作）期待與您的合作！
DNS緩存中毒如何工作?
當(dāng)一個(gè)DNS緩存服務(wù)器從用戶處獲得域名請(qǐng)求時(shí)，服務(wù)器會(huì)在緩存中尋找是否有這個(gè)地址。如果沒(méi)有，它就會(huì)上級(jí)DNS服務(wù)器發(fā)出請(qǐng)求。在出現(xiàn)這種漏洞之前，攻擊者很難攻擊DNS服務(wù)器：他們必須通過(guò)發(fā)送偽造查詢響應(yīng)、獲得正確的查詢參數(shù)以進(jìn)入緩存服務(wù)器，進(jìn)而控制合法DNS服務(wù)器。這個(gè)過(guò)程通常持續(xù)不到一秒鐘，因此黑客攻擊很難獲得成功。但是，現(xiàn)在有安全人員找到該漏洞，使得這一過(guò)程朝向有利于攻擊者轉(zhuǎn)變。這是因?yàn)楣粽攉@悉，對(duì)緩存服務(wù)器進(jìn)行持續(xù)不斷的查詢請(qǐng)求，服務(wù)器不能給與回應(yīng)。比如，一個(gè)黑客可能會(huì)發(fā)出類似請(qǐng)求：1q2w3e.google.com，而且他也知道緩存服務(wù)器中不可能有這個(gè)域名。這就會(huì)引起緩存服務(wù)器發(fā)出更多查詢請(qǐng)求，并且會(huì)出現(xiàn)很多欺騙應(yīng)答的機(jī)會(huì)。當(dāng)然，這并不是說(shuō)攻擊者擁有很多機(jī)會(huì)來(lái)猜測(cè)查詢參數(shù)的正確值。事實(shí)上，是這種開(kāi)放源DNS服務(wù)器漏洞的公布，會(huì)讓它在10秒鐘內(nèi)受到危險(xiǎn)攻擊。要知道，即使1q2w3e.google.com受到緩存DNS中毒攻擊危害也不大，因?yàn)闆](méi)有人會(huì)發(fā)出這樣的域名請(qǐng)求，但是，這正是攻擊者發(fā)揮威力的地方所在。通過(guò)欺騙應(yīng)答，黑客也可以給緩存服務(wù)器指向一個(gè)非法的服務(wù)器域名地址，該地址一般為黑客所控制。而且通常來(lái)說(shuō)，這兩方面的信息緩存服務(wù)器都會(huì)存儲(chǔ)。由于攻擊者現(xiàn)在可以控制域名服務(wù)器，每個(gè)查詢請(qǐng)求都會(huì)被重定向到黑客指定的服務(wù)器上。這也就意味著，黑客可以控制所有域名下的子域網(wǎng)址：www.bigbank.com，mail.bigbank.com，ftp.bigbank.com等等。這非常強(qiáng)大，任何涉及到子域網(wǎng)址的查詢，都可以引導(dǎo)至由黑客指定的任何服務(wù)器上。
DNS緩存中毒有何風(fēng)險(xiǎn)?
DNS緩存中毒的主要風(fēng)險(xiǎn)是竊取數(shù)據(jù)。DNS緩存中毒攻擊的最喜歡的目標(biāo)是醫(yī)院，金融機(jī)構(gòu)網(wǎng)站和在線零售商。這些目標(biāo)容易被欺騙，這意味著任何密碼，信用卡或其他個(gè)人信息都可能受到損害。此外，在用戶設(shè)備上安裝密鑰記錄器的風(fēng)險(xiǎn)，可能會(huì)導(dǎo)致用戶訪問(wèn)其他站點(diǎn)時(shí)暴露其用戶名和密碼。另一個(gè)重大風(fēng)險(xiǎn)是，如果互聯(lián)網(wǎng)安全提供商的網(wǎng)站被欺騙，那么用戶的計(jì)算機(jī)可能會(huì)受到其他威脅(如：病毒或特洛伊木馬)的影響，因?yàn)橐坏┍还粲脩魟t不會(huì)執(zhí)行合法的安全更新。據(jù)稱，DNS攻擊的年平均成本為223.6萬(wàn)美元，其中23%的攻擊來(lái)自DNS緩存中毒。
如何防止DNS緩存中毒
那么，企業(yè)究竟該如何防止DNS緩存中毒攻擊?要從以下幾點(diǎn)出發(fā)：第一，DNS服務(wù)器應(yīng)該配置為盡可能少地依賴與其他DNS服務(wù)器的信任關(guān)系。以這種方式配置將使攻擊者更難以使用他們自己的DNS服務(wù)器來(lái)破壞目標(biāo)服務(wù)器。第二，企業(yè)應(yīng)該設(shè)置DNS服務(wù)器，只允許所需的服務(wù)運(yùn)行。因?yàn)樵贒NS服務(wù)器上運(yùn)行不需要的其他服務(wù)，只會(huì)增加攻擊向量大小。第三，安全人員還應(yīng)確保使用最新版本的DNS。較新版本的BIND具有加密安全事務(wù)ID和端口隨機(jī)化等功能，可以幫助防止緩存中毒攻擊。第四，用戶的安全教育對(duì)于防止這些攻擊也非常重要。用戶應(yīng)接受有關(guān)識(shí)別可疑網(wǎng)站的培訓(xùn)，用戶要學(xué)會(huì)只訪問(wèn)HTTPS網(wǎng)站，這有助于防止人們成為中毒攻擊的受害者，因?yàn)樗麄儠?huì)確保不將他們的個(gè)人信息輸入黑客的網(wǎng)站。如果他們?cè)谶B接到網(wǎng)站之前收到SSL警告，則不會(huì)單擊“忽略”按鈕。 這樣就不會(huì)受到DNS緩存中毒攻擊。
結(jié)論
HTTPS是現(xiàn)行架構(gòu)下最安全的解決方案，SSL證書(shū)可以很直觀的辨別出釣魚(yú)網(wǎng)站，避免網(wǎng)站受到DNS緩存中毒攻擊，保護(hù)信息安全。部署SSL證書(shū)一定要選擇一個(gè)具有公信力的CA機(jī)構(gòu)，選擇CA機(jī)構(gòu)最好是通過(guò)國(guó)際Webtrust標(biāo)準(zhǔn)的認(rèn)證，具備了國(guó)際電子認(rèn)證服務(wù)能力的CA機(jī)構(gòu)，通過(guò)國(guó)際Webtrust標(biāo)準(zhǔn)的認(rèn)證意味著CA機(jī)構(gòu)的運(yùn)營(yíng)管理和服務(wù)水平符合國(guó)際標(biāo)準(zhǔn)，并且有能力、有資質(zhì)提供全球化認(rèn)證服務(wù)，是可靠電子認(rèn)證服務(wù)的有效證明。
名稱欄目：詳解DNS緩存中毒
轉(zhuǎn)載源于：http://fisionsoft.com.cn/article/djsoigs.html
