一、什么是域传送漏洞
域传送漏洞是一种针对DNS服务器的攻击，它利用DNS服务器存在的漏洞将客户端无权访问的区域信息传输到攻击者的服务器上，从而获得更多权限。通常，在域传送攻击中，攻击者会利用客户端的授权信息，向DNS服务器查询整个域的信息，然后通过操作技巧，在客户端的基础上创建一个所有权相同的DNS服务器。一旦攻击者控制了DNS服务器，他们可以轻松地发送欺骗性DNS回答，将被攻击网站的请求路由至攻击者的服务器上。
为了防止这种情况发生，需要在DNS服务器上启用访问控制列表（ACL），这可以限制网络上DNS服务器与其他DNS服务器之间的请求。另外，在DNS服务器上使用数字签名（DNSSEC）也可以使域名系统更加安全。
二、ACL 安全限制对抗域传送漏洞
ACL（访问控制列表）是一项非常有用的DNS安全性特性。ACL策略可以帮助DNS管理员规划一个网络的策略，以限制允许进行DNS数据交换的主机IP地址，除此之外，还可以帮助管理员控制允许向指定主机IP地址提供DNS服务的DNS服务器列表。
// ACL 策略如下: 允许192.168.1.1 向 DNS 服务器提供查询服务
acl "permitted" {
192.168.1.1;
};
// 限制了允许访问服务器的客户端 IP 地址
view "permitted_clients" {
match-clients { permitted; };
recursion yes;
zone "." IN {
type hint;
file "named.ca";
};
zone "localhost." IN {
type master;
file "localhost.zone";
allow-update { none; };
};
zone "0.0.127.in-addr.arpa." IN {
type master;
file "127.0.0.zone";
allow-update { none; };
};
};
三、DNSSEC 签名保护对抗域传送漏洞
DNSSEC是一种将数字签名与 域名 解析器（ DNS ）的协议以提高域名系统（ DNS ）的安全性，防止 DNS 被劫持和其他攻击。DNSSEC使用公钥加密技术，通过数字签名验证DNS查询结果的完整性和安全性，可以安全地将结果返回给用户。
要实现 DNSSEC，需要允许DNS服务器为名字空间的区域启用DNSSEC签名，并在根服务器和其他权威DNS服务器上设置公钥。
// DNSSEC 签名示例
zone "example.com" {
type master;
file "/path/to/db.example.com";
key-directory "/path/to/keys/example.com";
auto-dnssec maintain;
inline-signing yes;
key-signing-key "example.com" {
algorithm ECDSAP256SHA256;
;
secret "EXAMPLESECRET";
};
zone-signing-key "example.com" {
algorithm ECDSAP256SHA256;
;
secret "EXAMPLESECRET";
};
};
四、限制公开DNS服务器
为了保护您的DNS服务器免受域传送攻击的威胁，您需要限制可以查询DNS服务器的公共客户端。通常，DNS服务器的托管服务会自动为您完成此项工作，但是，如果您要充当自己的DNS管理员，那么我们建议您在网络管理员的支持下，将DNS服务器放置在防火墙背后，以防止外部访问。
// 防火墙配置示例 iptables -A INPUT -p udp -m udp --dport 53 -s 192.168.1.0/24 -j ACCEPT iptables -A INPUT -p tcp -m tcp --dport 53 -s 192.168.1.0/24 -j ACCEPT iptables -A INPUT -p udp -m udp --dport 53 -j DROP iptables -A INPUT -p tcp -m tcp --dport 53 -j DROP
五、了解DNS缓存使用情况
DNS缓存是DNS服务器的一个核心特性，它将DNS查询结果存储在服务器上，在下次请求同一个域名时，会从缓存中返回结果从而提高查询速度。但是，如果缓存没有更新，它会成为恶意攻击的潜在目标，尤其是在DNS服务器中存在漏洞时。为了保护DNS服务器，您应该确保缓存策略正确并定期清除缓存。
// 给出的 DNS 缓存设置
options {
// 缓存默认TTL
max-cache-ttl 86400;
// 缓存最小 TTL
min-cache-ttl 3600;
// 相同查询最小 TTL
max-ncache-ttl 3600;
// 关闭缓存
zero-no-cache yes;
};
