DNS安全检测技术研究

论文摘要

域名系统DNS (Domain Names System)是一种基于TCP / IP应用程序的多层次的分布式数据库。它负责提供域名到IP地址的相互映射,是服务器和客户程序通信的基础,也是各种Internet应用如Email、www、FTP等的基础。近年来,随着Internet网络应用和业务的不断发展,互联网上发生的网络攻击事件目益频繁,DNS系统也遭受到了一系列的攻击,出现域名与IP地址之间的映射关系被修改,客户主机遭受欺骗攻击、面临拒绝服务,DNS服务器缓存中毒、区域信息泄漏等众多安全问题。作为Internet上的关键基础服务,DNS一旦出错,将影响互联网大部分业务的正常运行。所以,DNS的安全问题越来越受到关注。本文在介绍DNS发展历史和基本原理的基础上,从协议、实现、配置三个方面详细论述了DNS的安全漏洞,包括漏洞形成原因,漏洞的不利影响,针对具体漏洞的攻击过程及特点等。然后,提出DNS安全检测系统,系统包括两个部分:被动监控模块和主动检测模块。被动监控是在服务器端对进出服务器的DNS数据进行监控,分析出异常的网络流量,锁定有问题IP,为下一步服务器端的安全配置提供依据。主动检测是指在连接到Internet的一台主机上向目的服务器发送构造的特殊报文,通过对服务器响应的分析,获得DNS服务器背景信息,确定其实现漏洞,和是否存在配置漏洞。本文最后实现并验证该系统。经过实验验证,该系统可以稳定运行,并有效检测出DNS系统的部分漏洞和可能的攻击,在维护DNS安全方面具有一定的实际意义和使用意义。

论文目录

• 摘要
• Abstract
• 第1章 绪论
• 1.1 研究背景
• 1.2 研究现状
• 1.3 本文工作
• 1.3.1 本文研究内容
• 1.3.2 本文研究意义
• 第2章 DNS 的基本概念和工作原理
• 2.1 DNS 发展概述
• 2.2 DNS 基本概念
• 2.2.1 域名空间和域名
• 2.2.2 域和区
• 2.2.3 域名服务器
• 2.2.4 解析器
• 2.2.5 资源记录
• 2.3 DNS 报文分析
• 2.3.1 DNS 报文首部字段
• 2.3.2 DNS 报文问题段
• 2.3.3 DNS 响应报文资源记录部分
• 2.4 DNS 工作原理
• 2.5 本章小结
• 第3章 DNS 漏洞分析
• 3.1 利用协议漏洞进行的攻击
• 3.1.1 数据包欺骗攻击
• 3.1.2 缓存中毒攻击
• 3.1.3 拒绝服务攻击
• 3.2 DNS 实现漏洞
• 3.2.1 DNS 服务器软件版本类型
• 3.2.2 BIND 漏洞
• 3.3 DNS 管理和配置漏洞
• 3.3.1 利用管理漏洞进行的攻击
• 3.3.2 配置漏洞
• 3.4 本章小结
• 第4章 DNS 安全检测系统的设计与实现
• 4.1 需求分析及设计目标
• 4.2 系统结构及功能定义
• 4.3 被动监控模块的设计与实现
• 4.3.1 数据包欺骗攻击的检测
• 4.3.2 缓存中毒攻击和DOS 攻击的检测
• 4.3.3 解析路径被篡改的检测
• 4.4 主动检测模块的设计与实现
• 4.4.1 整体状况检测
• 4.4.2 协议支持状况检测
• 4.4.3 DNS 实现漏洞的检测
• 4.4.4 DNS 配置漏洞的检测
• 4.5 本章小结
• 第5章 DNS 安全检测系统验证
• 5.1 监控模块
• 5.1.1 测试环境
• 5.1.2 监控模块概述
• 5.1.3 单台主机持续发送查询请求
• 5.1.4 两台主机使用DDNSF 模拟泛洪攻击
• 5.2 检测模块
• 5.2.1 服务器整体状况
• 5.2.2 协议支持状况
• 5.2.3 配置漏洞检测
• 5.2.4 软件漏洞检测
• 5.3 本章小结
• 结论
• 参考文献
• 致谢