想象一下：你在浏览器中输入银行的网站，但你访问的不是你信任的金融机构，而是一个令人信服的假网站，其目的是窃取你的登录凭据。这种噩梦般的场景是通过DNS 欺骗发生的，它是一种网络攻击，会操纵你的电脑如何找到在线网站。
这种威胁也被称为DNS 缓存中毒，它通过破坏DNS 缓存，将毫无戒心的用户重定向到恶意网站。 域名系统是互联网的电话簿。对于网站所有者和企业来说，了解 DNS 欺骗攻击对于保护客户信任和敏感数据免受利用 DNS 基础设施弱点的网络犯罪分子的攻击至关重要。
本文从各个角度探讨了 DSN 欺骗。我们将解释其工作原理以及如何防范。 让我们开始吧！
目录
什么是 DNS，它是如何工作的？
将域名系统视为互联网的目录服务。当你输入“example.com “这样的网站地址时，用户的电脑并不理解这些单词，它需要的是数字。这就是DNS的作用，它将域名转换成计算机能理解的 IP 地址。
下面是 DNS 解析过程的工作原理：设备向DNS 解析器（通常由互联网服务提供商提供）发送DNS 请求。然后，解析器首先检查其 DNS 缓存，寻找正确的 IP 地址。如果没有，解析器会查询其他 DNS 服务器计算机，从根服务器开始，找到目标网站的特定 DNS 记录。
该系统优先考虑速度和可用性，而不是安全性，这是互联网早期的设计选择。传统的 DNS 查询和 DNS 响应在整个网络中的传输都未加密，这给攻击者创造了机会。DNS 系统相信它收到的任何信息，这意味着犯罪分子可以在此过程中注入虚假的 DNS 信息。但较新的标准，如DNS over HTTPS（DoH）和 DNS over TLS（DoT），现在可以在大多数现代设备和浏览器上对这种流量进行加密。
什么是 DNS 欺骗？
DNS 欺骗是一种网络攻击，黑客更改 DNS 记录，将流量从合法网站重定向到欺诈网站。这可能导致数据被盗、网络钓鱼或恶意软件安装。攻击者利用 DNS 协议的弱点或使用缓存中毒来欺骗用户。
与其他直接侵入系统的网络攻击不同，域名系统欺骗利用的是网站通信的信任性质。域名系统安全最初并不是用来验证真实性的，它只是接受和传递信息。
该漏洞允许攻击者在您的设备和您试图访问的网站之间的通信链中插入伪造的 IP 地址数据。
这里有一个现实世界的比喻：想象一下，你拨打号码簿帮助查询一个商业电话号码，但有人拦截了你的电话，给了你一个骗子的号码。你满怀信心地拨号，相信自己拨对了地方。这就是 DNS 欺骗在数字世界的运作方式。犯罪分子将自己定位在你和目的地之间，提供虚假信息，引导你访问他们的恶意网站。
其原理涉及在不同点上毒害 DNS 缓存条目。攻击者创建覆盖合法响应的虚假响应，导致 DNS 解析器接收到域名与其实际位置之间的错误映射。这些欺骗攻击的危险之处在于它们的隐蔽性。一切看起来都很正常，除了你正在一个虚假网站上获取你的敏感信息。
最早公开的 DNS 操纵事件之一发生在 20 世纪 90 年代末，当时一名研究人员将流量重定向作为一种抗议形式，突显了 DNS 是多么容易被滥用。到了 2008 年，安全专家丹-卡明斯基（Dan Kaminsky）揭露了更为严重的漏洞，展示了 DNS 缓存中毒如何在数秒内危及互联网基础设施。
DNS 欺骗攻击的类型
网络犯罪分子采用各种技术破坏DNS 数据并将流量重定向到他们的域名。每种方法都针对不同的漏洞，但中小型企业面临的攻击风险尤其大，因为这些攻击只需要最少的资源，却能造成最大的破坏。
中间人 (MITM) DNS 欺骗
MITM 攻击会拦截设备与 DNS 解析器之间的 DNS 查询。例如，您连接到咖啡店的 Wi-Fi 并搜索您的银行。攻击者控制着网络流量，在真正的响应到达之前，用他们的 IP 地址发送虚假的 DNS 响应。您的浏览器显示的是“yourbank.com”，但实际上您是在犯罪分子的假网站上窃取您的登录凭据。
MITM DNS 欺骗通常依赖于不安全的公共 Wi-Fi、ARP 欺骗或恶意接入点。Ettercap或Wireshark等工具可以帮助攻击者实时监控和注入伪造的 DNS 响应。
DNS 缓存中毒
DNS 缓存中毒会破坏服务器上存储的 DNS 记录。下面是一个典型的场景：攻击者在公司的 DNS 服务器上充斥着数千个对“paypal.com“的伪造响应。当其中一个被缓存时，所有访问 PayPal 的员工都会被引导到一个虚假网站，持续数小时或数天。使用共享主机或预算有限的 DNS 软件的中小企业面临着这些 DNS 缓存中毒攻击方法的更高风险。
这种攻击因 2008 年的 Kaminsky 漏洞而声名鹊起，该漏洞展示了攻击者如何将欺诈数据注入 DNS 解析器。查询 ID 的随机性较弱或缺乏 DNSSEC（域名系统安全扩展）会使中毒变得更容易。
DNS 服务器劫持
犯罪分子还可以直接入侵 DNS 服务器基础设施。黑客可能会利用小型企业服务器计算机上过时的 DNS 安全性，改变 DNS 数据的完整性，使“companywebsite.com“指向他们的恶意网站。所有试图访问合法网站的客户都会进入攻击者的页面。
劫持通常涉及窃取凭证、错误配置路由器或利用未打补丁的 DNS 管理面板。如果不使用 2FA（双因素身份验证），攻击者甚至可能在注册商一级更改 DNS 记录。
那么，DNS 劫持和 DNS 中毒有什么区别呢？DNS 中毒会诱使解析器存储虚假的 DNS 数据，而 DNS 劫持则会控制 DNS 设置来重定向流量。中毒针对的是缓存，而劫持改变的是配置。
DNS 响应修改
攻击者在传输过程中改变合法的 DNS 响应。利用企业网络上的地址解析协议欺骗，犯罪分子可以修改响应，使“office365.com “重定向到他们的钓鱼网站，从而收集敏感信息。
在黑客可以访问内部流量的局域网环境中，这种技术非常有效。将 DNS 响应修改与SSL 剥离工具相结合，攻击者就能在没有证书警告的情况下展示令人信服的 HTTP 网站。
制药
制药结合了 DNS 中毒和社会工程学。举例来说：用户计算机上的恶意软件修改本地 DNS 设置，将银行网站永久重定向到外观相同的假冒网站副本。与其他需要主动拦截的攻击不同，”制药 “会创建持久的重定向，并在重启后继续存在。
“制药 “可以通过木马 执行，这些木马 会悄悄编辑系统的主机文件或路由器级 DNS 设置，从而影响网络上的每台设备。受害者通常不会察觉，因为 URL 看起来是正常的。
缓存中毒和制药对中小企业构成的威胁最大。它们的执行成本低，难以检测，而且可以通过单个易受攻击的 DNS 解析器入侵整个客户群。
如何识别 DNS 欺骗攻击？
网站所有者往往是在客户抱怨访问错误网站或看到奇怪内容后才发现 DNS 欺骗攻击。您需要及早发现这些攻击，以保护您的业务和客户。
定期检查分析结果。如果流量突然下降，而您的主机却运行正常，则可能有人通过DNS 劫持对您的访客进行重定向。使用 DNS 监控服务，提醒您注意未经授权的 DNS 记录更改。手动注册商检查很有帮助，但可能为时已晚。
测试 DNS 健康状况
一些免费工具可帮助您快速发现问题：
- DNS 检查器可显示您的域名是否指向全球正确的 IP 地址。
- MXToolbox可监控不同地点的 DNS 响应。
- 使用nslookup或dig 命令检查域名的解析位置，并验证其是否指向正确的 IP。
- DNSSEC 分析器会告诉你域名系统安全是否正常。
发现主动攻击
你的客户会在你的网站上看到SSL 错误吗？这是一个重要的信号。其他迹象包括
- 页面重定向到仿冒网站
- 要求提供敏感数据的登录表单
- DNS 解析过程需要很长时间
- 服务器计算机日志显示神秘的流量峰值
使用Cloudflare、Detectify 或其他可实时跟踪变化的平台等工具设置 DNS 自动监控警报。不要等待访客报告问题。当有人发现DNS 缓存中毒时，黑客已经窃取了数据或用恶意软件感染了访客。
DNS 欺骗的风险和后果
DNS 欺骗对企业的打击既重又快。一旦攻击者将用户重定向到他们的虚假网站，损害就会迅速蔓延到多个方面。
财务和数据损失
客户在仿冒网站上输入支付信息，犯罪分子就掌握了窃取数据所需的一切。一次 DNS 攻击就可能暴露成千上万的信用卡号码和登录凭证。据小型企业报告，每起事件的平均损失为 50,000 美元，而更大规模的外泄事件则会造成数百万美元的损失。被盗数据通常会在数小时内出现在暗网市场上，进一步助长欺诈行为。
持久的声誉损害
当客户发现他们通过你的域名受骗时，信任感瞬间消失。尽管您也是受害者，但愤怒的客户会指责您的企业 DNS 安全性薄弱。在线评论减少，社交媒体上充斥着抱怨，口碑也变得有毒。重建声誉需要数年时间，有些企业甚至永远无法完全恢复。
恶意软件的倍增效应
DNS 中毒不仅会窃取数据。攻击者利用欺骗网站推送恶意软件感染，并通过企业网络传播。一名员工访问您被入侵的域，就可能感染整个公司。他们的服务器计算机会成为更多攻击的发射台，给企业带来责任问题。
停止安全更新
这里隐藏着一个危险：DNS 中毒会阻止关键的安全补丁。当你的服务器计算机尝试下载更新时，欺骗性的 DNS 响应会将其发送到攻击者控制的服务器。你以为最新的修补程序能保护你，但实际上你运行的是易受攻击的 DNS 软件，使你的网络流量在数月内暴露在更多的漏洞之下。
真实世界的伤亡情况
2019 年，由于攻击者对 DNS 解析器服务下毒，多家加密货币交易所损失了数百万美元。小型电子商务网站经常因DNS 缓存中毒攻击计划而丢失客户数据库。
当病人数据通过欺骗性门户网站泄漏时，医疗保健提供商将面临违反 HIPAA 的风险。如果没有适当的 DNS 安全扩展，您的企业很容易成为犯罪分子利用基本网络流量系统弱点的目标。
如何防止 DNS 仿冒
下面介绍如何加强 DNS 安全，保护企业免受 DNS 欺骗：
执行 DNSSEC
保护您的企业免受 DNS 欺骗，首先要实施 域名系统安全扩展。这种加密保护可验证从根服务器到 TLD（顶级域名）服务器再到权威 DNS 服务器的 DNS 响应。
虽然许多 ISP 默认不启用 DNSSEC，但您可以通过域名注册商激活它。网络安全专家建议，这是抵御攻击者伪造或篡改 DNS 响应的第一道防线。
通过 HTTPS 使用 DNS
HTTPS DNS（DoH）通过加密应用程序（如浏览器）和递归 DNS 服务器之间的查询，增加了另一个保护层，防止窃听或篡改。
将您的企业网络切换到Cloudflare DNS (1.1.1.1)或Google Public DNS (8.8.8.8)，这两个DNS 都支持 DoH 并阻止已知的恶意域。
Chrome 浏览器和火狐浏览器等现代网络浏览器只需更改设置就能启用 DoH 功能，即使在公共 Wi-Fi 环境下也能保护您的团队，因为在公共 Wi-Fi 环境下，攻击者可以利用ARP（地址解析协议）欺骗和其他本地网络攻击拦截未加密的流量。
获取 VPN 和 SSL
VPN（虚拟专用网络）对所有互联网流量进行加密，在 DNS 保护之外增加了额外的保护。配合可信证书颁发机构提供的 SSL 证书验证，您的员工可以快速识别假冒网站。
对员工进行网络安全意识培训，在输入敏感信息前检查 HTTPS 挂锁和“不安全 “警告，尤其是在不安全的网络上远程工作时。
其他考虑因素
小型企业还应部署网络防火墙和入侵检测系统，以监控异常的 DNS 流量模式。为限制中毒的影响，可考虑为关键 DNS 记录设置较短的 TTL（生存时间）；但要注意增加查询量。
为所有 DNS 软件和服务器计算机系统安排每周更新，过时的版本会给攻击者提供便捷的切入点。这些措施结合起来，就能形成多重屏障，使攻击者望而却步，并保护客户的数据。
在最重要的地方确保网站安全
安全始于根源，即你的域名。在SSL Dragon，我们提供可信的证书，帮助阻止欺骗行为。凭借多年帮助中小型企业的经验，我们了解最新的安全挑战。
现在是审查 DNS 设置并加强网站信任和加密的时候了。需要帮助或有疑问？我们的团队随时为您服务。今天就联系 SSL Dragon，让我们指导您实现更安全、更可靠的在线业务。
