当前位置:   article > 正文

信息安全学习----DNS部署与安全_dmz区与内网 dns解析

dmz区与内网 dns解析

信息安全学习----DNS部署与安全

一、DNS基础知识

1、作用:

为客户机提供域名解析服务器

2、域名组成

www.baidu.com

.为根域

www 主机名

baidu.com称为域名(全球唯一)

“主机名.域名” 称为完全域名(FQDN)

命名其主机的时候会根据其主机的功能命名

网页www;blog博客,bbs论坛,mail邮箱

3、域名结构(树形)

在这里插入图片描述

3、监听端口:

TCP53;UDP53

4、DNS解析种类

按照查询方式:

在这里插入图片描述

1)递归查询:客户机与本地DNS服务器之间、DNS转发器(所见即所得)

2)迭代查询:本地DNS服务器与根等其他DNS服务器的解析过程(所见非所得)

按照查询内容分类:

正向解析:已知域名,解析IP地址

反向解析:已知IP地址,解析域名

命令:

ipconfig 查看网卡部分信息

ipconfig /all 所有网卡信息

ipconfig /release 释放IP

ipconfig /renew 重新获取ip

ipconfig /displaydns 查看dns缓存

ipconfig /flushdns 清空dns缓存

二、DNS部署与安全:

1、固定服务器IP地址
在这里插入图片描述

2、安装DNS服务器
在这里插入图片描述
直接下一步,到最后点击安装即可
在这里插入图片描述
创建正向区域
在这里插入图片描述
新建区域名称
在这里插入图片描述
创建DNS文件名称,保持默认即可
在这里插入图片描述
取消动态更新
在这里插入图片描述
创建主机
在这里插入图片描述
在这里插入图片描述

3、查看开启DNS服务器是否开启

netstat -an

DNS服务其类型:

主要名称服务器

辅助名称服务器

跟名服务器

高速缓存名称服务器

客户机域名请求解析顺序:

DNS缓存—本地hosts文件----找本地DNS服务器

服务器对域名请求处理顺序:

DNS高速缓存-----本地区域解析文件-----转发器-----根

清除DNS缓存:ipconfig /flushDNS

手工解析DNS: nslookup 域名或者IP地址

DNS存在的安全

  1. DNS欺骗

攻击者在自己的主机上安装网络侦听器,劫持域名查询请求,然后假冒DNS的响应,返回一个错误的解析地址,使发出该域名查询请求的客户机得到一个的解析地址;

攻击者通过污染DNSDE缓冲区将DNS高速缓存内的信息修改由于DNS的解析过程先由本地缓存中查找解析域名的IP地址,当本地的缓存内的信息被修改后,就将一个被篡改的IP地址发过请求者,是请求者获得一个错误的解析地址。

攻击者侵入操作系统,获得管理员权限,直接修改DNS数据文件。
(1)缓存感染

黑客会熟练的使用DNS请求,将数据放入一个没有设防的DNS服务器的缓存当中。这些缓存信息会在客户进行DNS访问时返回给客户,从而将客户引导到入侵者所设置的运行木马的Web服务器或邮件服务器上,然后黑客从这些服务器上获取用户信息。

(2)DNS信息劫持

入侵者通过监听客户端和DNS服务器的对话,通过猜测服务器响应给客户端的DNS查询ID。每个DNS报文包括一个相关联的16位ID号,DNS服务器根据这个ID号获取请求源位置。黑客在DNS服务器之前将虚假的响应交给用户,从而欺骗客户端去访问恶意的网站。

(3)DNS重定向

攻击者能够将DNS名称查询重定向到恶意DNS服务器。这样攻击者可以获得DNS服务器的写权限。

2.拒绝服务攻击

黑客主要利用一些DNS软件的漏洞,如在BIND 9版本(版本9.2.0以前的 9系列)如果有人向运行BIND的设备发送特定的DNS数据包请求,BIND就会自动关闭。攻击者只能使BIND关闭,而无法在服务器上执行任意命令。如果得不到DNS服务,那么就会产生一场灾难:由于网址不能解析为IP地址,用户将无方访问互联网。这样,DNS产生的问题就好像是互联网本身所产生的问题,这将导致大量的混乱。

3、分布式拒绝服务攻击

DDOS 攻击通过使用攻击者控制的几十台或几百台计算机攻击一台主机,使得服务拒绝攻击更难以防范:使服务拒绝攻击更难以通过阻塞单一攻击源主机的数据流,来防范服务拒绝攻击。Syn Flood是针对DNS服务器最常见的分布式拒绝服务攻击。SYN Flood攻击利用的是IPv4中TCP协议的三次握手(Three-Way Handshake)过程进行的攻击。
tcp三次握手

4.缓冲区漏洞溢出攻击

黑客利用DNS服务器软件存在漏洞,比如对特定的输入没有进行严格检查,那幺有可能被攻击者利用,攻击者构造特殊的畸形数据包来对DNS服务器进行缓冲区溢出攻击。如果这一攻击成功,就会造成DNS服务停止,或者攻击者能够在DNS服务器上执行其设定的任意代码。主要包括:

(1) 更改MX记录,造成邮件被截获、修改或删除。

(2)更改A记录,使您的WWW服务器的域名指向黑客的具有同样WWW内容的主机,诱使访问者登录,获取访问者的密码等相关信息。添加A记录,使黑客的主机拥有被相信的域名,以此来入侵通过启用域名信任机制的系统。

(3)利用这台主机作为攻击其他机器的“跳板”。

预防:

1、及时更新版本和补丁(针对Linux)
2、防止单点故障;
3、限制区域传输;
4、专用DNS服务器;
5、限制动态更新和递归查询
6、DNS域名服务器放置DMZ区
7、包过滤防护;
8、网络拓扑限制
9、DNS服务器的冗余备份
10、DNS清洗服务

三、练习

1、主要DNS服务器:客户机要指向DNS,练习清空DNS缓存,练习nslookup手工解析
客户机要指向DNS
在这里插入图片描述Windows server 2008IP地址设置
在这里插入图片描述

windows server 2008服务器DNS正向查找区域设置
在这里插入图片描述在Windows 7 测试:

nslookup www.test.com
  • 1

在这里插入图片描述

2、反向解析
windows server 2008服务器DNS反向查找区域设置
在这里插入图片描述在Windows 7 测试:

ping www.test.com
  • 1

在这里插入图片描述
3、辅助DNS服务器:成功更新区域解析记录
Windows sever 2008作为主DNS服务器设置:
在这里插入图片描述在这里插入图片描述在辅助DNS服务器设置:
新建以一个辅助区域:
在这里插入图片描述
与主DNS服务区名称一致:
在这里插入图片描述在这里插入图片描述创建完成后,按F5刷新
在这里插入图片描述
4、转发器/根

Windows server 2008 作为转发DNS服务器
Windows server 2003作为根服务器

Windows server 2008设置:
在这里插入图片描述Windows server 2003设置:
在这里插入图片描述在Windows sever 2008测试:
在这里插入图片描述
5、别名
在这里插入图片描述

6、将xp 与2008桥接上网,部署2008DNS服务器,xp指向2008,并能实现正常上网
示意图:
在这里插入图片描述

一般情况直接用虚拟机的网络连接将电脑连接起来,让虚拟机中的电脑处于同一网络,在连接外面的网络。桥接就是虚拟机中的电脑直接连接外面的网络,与外部的有线网卡、无线网卡共享,由外部直接分配IP地址信息给虚拟机中的电脑,从而实现虚拟机与外部网络连接。

四、总结

  1. 了解客户机域名请求解析顺序
  2. 了解服务器对域名请求处理顺序
  3. DNS解析种类
  4. DNS存在的安全以及预防手段
声明:本文内容由网友自发贡献,不代表【wpsshop博客】立场,版权归原作者所有,本站不承担相应法律责任。如您发现有侵权的内容,请联系我们。转载请注明出处:https://www.wpsshop.cn/w/知新_RL/article/detail/1019065
推荐阅读
相关标签
  

闽ICP备14008679号