很多朋友一聽(tīng)“黑客技術(shù)”四個(gè)字第一反應(yīng)就是終端里滾動(dòng)的綠色字符、幽暗屏幕前的神秘人以及電影里那種敲幾下鍵盤(pán)就能黑進(jìn)對(duì)方系統(tǒng)的場(chǎng)面。真正接觸安全這一行之后你會(huì)發(fā)現(xiàn)相當(dāng)一部分被媒體報(bào)道成“黑客攻擊”的事件底層原理并沒(méi)有想象中那么玄乎。就拿DNS劫持來(lái)說(shuō)——這可能是普通用戶(hù)和中小企業(yè)遇到頻率最高的網(wǎng)絡(luò)安全問(wèn)題之一而它的原理、排查方法和防御手段半天時(shí)間就能理清楚。這篇文章的話(huà)題是“黑客技術(shù)沒(méi)你想象的那么難——DNS劫持篇”但我想說(shuō)的不是它不值得重視恰恰相反正是因?yàn)樵黹T(mén)檻不高它才會(huì)被大規(guī)模使用每年都有大量站點(diǎn)和普通家庭網(wǎng)絡(luò)栽在上面。理解這一點(diǎn)你才能更好地保護(hù)自己和手上的業(yè)務(wù)。文章會(huì)從DNS的工作鏈路講起拆解常見(jiàn)劫持類(lèi)型再給出一套可以照著做的排查流程和加固方案最后復(fù)盤(pán)一個(gè)我處理過(guò)的真實(shí)案例已脫敏。無(wú)論你是剛接觸安全的小白還是維護(hù)著網(wǎng)站、后臺(tái)甚至只是家里路由器被人動(dòng)過(guò)的普通用戶(hù)都能從中找到能直接上手的部分。1. 先說(shuō)結(jié)論DNS劫持為什么屬于“原理不難”的攻擊方式1.1 DNS的日常完整鏈路一次訪(fǎng)問(wèn)背后的多次問(wèn)答要理解劫持先得知道DNS平時(shí)是怎么干活的。你在瀏覽器里輸入一個(gè)域名比如example.com背后其實(shí)有一連串的“問(wèn)路”動(dòng)作。瀏覽器先去查本地緩存看自己之前有沒(méi)有記錄過(guò)這個(gè)域名對(duì)應(yīng)哪個(gè)IP地址沒(méi)查到就去問(wèn)操作系統(tǒng)操作系統(tǒng)再查系統(tǒng)級(jí)的DNS緩存還沒(méi)有就會(huì)去看本地一個(gè)叫hosts的靜態(tài)映射文件如果hosts里也沒(méi)有系統(tǒng)才會(huì)把請(qǐng)求發(fā)給你配置的DNS服務(wù)器。這還不是終點(diǎn)你配置的DNS服務(wù)器如果也不知道它還得替你去問(wèn)根域名服務(wù)器、問(wèn)頂級(jí)域名服務(wù)器、最后問(wèn)到example.com的權(quán)威域名服務(wù)器拿到最終答案后再一層層傳回來(lái)。整個(gè)過(guò)程看起來(lái)環(huán)節(jié)很多但每一步邏輯都非常簡(jiǎn)單。唯一的麻煩是這條鏈路實(shí)在太長(zhǎng)而每一個(gè)環(huán)節(jié)都有可能被動(dòng)手腳。你只要把DNS理解成“網(wǎng)絡(luò)世界的翻譯官”——負(fù)責(zé)把人類(lèi)易記的域名翻譯成計(jì)算機(jī)能理解的IP地址——那么劫持的本質(zhì)就一句話(huà)有人在你問(wèn)路的時(shí)候給你指了個(gè)錯(cuò)誤的方向而你以為這就是正確路線(xiàn)。1.2 劫持的本質(zhì)在“翻譯環(huán)節(jié)”給一個(gè)假答案DNS劫持不是說(shuō)攻擊者一定要攻破某個(gè)大服務(wù)器它的核心思路是干預(yù)“翻譯結(jié)果”。你問(wèn)bank.com在哪正常的答案是“在1.2.3.4等你”被劫持后系統(tǒng)可能給你返回“在5.6.7.8等你”而5.6.7.8是一臺(tái)攻擊者控制的機(jī)器。你根本不會(huì)察覺(jué)因?yàn)闉g覽器地址欄里輸?shù)拇_實(shí)是正確的域名打開(kāi)的頁(yè)面內(nèi)容也可以被偽造得和真站幾乎一樣。更直白的類(lèi)比是你打電話(huà)問(wèn)114“某公司客服電話(huà)是多少”114給了你一個(gè)錯(cuò)的號(hào)碼而你不知道這個(gè)號(hào)碼是假的。接下來(lái)你聯(lián)系到的“客服”當(dāng)然不是真正的客服你告訴它的一切信息都會(huì)被對(duì)方利用。DNS劫持干的就是這件事——它不直接攻擊你的電腦而是在“翻譯”這個(gè)中間環(huán)節(jié)把關(guān)鍵信息替換掉。1.3 為什么“不高深”卻被傳得很神秘這里有個(gè)很實(shí)際的問(wèn)題既然原理這么簡(jiǎn)單為什么很多新聞把它描寫(xiě)成“高級(jí)黑客行為”原因有三。第一傳統(tǒng)DNS協(xié)議默認(rèn)使用UDP明文傳輸而且歷史上很長(zhǎng)一段時(shí)間沒(méi)有完整性校驗(yàn)。第二DNS鏈路上的“可介入點(diǎn)”太多了本機(jī)配置、hosts文件、路由器、運(yùn)營(yíng)商網(wǎng)絡(luò)、公共遞歸DNS、甚至域名托管商的賬號(hào)任意一個(gè)被拿下解析結(jié)果就可能被篡改。第三劫持之后的表現(xiàn)非常直觀——網(wǎng)頁(yè)打不開(kāi)、頁(yè)面被插廣告、輸入A網(wǎng)站卻被帶到B網(wǎng)站普通用戶(hù)很容易把原因歸結(jié)為“電腦壞了”或“網(wǎng)站掛了”。真正讓攻擊顯得復(fù)雜的只是攻擊者把這幾個(gè)簡(jiǎn)單環(huán)節(jié)組合成一條自動(dòng)化鏈條。所以文章標(biāo)題我才說(shuō)“沒(méi)你想象的那么難”這不是低估安全問(wèn)題而是提醒大家一個(gè)原理簡(jiǎn)單的攻擊如果被無(wú)視殺傷力反而更大。2. 拆解常見(jiàn)劫持類(lèi)型每個(gè)環(huán)節(jié)都有人盯上DNS劫持并不是只有一種玩法。按介入位置劃分常見(jiàn)的有四類(lèi)本地劫持、網(wǎng)絡(luò)設(shè)備劫持、鏈路側(cè)劫持、遞歸服務(wù)器緩存污染。下面逐個(gè)拆開(kāi)看每類(lèi)劫持的現(xiàn)象和排查側(cè)重點(diǎn)都不一樣。2.1 本地劫持入口文件與系統(tǒng)設(shè)置本機(jī)層面的劫持最典型的操作對(duì)象是hosts文件和系統(tǒng)DNS設(shè)置。hosts文件是一個(gè)純文本文件里面的內(nèi)容是“域名 空格 IP地址”作用是在電腦發(fā)起DNS查詢(xún)之前先檢查這個(gè)靜態(tài)映射表。如果這里面被寫(xiě)入一條記錄比如127.0.0.1 example.com那么所有訪(fǎng)問(wèn)example.com的請(qǐng)求都會(huì)被指向本地回環(huán)地址也就是自己訪(fǎng)問(wèn)自己頁(yè)面自然打不開(kāi)。更麻煩的是它可以把bank.com指向一個(gè)偽造頁(yè)面服務(wù)器的IP用戶(hù)毫無(wú)察覺(jué)。系統(tǒng)DNS設(shè)置被篡改是另一條常規(guī)路徑。Windows可以在網(wǎng)絡(luò)適配器屬性里看到“首選DNS服務(wù)器”這一項(xiàng)正常情況下它填的是你運(yùn)營(yíng)商或公司分配的地址也可能是公共DNS。惡意軟件可以修改這個(gè)值讓你所有查詢(xún)都發(fā)給它指定的服務(wù)器由它來(lái)決定返回什么結(jié)果給你。這類(lèi)劫持常見(jiàn)于下載了不明軟件、點(diǎn)擊了奇怪的激活腳本、U盤(pán)病毒傳播。排查起來(lái)也算簡(jiǎn)單——打開(kāi)hosts文件檢查有沒(méi)有可疑條目再進(jìn)系統(tǒng)網(wǎng)絡(luò)設(shè)置里看一眼DNS地址是否被改動(dòng)過(guò)。不過(guò)要注意的是惡意軟件防篡改做得越來(lái)越隱蔽它會(huì)偽裝成系統(tǒng)進(jìn)程來(lái)修改配置所以只靠肉眼檢查還不夠最好配合殺毒軟件一起處理。2.2 網(wǎng)絡(luò)設(shè)備劫持最容易被忽略的家庭路由器路由器在局域網(wǎng)里的地位相當(dāng)于“網(wǎng)絡(luò)交警”它負(fù)責(zé)給每一臺(tái)上網(wǎng)設(shè)備分配IP地址告訴它們網(wǎng)關(guān)在哪同時(shí)也會(huì)通過(guò)DHCP協(xié)議把DNS服務(wù)器地址下發(fā)給所有設(shè)備。這意味著只要路由器被攻破攻擊者不用去動(dòng)你的電腦或手機(jī)就能讓家里所有設(shè)備都使用惡意的DNS服務(wù)。路由器能被攻破最常見(jiàn)的原因是弱口令。很多人買(mǎi)回路由器后管理密碼設(shè)置得極其簡(jiǎn)單甚至直接沿用出廠默認(rèn)賬號(hào)密碼。攻擊者掃描到設(shè)備后順手一試就進(jìn)去了然后在后臺(tái)把DNS服務(wù)器地址改成自己的。從此以后你家里的電腦、手機(jī)、平板訪(fǎng)問(wèn)任何網(wǎng)站都要先經(jīng)過(guò)它指定的“翻譯官”。更隱蔽的是有些惡意固件會(huì)把修改藏得很深你登錄路由器后臺(tái)看到的DNS地址是正常的但實(shí)際下發(fā)到設(shè)備的配置卻是另一套。所以排查的時(shí)候不僅要看路由器后臺(tái)還要看電腦上實(shí)際獲取到的DNS地址。碰到這種情況最佳做法是重置路由器、升級(jí)固件、修改管理密碼然后重新設(shè)置網(wǎng)絡(luò)。2.3 鏈路與運(yùn)營(yíng)商側(cè)劫持你看到的解析結(jié)果來(lái)自哪里這一層劫持發(fā)生在“設(shè)備到遞歸DNS服務(wù)器”之間的傳輸鏈路上。傳統(tǒng)DNS查詢(xún)是明文的UDP報(bào)文只要攻擊者能接入網(wǎng)絡(luò)鏈路比如在公共WiFi的出口、在運(yùn)營(yíng)商骨干網(wǎng)的某個(gè)節(jié)點(diǎn)、甚至在某些小機(jī)房的路由設(shè)備上做手腳就可以在合法的DNS響應(yīng)返回給你之前搶先偽造一個(gè)響應(yīng)包發(fā)給你。普通用戶(hù)遇到最多的可能不是“違法劫持”而是運(yùn)營(yíng)層面的內(nèi)容改寫(xiě)。比如你訪(fǎng)問(wèn)一個(gè)正常的網(wǎng)站卻看到頁(yè)面底部被插入一段廣告或者訪(fǎng)問(wèn)某個(gè)域名時(shí)被重定向到提示頁(yè)、充值頁(yè)。這些現(xiàn)象的根源之一就是鏈路側(cè)或運(yùn)營(yíng)商側(cè)對(duì)DNS響應(yīng)做了篡改把部分域名解析到了他們的廣告服務(wù)器上。鏈路劫持不容易從你這一端直接確認(rèn)因?yàn)槟愕碾娔X沒(méi)有做錯(cuò)任何事你配置的DNS服務(wù)器也沒(méi)有問(wèn)題問(wèn)題出在“你的請(qǐng)求從家里到DNS服務(wù)器”這條路上。驗(yàn)證手段是用加密DNS下文會(huì)講或者對(duì)比多個(gè)網(wǎng)絡(luò)環(huán)境下同一域名的解析結(jié)果。2.4 遞歸服務(wù)器緩存污染公共DNS也并非“絕對(duì)純凈”遞歸DNS服務(wù)器的工作方式很像一個(gè)大號(hào)緩存庫(kù)。用戶(hù)問(wèn)它某個(gè)域名時(shí)它先去查緩存緩存沒(méi)有再向根、頂級(jí)域和權(quán)威服務(wù)器發(fā)起遞歸查詢(xún)。為了讓查詢(xún)更快它會(huì)將結(jié)果緩存一段時(shí)間比如幾分鐘到幾小時(shí)。緩存污染或者說(shuō)DNS投毒針對(duì)的就是這個(gè)緩存過(guò)程。攻擊者想辦法讓遞歸DNS服務(wù)器在緩存里留下一份錯(cuò)誤的解析記錄。此后該服務(wù)器覆蓋范圍內(nèi)的所有用戶(hù)查詢(xún)這個(gè)域名都會(huì)直接得到被篡改的IP地址。這類(lèi)攻擊在傳統(tǒng)DNS協(xié)議場(chǎng)景下難點(diǎn)在于猜對(duì)事務(wù)ID和端口號(hào)但隨著協(xié)議老化和攻擊工具自動(dòng)化程度提高它并沒(méi)有想象的那么難防御。公共DNS服務(wù)雖然維護(hù)團(tuán)隊(duì)技術(shù)實(shí)力更強(qiáng)部署了各種流量清洗和DNSSEC校驗(yàn)但仍然可能因?yàn)閰f(xié)議本身的問(wèn)題在特定網(wǎng)絡(luò)環(huán)境下面臨污染風(fēng)險(xiǎn)。不要覺(jué)得“用了公共DNS就一定安全”它只是把風(fēng)險(xiǎn)概率降到了一個(gè)比較低的水平不代表你可以完全不管其他環(huán)節(jié)。為了更直觀對(duì)照我把四類(lèi)劫持放在一個(gè)表里劫持類(lèi)型介入位置典型現(xiàn)象主要排查方向本地劫持hosts文件、系統(tǒng)DNS設(shè)置特定網(wǎng)站打不開(kāi)或跳轉(zhuǎn)異常檢查hosts、查看網(wǎng)卡DNS配置路由器劫持路由器后臺(tái)、DHCP下發(fā)的參數(shù)局域網(wǎng)內(nèi)所有設(shè)備同時(shí)出現(xiàn)異常登錄路由器檢查設(shè)置和固件鏈路/運(yùn)營(yíng)商側(cè)劫持客戶(hù)端到遞歸服務(wù)器之間的鏈路上頁(yè)面被插廣告、訪(fǎng)問(wèn)被重定向用加密DNS對(duì)比驗(yàn)證遞歸服務(wù)器緩存污染公共或自建遞歸服務(wù)器的緩存大片用戶(hù)同時(shí)解析到錯(cuò)誤IP更換DNS做交叉驗(yàn)證3. 排查鏈路從懷疑到確認(rèn)的完整過(guò)程很多人問(wèn)我“我怎么知道自己是不是被DNS劫持了”其實(shí)排查思路很固定不用懂什么高深原理按下面這條鏈路走基本能定位到問(wèn)題環(huán)節(jié)。3.1 癥狀清單什么情況首先想到DNS劫持先對(duì)照一下現(xiàn)象。以下幾條中出現(xiàn)任意一條優(yōu)先把DNS劫持列入懷疑對(duì)象訪(fǎng)問(wèn)某幾個(gè)網(wǎng)站時(shí)明明輸入的是正確域名跳到的頁(yè)面卻完全無(wú)關(guān)甚至出現(xiàn)廣告頁(yè)、紅包頁(yè)、充值頁(yè)。同一個(gè)網(wǎng)站在手機(jī)上能打開(kāi)電腦上打不開(kāi)或者反過(guò)來(lái)用WiFi打不開(kāi)切到手機(jī)流量就能打開(kāi)。瀏覽器訪(fǎng)問(wèn)時(shí)出現(xiàn)證書(shū)錯(cuò)誤提示該網(wǎng)站的安全證書(shū)與域名不匹配但你確認(rèn)自己沒(méi)輸錯(cuò)網(wǎng)址。電腦里反復(fù)出現(xiàn)“DNS錯(cuò)誤”“無(wú)法解析服務(wù)器的DNS地址”但重啟路由器和電腦后只能好一陣子。域名像“抽風(fēng)”一樣有時(shí)解析到正確的服務(wù)器有時(shí)解析到一個(gè)完全陌生的IP。需要說(shuō)明的是這些現(xiàn)象也可能是其他故障引起的比如網(wǎng)站服務(wù)器宕機(jī)、本地網(wǎng)絡(luò)配置問(wèn)題、瀏覽器插件篡改。所以“懷疑”只是第一步還需要用命令去驗(yàn)證。3.2 命令行取證nslookup、ipconfig與dig的正確用法在Windows上我用得最多的一套命令是這樣走的先看本機(jī)實(shí)際生效的DNS服務(wù)器是哪臺(tái)ipconfig /all在輸出里找到“DNS Servers”一項(xiàng)記下對(duì)應(yīng)的IP。這一步很關(guān)鍵因?yàn)楹芏鄷r(shí)候你以為自己用的是某個(gè)公共DNS實(shí)際上系統(tǒng)里配置的可能是另一串地址。然后用系統(tǒng)默認(rèn)解析器去查目標(biāo)域名的解析結(jié)果nslookup example.com系統(tǒng)會(huì)返回服務(wù)器地址和域名對(duì)應(yīng)的IP。如果返回的IP不是你熟悉的真實(shí)服務(wù)器IP先別急著下結(jié)論還需要換一個(gè)公開(kāi)DNS再查一次。在macOS和Linux上對(duì)應(yīng)的查看DNS命令是cat /etc/resolv.conf查詢(xún)解析結(jié)果的命令則更推薦用dig輸出更詳細(xì)dig example.comWindows上也有nslookup最夠用關(guān)鍵是后面跟上指定DNS地址的參數(shù)。3.3 交叉驗(yàn)證法三組DNS地址對(duì)照結(jié)果交叉驗(yàn)證的核心思路很簡(jiǎn)單在同一個(gè)網(wǎng)絡(luò)環(huán)境、同一臺(tái)電腦上換用不同的DNS服務(wù)器去查同一個(gè)域名如果結(jié)果不一致說(shuō)明某個(gè)環(huán)節(jié)有問(wèn)題。命令示例第一組用系統(tǒng)的默認(rèn)DNS查nslookup example.com第二組指定公共DNS A來(lái)查nslookup example.com 114.114.114.114第三組指定公共DNS B來(lái)查nslookup example.com 8.8.8.8記錄三組命令返回的IP地址通常會(huì)出現(xiàn)三種情況情況一三組結(jié)果一致但都指向一個(gè)陌生IP。這說(shuō)明解析鏈路大概率正常問(wèn)題出在上游權(quán)威解析記錄本身。也就是說(shuō)域名托管商那邊的A記錄可能被改了或者服務(wù)器那邊換了IP而DNS沒(méi)同步。這種情況需要登錄DNS托管平臺(tái)后臺(tái)去核對(duì)解析記錄。情況二系統(tǒng)默認(rèn)DNS的結(jié)果和公共DNS結(jié)果不一致。優(yōu)先懷疑本機(jī)DNS配置或路由器劫持。因?yàn)楣睤NS返回的往往是相對(duì)可信的結(jié)果而系統(tǒng)默認(rèn)DNS可能是被改過(guò)的或路由器下發(fā)的惡意地址。再進(jìn)一步查看路由器后臺(tái)看DHCP設(shè)置里下發(fā)的DNS是哪個(gè)。情況三系統(tǒng)默認(rèn)和公共DNS的結(jié)果一致但與“真實(shí)IP”不一致。怎么判斷“真實(shí)IP”如果你是站長(zhǎng)去云服務(wù)商控制臺(tái)看服務(wù)器公網(wǎng)IP直接對(duì)比即可。如果你只是普通用戶(hù)可以去在線(xiàn)IP查詢(xún)平臺(tái)查這個(gè)域名對(duì)應(yīng)的真實(shí)IP或者對(duì)比手機(jī)運(yùn)營(yíng)商網(wǎng)絡(luò)下的解析結(jié)果。如果權(quán)威記錄確實(shí)被改接下來(lái)要處理的就不是“本地清理”這么簡(jiǎn)單了。這里也提一個(gè)我常用的進(jìn)階命令Linux/macOS下可以追蹤完整解析路徑dig example.com trace它能展示DNS查詢(xún)從根服務(wù)器到權(quán)威服務(wù)器的全過(guò)程適合確認(rèn)問(wèn)題是否出在某個(gè)中間環(huán)節(jié)。3.4 確認(rèn)后的取證動(dòng)作留好“案發(fā)現(xiàn)場(chǎng)”再動(dòng)手很多人發(fā)現(xiàn)DNS異常后第一反應(yīng)是立即改設(shè)置、刷緩存結(jié)果沒(méi)留證據(jù)后面想追查都不知道從哪里入手。正確做法是先把現(xiàn)場(chǎng)固定下來(lái)。具體記四樣?xùn)|西異常發(fā)生的時(shí)間、當(dāng)前系統(tǒng)生效的DNS服務(wù)器IP、解析出的可疑IP、正常情況下的真實(shí)IP。前面命令的執(zhí)行結(jié)果最好直接保存一份文本日志。這些信息后續(xù)無(wú)論是報(bào)修、投訴、還是聯(lián)系域名托管商協(xié)查都很有用。比如你確認(rèn)了本機(jī)DNS被改成了一臺(tái)可疑地址先不要急著改回去可以先用nslookup多查幾個(gè)域名看看這臺(tái)服務(wù)器的解析規(guī)律。同時(shí)檢查hosts文件有沒(méi)有被動(dòng)過(guò)手腳殺毒軟件全盤(pán)掃描一遍確認(rèn)是單純配置問(wèn)題還是設(shè)備已經(jīng)中招了。處理完以后再回到修改配置的步驟。4. 防御加固從終端到服務(wù)的分層方案排查完之后更重要的環(huán)節(jié)是加固不讓同樣的問(wèn)題再發(fā)生。我把方案按場(chǎng)景分成三層個(gè)人終端層、網(wǎng)絡(luò)設(shè)備層、服務(wù)端業(yè)務(wù)層。4.1 個(gè)人終端三件事必須做第一件事把系統(tǒng)DNS設(shè)置為可信的公共DNS地址。Windows和手機(jī)都可以手動(dòng)指定DNS服務(wù)器。這里要強(qiáng)調(diào)一下設(shè)置完以后還是得復(fù)查因?yàn)椴糠謵阂廛浖?huì)在系統(tǒng)啟動(dòng)時(shí)重新覆蓋配置。第二件事清理hosts文件并恢復(fù)默認(rèn)。Windows的hosts路徑是C:\Windows\System32\drivers\etc\hostsmacOS和Linux在/etc/hosts。打開(kāi)后逐行檢查正常情況下里面大多是注釋項(xiàng)如果發(fā)現(xiàn)可疑的映射記錄先備份再刪除。第三件事升級(jí)系統(tǒng)和瀏覽器?，F(xiàn)代瀏覽器普遍支持自動(dòng)啟用DoHDNS over HTTPS也就是說(shuō)瀏覽器會(huì)通過(guò)加密HTTPS連接去查詢(xún)DNS不再走傳統(tǒng)明文鏈路。系統(tǒng)更新則能修補(bǔ)惡意軟件常用的漏洞降低本機(jī)被種下劫持模塊的概率。不用刻意去配置太復(fù)雜的東西確認(rèn)系統(tǒng)補(bǔ)丁更新到了最新、殺毒軟件開(kāi)啟實(shí)時(shí)監(jiān)控就把一大半風(fēng)險(xiǎn)擋在了門(mén)外。4.2 網(wǎng)絡(luò)設(shè)備路由器也需要單獨(dú)加裝“防護(hù)層”路由器是家庭網(wǎng)絡(luò)的總閘門(mén)也是最容易被忽略的防御節(jié)點(diǎn)。個(gè)人終端做得再到位路由器一旦被改所有設(shè)備還是會(huì)被帶走。第一步就是改管理密碼。很多路由器出廠默認(rèn)賬號(hào)依舊是“admin/admin”這個(gè)一定要改。密碼不要用生日、手機(jī)號(hào)這種短口令至少12位以上混合大小寫(xiě)、數(shù)字和符號(hào)。第二步補(bǔ)安全設(shè)置。關(guān)掉WPSWi-Fi Protected Setup功能這個(gè)功能方便但漏洞不少關(guān)閉路由器的遠(yuǎn)程管理或者至少限制為僅局域網(wǎng)訪(fǎng)問(wèn)開(kāi)啟Wi-Fi加密用WPA2/WPA3不要用古老的WEP。第三步升級(jí)固件。路由器固件更新不像電腦系統(tǒng)那么頻繁但廠商一旦發(fā)布安全更新盡量及時(shí)升級(jí)。部分路由器還能在“DHCP設(shè)置”中指定下發(fā)的DNS地址你可以直接在這里統(tǒng)一設(shè)置為可信公共DNS這樣下面所有設(shè)備都會(huì)自動(dòng)使用它。有條件的話(huà)把訪(fǎng)客WiFi和常用設(shè)備分開(kāi)避免訪(fǎng)客設(shè)備中毒后影響到智能家居或電腦所在的網(wǎng)絡(luò)段。這些動(dòng)作不需要任何編程基礎(chǔ)在路由器后臺(tái)點(diǎn)幾下就行關(guān)鍵是愿意花這十來(lái)分鐘。4.3 服務(wù)端和域名持有者別讓賬號(hào)安全成為突破口如果你負(fù)責(zé)維護(hù)網(wǎng)站、小程序或者任何線(xiàn)上業(yè)務(wù)DNS劫持帶來(lái)的后果會(huì)比普通用戶(hù)嚴(yán)重得多。因?yàn)橐坏┯蛎馕鲇涗洷桓乃性L(fǎng)客都會(huì)被引導(dǎo)到惡意頁(yè)面業(yè)務(wù)形象和用戶(hù)數(shù)據(jù)都會(huì)受損。這類(lèi)事故的根因十有八九不是協(xié)議漏洞而是域名托管平臺(tái)的賬號(hào)被攻破了。所以服務(wù)端側(cè)的第一要?jiǎng)?wù)是給域名注冊(cè)商和DNS托管平臺(tái)的賬號(hào)開(kāi)啟兩步驗(yàn)證。兩步驗(yàn)證相當(dāng)于多一把鎖即使賬號(hào)密碼泄露攻擊者也很難登錄進(jìn)去改解析記錄。第二登錄DNS托管平臺(tái)后臺(tái)逐個(gè)檢查解析記錄。不只檢查A記錄還要看是否有異常的TXT、CNAME、MX記錄。攻擊者在拿到控制權(quán)后有時(shí)會(huì)順手加一條隱蔽的子域名解析用于后續(xù)垃圾郵件發(fā)送或釣魚(yú)頁(yè)面部署。第三為域名開(kāi)啟DNSSEC簽名校驗(yàn)。DNSSEC是一個(gè)專(zhuān)門(mén)用來(lái)防止DNS偽造的技術(shù)它會(huì)給DNS響應(yīng)加上數(shù)字簽名遞歸服務(wù)器收到響應(yīng)后會(huì)驗(yàn)簽驗(yàn)不過(guò)就丟棄。目前主流域名托管商都支持一鍵開(kāi)啟DNSSEC只是一些老用戶(hù)一直沒(méi)注意。開(kāi)啟前先確認(rèn)托管平臺(tái)是否支持避免簽名算法不匹配導(dǎo)致解析失效。第四配置解析變更告警。部分DNS服務(wù)商提供“解析記錄變更通知”功能開(kāi)啟后任何A記錄、CNAME、MX等記錄被修改都會(huì)第一時(shí)間發(fā)短信或郵件通知你。這一點(diǎn)很實(shí)用至少能讓你在攻擊發(fā)生后的幾分鐘內(nèi)發(fā)現(xiàn)異常而不是等用戶(hù)投訴了才知道。4.4 進(jìn)階方案DoH/DoT與DNSSEC的適用場(chǎng)景很多人分不清DoH、DoT和DNSSEC這幾個(gè)概念我用自己的話(huà)說(shuō)一下。DoHDNS over HTTPS和DoTDNS over TLS解決的是“查詢(xún)過(guò)程被偷聽(tīng)和篡改”的問(wèn)題。DoH把DNS查詢(xún)內(nèi)容塞進(jìn)HTTPS請(qǐng)求里走443端口和網(wǎng)頁(yè)流量合在一起普通網(wǎng)絡(luò)審計(jì)很難單獨(dú)識(shí)別DoT則給DNS查詢(xún)專(zhuān)門(mén)建一條TLS加密隧道。兩者都是加密通道區(qū)別只是封裝方式不同。它們的共同缺點(diǎn)是如果本機(jī)被惡意軟件控制攻擊者可以繞過(guò)系統(tǒng)設(shè)置直接不加密查詢(xún)所以它們防的是鏈路側(cè)篡改不是終端病毒。DNSSEC解決的是“DNS響應(yīng)本身真假”的問(wèn)題。它給權(quán)威解析記錄加上簽名遞歸解析服務(wù)器可以驗(yàn)證響應(yīng)是否真的來(lái)自權(quán)威服務(wù)器。它不加密DNS請(qǐng)求內(nèi)容但能確保證完整性。對(duì)托管重要域名的人來(lái)說(shuō)DNSSEC很值得開(kāi)對(duì)普通用戶(hù)你無(wú)法直接控制權(quán)威服務(wù)器是否開(kāi)啟了簽名所以更多是公共DNS那邊替你做校驗(yàn)。這三者不是替代關(guān)系而是互補(bǔ)關(guān)系。終端網(wǎng)絡(luò)環(huán)境好可以同時(shí)啟用DoH和DNSSEC企業(yè)自建遞歸DNS可以在解析器上啟用DNSSEC驗(yàn)證再配合DoT上游轉(zhuǎn)發(fā)鏈路安全性會(huì)明顯提高。4.5 常見(jiàn)誤區(qū)DNS不劫持不等于網(wǎng)絡(luò)攻擊到不了你先說(shuō)第一個(gè)誤區(qū)“我用了HTTPSDNS被劫持也沒(méi)關(guān)系?！眹?yán)格來(lái)說(shuō)HTTPS能保護(hù)傳輸內(nèi)容的加密和完整性防止中間人讀取或篡改網(wǎng)頁(yè)內(nèi)容但它不能防止DNS把所有域名都解析到一個(gè)錯(cuò)誤地址。訪(fǎng)問(wèn)到大面積提示錯(cuò)誤頁(yè)甚至被引導(dǎo)到看起來(lái)一模一樣的釣魚(yú)頁(yè)面依然可能發(fā)生。如果你的瀏覽器還能顯示一把鎖說(shuō)明證書(shū)校驗(yàn)沒(méi)有失效這能擋住多數(shù)低水平釣魚(yú)但如果攻擊者偽造的頁(yè)面能通過(guò)免費(fèi)證書(shū)申請(qǐng)用戶(hù)又在證書(shū)告警時(shí)點(diǎn)了“繼續(xù)訪(fǎng)問(wèn)”HTTPS也幫不了你。第二個(gè)誤區(qū)“換個(gè)公共DNS就高枕無(wú)憂(yōu)了?！惫睤NS確實(shí)比運(yùn)營(yíng)商默認(rèn)DNS在安全性上更透明但它不負(fù)責(zé)解決你本機(jī)hosts中毒、路由器被篡改、域名托管賬號(hào)被盜等問(wèn)題。把公共DNS當(dāng)成唯一防護(hù)手段遲早會(huì)在其他環(huán)節(jié)上吃虧。第三個(gè)誤區(qū)“DNS劫持跟病毒無(wú)關(guān)清理一下設(shè)置就好?！睂?shí)際上很多劫持的根本原因是終端已被惡意軟件控制它會(huì)在后臺(tái)反復(fù)修改配置。你已經(jīng)設(shè)置好了沒(méi)過(guò)幾天又變回去這種情況要優(yōu)先考慮清殺病毒。第四個(gè)誤區(qū)“只有大企業(yè)才會(huì)被盯上?！毙⌒蛡€(gè)人站點(diǎn)和博客同樣會(huì)被DNS劫持用于SEO菠菜引流、彈窗廣告。經(jīng)濟(jì)價(jià)值不一定直接來(lái)自你而來(lái)自“借用”你的域名信譽(yù)和流量。5. 一次現(xiàn)場(chǎng)復(fù)盤(pán)網(wǎng)站首頁(yè)被替換事件的前因后果前面講了原理和防御最后說(shuō)一個(gè)我處理過(guò)的案例。為了保護(hù)隱私以下人名、域名、IP均已替換。5.1 現(xiàn)象為什么用戶(hù)看到的是紅包頁(yè)面A同學(xué)運(yùn)營(yíng)著一個(gè)本地生活服務(wù)平臺(tái)網(wǎng)站訪(fǎng)問(wèn)量不高但用戶(hù)群很穩(wěn)定。某天客服接到反饋用戶(hù)從瀏覽器收藏夾打開(kāi)網(wǎng)站居然跳到一個(gè)“XX紅包領(lǐng)取”的活動(dòng)頁(yè)面頁(yè)面風(fēng)格和正規(guī)活動(dòng)完全不同而且瀏覽器地址欄還出現(xiàn)了證書(shū)告警。A同學(xué)自己試了一下電腦上訪(fǎng)問(wèn)正常手機(jī)連WiFi訪(fǎng)問(wèn)也正常但切到手機(jī)流量訪(fǎng)問(wèn)時(shí)正常回到WiFi就不正常了。一開(kāi)始他以為是路由器緩存問(wèn)題重啟了路由器問(wèn)題依舊。5.2 排查三組DNS對(duì)照之后問(wèn)題定位到了上游我讓他按上面交叉驗(yàn)證的方法操作。第一組命令用他公司網(wǎng)絡(luò)默認(rèn)DNS解析返回的是203.0.113.10第二組用公共DNS解析返回的是198.51.100.23第三組再用另一組公共DNS解析返回的依然是198.51.100.23。兩組公共DNS結(jié)果一致但和公司默認(rèn)DNS返回的不一致。按照前面的判斷邏輯問(wèn)題應(yīng)該出在公司網(wǎng)絡(luò)的本地DNS獲取環(huán)節(jié)大概率是路由器被動(dòng)了手腳。但登錄路由器后臺(tái)檢查后發(fā)現(xiàn)DHCP設(shè)置里填寫(xiě)的DNS地址很正常也沒(méi)有發(fā)現(xiàn)異常下發(fā)記錄。這時(shí)我們換了一個(gè)思路直接把電腦網(wǎng)卡的DNS手動(dòng)設(shè)置為公共DNS地址再解析一次域名結(jié)果竟然還是203.0.113.10?！?既然電腦端已經(jīng)明確指定了公共DNS為什么解析還是指向那個(gè)可疑IP” 答案只剩下一個(gè)這個(gè)域名的權(quán)威解析記錄本身已經(jīng)被改了。登錄域名托管平臺(tái)的后臺(tái)后果然在解析記錄列表里發(fā)現(xiàn)主域名的A記錄被篡改成了203.0.113.10。而198.51.100.23才是A同學(xué)服務(wù)器真正的IP。也就是說(shuō)攻擊者不是劫持了哪臺(tái)路由器而是直接拿到了托管平臺(tái)的登錄權(quán)限把域名的“官方翻譯結(jié)果”給換了。公司網(wǎng)絡(luò)里顯示異常只是因?yàn)楸镜谼NS緩存還沒(méi)有刷新切到手機(jī)流量后手機(jī)用的是運(yùn)營(yíng)商DNS緩存內(nèi)容不同所以才時(shí)好時(shí)壞。5.3 修復(fù)改密碼、開(kāi)兩步驗(yàn)證、清理殘留記錄修復(fù)動(dòng)作分四步。第一步立即修改DNS托管平臺(tái)的登錄密碼并且強(qiáng)制退出所有已登錄會(huì)話(huà)。因?yàn)椴淮_定攻擊者是否還留在后臺(tái)修改密碼后還要檢查是否存在API密鑰、子賬號(hào)之類(lèi)的后門(mén)。第二步開(kāi)啟兩步驗(yàn)證。這一步尤其重要否則密碼泄露的問(wèn)題解決不了下一次還會(huì)被人登進(jìn)來(lái)。第三步修正A記錄把example.com重新指到198.51.100.23同時(shí)清掉解析列表里多出來(lái)的幾行可疑子域名記錄。為了安全我們順手把域名的TTL值調(diào)低到300秒等全球解析緩存逐步過(guò)期用戶(hù)就能在較短時(shí)間內(nèi)恢復(fù)正常訪(fǎng)問(wèn)。第四步通知相關(guān)部門(mén)和用戶(hù)清除本地DNS緩存等待一段時(shí)間后再訪(fǎng)問(wèn)。如果還有用戶(hù)反饋異?？赡苁悄硞€(gè)地區(qū)的遞歸服務(wù)器緩存還沒(méi)過(guò)期需要再等等。5.4 復(fù)盤(pán)這類(lèi)事故的根因通常是賬號(hào)安全而不是DNS協(xié)議這個(gè)案例最值得復(fù)盤(pán)的一點(diǎn)是一開(kāi)始大家習(xí)慣性地懷疑路由器、懷疑鏈路最后發(fā)現(xiàn)真正的突破口是托管平臺(tái)賬號(hào)。DNS劫持未必非得在“鏈路”上動(dòng)手把權(quán)威解析記錄改了相當(dāng)于在源頭把翻譯官買(mǎi)通了影響范圍反而更大。檢索下來(lái)托管平臺(tái)的賬號(hào)疑似在某次第三方站點(diǎn)數(shù)據(jù)泄露中暴露了密碼密碼強(qiáng)度一般又沒(méi)有開(kāi)啟兩步驗(yàn)證攻擊者拿密碼直接登錄一分鐘就能完成修改。整個(gè)過(guò)程沒(méi)有涉及任何復(fù)雜技術(shù)卻造成了業(yè)務(wù)中斷和用戶(hù)信任度下降的嚴(yán)重后果。后來(lái)我給A同學(xué)的建議很簡(jiǎn)單把所有和域名、服務(wù)器相關(guān)的賬號(hào)統(tǒng)一整改一遍密碼隨機(jī)化能開(kāi)兩步驗(yàn)證的全部開(kāi)啟解析變更通知也配置上線(xiàn)。至少目前看來(lái)類(lèi)似問(wèn)題沒(méi)有再出現(xiàn)過(guò)。我自己在這些年的安全排查里最大的體會(huì)是最有效的往往不是那些聽(tīng)起來(lái)很高深的攻防技巧而是把基礎(chǔ)配置做好。DNS劫持原理再簡(jiǎn)單也架不住你連管理密碼都沒(méi)改原理再?gòu)?fù)雜只要開(kāi)啟兩步驗(yàn)證和DNSSEC攻擊的性?xún)r(jià)比就會(huì)大打折扣。希望這篇內(nèi)容能幫你把這條容易被忽略的安全防線(xiàn)補(bǔ)上下次再遇到“網(wǎng)站打不開(kāi)、跳轉(zhuǎn)到奇怪頁(yè)面”的情況腦子里能第一時(shí)間多出一個(gè)排查方向。