見縫插針：DNS泛解析是怎麼被黑客玩壞的

* 原創作者：feiniao，本文屬FreeBuf原創獎勵計劃，轉載請註明來自FreeBuf.COM

網路創立之初，所有的訪問都是通過IP地址來實現的，因web等協議與應用的興起，有了域名，再通過IP去訪問一方面不太容易記，另一方面因負載、CDN等方面的原因，單純使用IP地址訪問會帶來一些問題。因此域名產生了，通過域名訪問，中間設備只認識IP，因此最終還是解析到相應的IP地址去訪問。

這個用來解析的協議稱作DNS，主要功能為將域名解析到相應的IP地址。

DNS的創造是網路大師的一大傑作，通過DNS廣大網民可以通過域名來訪問相應的網站。這樣只需要記住域名就可以了，不需要記住繁瑣的IP地址。如我們經常訪問的

，其DNS解析過程如下：

上圖可以看到，DNS的解析非常輕巧，使用UDP 協議，一個DNS查詢包，一個響應包，兩個包搞定，簡潔輕巧，效率高。

但是在實際過程中經常會遇到一個問題：輸入域名的時候如

，一不小心多輸入一個w變成

，這樣的話，可以正常解析嗎？我做了一下實驗，在瀏覽器輸入

，瀏覽器直接報錯「無法訪問此網站」。

我們來看看DNS的解析流程，客戶端進行了一次DNS查詢，DNS伺服器查詢以後返回一個結果「NO such name A w

」，可以看到DNS伺服器進行查詢後，查找不到這樣的結果。

為什麼w

www.vants.org

解析不到相應的IP？

原因很簡單，DNS沒有相應的配置，

但是在現實中，肯定經常存在用戶輸入錯誤域名前綴的情況，如果網站服務方考慮的足夠人性化，完全可以配置一個DNS解析記錄，配置一個默認解析結果。在DNS實現中，的確有這樣一套機制，這個稱作DNS泛解析。

既然有DNS泛解析這樣一套機制，在實際生活中肯定會存在相應的應用。那麼我們來親測一下，首先拿google開刀，隨機輸入一個子域名看看能不能正常解析，解析不了；再測試一下度娘，也解析不了。

兩大寡頭都不支持泛解析，繼續找下小站，公司滲透大牛很不屑的扔給我一批開了泛解析的域名，隨便測試一個，可以解析到主站的IP上。

既然泛解析有這麼人性化的應用，那麼像google、度娘為什麼不打開DNS泛解析？

這肯定是考慮到安全與運維成本等方面。

DNS泛解析還存在安全問題？

的確存在！上圖中的泛解析是解析到主站的IP，如果泛解析的IP被解析到其他的IP，或者是黑客的IP呢？

有這種情況？

的確，在實際工作中多次遇到這種情況。前天發現一政府的門戶網站通過度娘搜索子域名時，搜索到301000個站點，並且有很多子域名都跳轉到博彩網站。

通過ping測試，發現主站解析到61.191.*.*，而泛解析卻被解析到23.105.65.113，這個IP是美國的IP。DNS的泛解析結果肯定被黑客惡意修改了。

既然被DNS被泛解析到惡意的IP，並且有這麼多解析記錄，那麼用戶為什麼一直沒有發現這個問題？這令我百思不得其解。直到有一次在瀏覽器中輸入一個隨機子域名訪問時，竟然跳轉到正常主站頁面上去了。

既然可以在博彩與正常主站之間跳轉，那麼在23.105.65.113這個頁面肯定存在一個判斷的條件，觸發這些條件時跳轉到博彩網站，沒有觸發時跳轉到正常頁面。一般情況下，都是通過JS來做識別和跳轉的，這樣只要過濾相應的JS腳本即可，直接分析23.105.65.113頁面源碼，過濾

通過百度搜索訪問時有referrer欄位

直接訪問無referrer欄位

註：因截圖時，相關網站的DNS泛解析已被關閉，所以截圖測試的的是主站。但是原理是一樣：通過搜索引擎搜索時都會帶有referrer欄位，直接訪問時不會帶有referrer欄位。

另外，黑客為什麼設置帶有c或者n時作為判斷跳轉的條件，一般情況下都通過搜索查找相

應子域名時，referrer都會帶有.com或者.cn這樣的欄位，c和n比較容易觸發跳轉條件。

總結

初次碰到這種情況時，首先懷疑是的網站被黑，訪問相關子域名時跳轉到博彩網站，後來再仔細看了下，用戶不可能註冊這麼多的子域名，後來才注意到DNS解析結果的變動。

可見，

DNS泛解析是一把雙刃劍，配置好的話可以提高用戶體驗，配置不好的話很容易被黑客利用。

* 原創作者：feiniao，本文屬FreeBuf原創獎勵計劃，轉載請註明來自FreeBuf.COM

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！