在本文中，我们将探讨如何恶意行为者能够强制UDP DNS响应进行分片，从而将伪造的DNS数据注入DNS解析器缓存中，并强调有多少比例的服务器面临风险。
攻击目标与机制
为了成功进行此类攻击，恶意行为者需要找到受害者DNS区域中足够大的DNS响应，这些响应包含有价值的信息，从而成为攻击的目标。一个可能的攻击目标是存储在DNS区域起始位置的TXT记录（区域APEX）。TXT记录存储着诸如用于电子邮件发送者身份验证的发送者策略框架（SPF）记录等有价值信息，以及用于验证域名所有者对云和Web服务的安全令牌。这些TXT记录集通常很大，大于以太网网络中使用的最大传输单元（MTU）（1,500字节）。在权威DNS服务器使用较旧的（2020年DNS标志日之前的）EDNS设置的域名中，这些响应存在被分片的风险。攻击者可以利用针对分片DNS响应的攻击来伪造SPF记录信息（以便能够从受害者的域名发送垃圾邮件或钓鱼邮件）或更改安全授权令牌以接管云服务。
NS记录的攻击风险
在我们的研究中，我们发现一个属于《财富》50强公司之一的域名拥有过多的名称服务器（NS）记录。NS记录列表用于DNS解析器在遵循DNS委派路径时找到权威DNS服务器的路径。在这种情况下（后来已修复），NS记录列表的UDP DNS响应大小超过1,500字节，因此存在被伪造的高风险。伪造NS记录集对攻击者来说是一个高价值的目标，因为它允许将整个DNS区域重定向到攻击者控制的DNS服务器。
正常大小DNS记录的攻击
即使受害者的DNS区域没有过大的DNS资源记录，攻击者仍然可以创建DNS UDP分片发生的情况。要了解此类攻击如何进行，我们需要讨论互联网中分片错误信号的工作方式。当互联网中的路由器收到一个太大而无法转发到目的地的IP数据包时，如果该IP数据包上的“不要分片”位被设置，则路由器将丢弃该数据包，并响应一个互联网控制消息。
结尾：
对于运维和网络工程师来说，了解这些攻击机制和风险至关重要。通过采取适当的预防措施，如更新EDNS设置、监控DNS响应大小以及实施安全策略，可以显著降低DNS服务器的风险，并保护网络免受恶意攻击。
原文: APNIC Blog（2022-09-29）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog