DNS 协议自 1995 年 Bellovin 披露漏洞至 RFC 3833 发布耗时近十年，2020 年仍频现攻击。现有防火墙与网关难以识别 DNS 重绑定等利用协议信任缺陷的攻击，需建立上下文感知的 DNS 安全策略而非依赖边界设备。
攻击机制：DNS 重绑定如何绕过边界防御
攻击者将权威 DNS 服务器 TTL 设为 1 秒，诱导受害者访问恶意站点（如 www.attacker.com）并植入 JavaScript。缓存过期后浏览器再次解析同一主机名，恶意脚本利用活动内容将 DNS 请求重绑定至内网服务器地址。因 DNS 数据包缺乏细粒度信任原则，重绑定后的脚本可绕过防火墙、网关甚至浏览器的同源策略（RFC 6454 定义的协议/域名/端口三元组），读取内网响应数据。2019 年 7 月有推文称企业内部逾五亿 IoT 设备面临此类十年前已知攻击的威胁。
现有防御的局限与协议层面的信任缺口
常见对策包括 DNS pinning（浏览器忽略 TTL 固定缓存解析结果），但原文未给出具体数据证明其有效性。核心问题在于 DNS 协议本身不携带上下文信任标识，导致安全设备无法区分合法解析与恶意重绑定。Bellovin 早于 1995 年即判断 DNS 作为基于名称的认证系统存在根本性脆弱，决策者曾考虑放弃该协议，但互联网工程任务组（IETF）直到近十年后才发布威胁分析，反映安全机制滞后于攻击演进。
运维与网络工程师应认识到边界设备无法单独解决 DNS 层面的信任问题，需在解析链路引入上下文感知策略：验证解析结果与预期资产的关联性、监控异常 TTL 与重绑定模式、在递归解析器层面实施策略而非仅依赖终端浏览器的同源策略补丁。
原文: APNIC Blog（2020-08-12）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog