在DNS缓存投毒攻击中，IP分片技术被证明是一种有效的攻击手段。2012年，Amir Herzberg和Haya Shulman在《Fragmentation Considered Poisonous》一文中首次提出了这一概念，随后Tomas Hlavacek在2013年RIPE 67会议上进一步阐述了IP分片攻击DNS的方法。2018年，Markus Brandt等人发表的新论文《Domain Validation++ For MitM-Resilient PKI》进一步丰富了相关文献，描述了他们如何通过IP分片成功对多个证书颁发机构的全服务解析器进行投毒攻击，并成功颁发了一些证书。该攻击分为两个部分：一是针对路径MTU发现，二是使用IP分片进行DNS缓存投毒。
路径MTU发现攻击的细节
路径MTU发现攻击允许离路径攻击者设置从权威服务器到受害全服务解析器的路径MTU值。一些实现接受带有小MTU值（小于576字节）的ICMP '需要分片且DF设置'，并将指定的值记录为路径MTU值。在Linux（3.13或更早版本）上，路径MTU值可以降低到552字节，而在某些服务器上可能降低到296字节或更低。为了评估对路径MTU发现的攻击，作者编写了一个小的Perl程序，生成定制的ICMP/ICMPv6数据包。这些定制的ICMP数据包包含IPv4头部、ICMP头部（不可达的分片需要且DF设置，带有小MTU值）、内部IPv4头部（带有大包大小）和内部UDP头部。为了评估ICMP攻击的效果，攻击者会向受害服务器发送定制的ICMP/ICMPv6数据包，然后使用以下命令在受害服务器上验证结果：在Linux上使用"ip route get
攻击效果评估
攻击效果的评估结果显示，某些Linux系统在接收到定制的ICMP/ICMPv6数据包后，其路径MTU值被降低。例如，Linux 2.6.32系统在接收到ICMP/ICMPv6数据包后，其路径MTU值从1280字节降低到1280字节，而IPv4地址203.178.129.44的路径MTU值从576字节降低到576字节。
避免IP分片的意义
避免在DNS中使用IP分片对于降低DNS缓存投毒攻击风险具有重要意义。通过采取有效的防护措施，如限制MTU值和验证数据包的完整性，可以显著减少攻击者利用IP分片进行DNS缓存投毒的可能性。这对于运维和网络工程师来说，意味着需要关注和实施这些防护措施，以确保网络的安全性和稳定性。
总结来说，避免在DNS中使用IP分片是降低DNS缓存投毒攻击风险的重要措施。通过了解攻击的细节和采取相应的防护措施，运维和网络工程师可以更好地保护网络免受此类攻击的侵害。
原文: APNIC Blog（2019-07-12）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog