01段海新-MaginotDNS攻击：绕过DNS 缓存防御的马奇诺防线.pdf

1、#THU SDC2023MaginotDNS 绕过 DNS 缓存防御的马奇诺防线段海新，李想清华大学网络研究院#THU SDC2023演讲者2段海新，清华大学网络研究院 教授主要研究方向q 网络安全，漏洞挖掘，网络测量q 网络地下产业检测主要组织或活动q 蓝莲花，XCTF，InForSec,DataCon李想，清华大学网络研究院 博士生主要研究方向q 网络攻防，DNS安全、IPv6安全主要成果q 第一作者四大安全顶会论文4篇q 安全漏洞：170+CVEq Blackhat、DNS-OARC 报告人q XMap 扫描器#THU SDC20233The Maginot Line:Attacking

2、 the Boundary of DNS Caching Protection发表于 USENIX Security 20232023-10-23MaginotDNS 攻击:绕过 DNS 缓存防御的马奇诺防线#THU SDC2023DNS 是互联网多种安全机制的基石Web 和CDN：qCNAME，内容路由邮件路由：DNS MX 记录公钥证书qHTTPS:向CA申请公钥证书qCA依赖DNS来签发证书口令恢复q发邮件,依赖DNSCDNTrust#THU SDC20235通过此种方式，顶级域名下的所有域名均可被劫持MaginotDNS 攻击可以直接污染整个顶级域名，比如.com 和.net#THU

3、SDC2023域名解析流程6权威DNS服务器DNS递归服务器（企业、ISP、公共）末梢解析器（stub）CT根（Root）顶级域（TLD）二级域（SLD）所有用户共享缓存记录#THU SDC2023DNS缓存污染攻击7权威DNS服务器DNS递归服务器末梢解析器（stub）CT根（Root）顶级域（TLD）二级域（SLD）通过网络系统或协议漏洞篡改缓存中的域名记录，从而实现钓鱼、中间人等攻击假设不是老大哥，不能监听网络流量不能入侵权威服务器，但可拥有自己的域名，#THU SDC2023DNSSEC 作为通用的解决方案？8基于公钥算法的数字签名与验证DNS缓存污染的通用解决方案但1990s提出以来

4、，部署缓慢q 30年，中国部署率0.02%q 剩下的99.8%还需要多少年？没有DNSSEC的缓解方案我们的缓存污染攻击，也是为了促进DNSSEC的部署CN validating 1.62%#THU SDC2023缓存污染攻击案例：巴西，2011910/23/23“要访问 G 你需要安装 Google Defence”攻击者用DNS缓存污染做钓鱼，长达10个月未被发现，影响数百万用户#THU SDC2023GeekPwn，2018#THU SDC2023域名缓存污染攻击的前世今生111997KashpureffAttack2002BirthdayAttack2008KaminskyAttack

5、2013FragmentationAttack2020Attack on ForwardersSADDNSAttack20202021Attack viaEscapedCharsSADDNS v2Attack20212022Attack viaEscapedChars v22023MaginotDNSAttack#THU SDC2023攻击1：Kashpureff 攻击，199712历史背景：90年代域名的战争InterNIC 与 AlterNIC的冲突q 攻击方案：直接从权威服务器处回复虚假响应，解析器相信并缓存所有回复的资源记录q 漏洞成因：缺乏数据验证ISP resolverCacheS

6、tep1:Recursive query 2:Iterative query 3:Response including RRInterNICNS 1.2.3.4攻击者客户端攻击者控制的服务器1.2.3.4;QUESTION SECTION:;.INA;ANSWER SECTION:.IN A198.58.118.167;AUTHORITY SECTION:.86400 IN NS .;ADDITIONAL SECTION:.86400 IN A 1.2.3.4#THU SDC2023攻击1：Kashpureff 攻击，199713历史背景：90年代域名的战争InterNIC 与 AlterNI