一、核心定义与别名
- 基础定义：攻击者冒充域名服务器，把用户查询的目标网站IP替换为攻击者控制的恶意IP，让用户直接访问伪造站点。
- 常见别名：也被称为DNS缓存投毒、域名服务器欺骗、域欺骗（Pharming），属于典型的中间人攻击类型。
二、核心攻击原理
- 协议缺陷利用：传统DNS基于UDP协议传输，缺乏内置的数据来源和完整性验证机制，攻击者可抢先发送伪造的解析响应包。
- 关键匹配条件：伪造响应需要精准匹配DNS查询的16位事务ID、源端口号，且在合法服务器的响应到达前完成投递，才能被目标设备接受并缓存。
- 典型攻击手法：包括DNS缓存投毒污染服务器缓存、本地篡改hosts/路由器DNS配置、结合ARP欺骗在局域网内拦截DNS请求等。
三、主要危害
- 个人用户层面：被引导至高仿钓鱼页面，导致账号密码、金融信息被盗，或设备被植入恶意软件，也可能被强制跳转至广告页面。
- 企业机构层面：关键业务域名被劫持后会直接导致服务中断，造成订单流失、经济损失，同时严重损害企业品牌声誉。
- 公共网络层面：可被用于大规模流量劫持，将大量用户导向非法站点，扰乱正常网络访问秩序。
四、检测与防范方法
- 异常行为识别：访问常规网站时频繁跳转至陌生的色情、赌博或广告页面，大概率遭遇DNS欺骗，需立即断开网络排查。
- 基础配置防护：定期检查路由器后台DNS地址是否为陌生IP，修改路由器弱口令，将设备DNS设置为运营商官方地址或可信公共DNS（如114.114.114.114、8.8.8.8）。
- 技术加固手段：启用DNSSEC域名安全扩展验证解析数据完整性，使用DoH/DoT加密DNS查询过程，避免解析请求在传输中被窃听篡改。
- 服务器侧防护：启用DNS服务器源端口随机化，关闭不必要的递归查询功能，及时更新DNS服务补丁抵御缓存投毒攻击。
原创文章，作者：余初云，如若转载，请注明出处：https://blog.jidcy.com/jsjc/3359.html