内网DNS投毒技术劫持会话
在现代企业网络环境中,内部网络安全至关重要，内网DNS投毒技术作为一种隐蔽且危害性极大的攻击手段，常常被不法分子利用来劫持用户会话，窃取敏感信息，破坏企业正常运营，本文将深入剖析内网DNS投毒技术劫持会话的原理、方法、影响以及防范措施。
内网DNS投毒技术原理
（一）DNS工作机制回顾
DNS（Domain Name System）负责将域名解析为对应的IP地址，以便计算机能够通过IP进行通信，在正常的DNS查询过程中，用户发起查询请求，该请求会逐级向上传递给DNS服务器，直到获取到目标域名的权威解析记录，再将结果返回给用户。
（二）DNS投毒原理
内网DNS投毒主要是通过篡改DNS查询的响应过程,使得用户获取到错误的IP地址与域名映射关系，攻击者可以利用内网中的某些漏洞或者进行ARP欺骗等手段，冒充合法的DNS服务器或者中间节点，向发起DNS查询请求的客户端发送伪造的DNS响应包，当客户端收到这个伪造的响应后，就会将错误的IP地址缓存起来，后续访问该域名时就会连接到攻击者指定的虚假服务器上，从而实现会话劫持。
在一个企业内部网络中,当员工想要访问企业内部的办公系统（假设域名为oa.company.com），正常情况下DNS会解析出正确的办公系统服务器IP地址，但攻击者通过DNS投毒技术，让员工的客户端误以为oa.company.com对应的是攻击者搭建的恶意服务器IP，员工输入账号密码等操作就会发送到恶意服务器，攻击者从而可以窃取账号信息等敏感数据。
常见的内网DNS投毒方法
（一）ARP欺骗
| 步骤 | 具体操作 | 说明 |
|---|---|---|
| 1 | 攻击者监听内网网络流量，获取目标主机（如DNS服务器和发起DNS查询请求的客户端）的MAC地址和IP地址信息。 | 通过抓包工具等可以轻易实现对内网流量的监测，获取关键设备的网络标识信息。 |
| 2 | 攻击者伪造ARP响应包，声称自己是目标DNS服务器，同时向客户端和真实的DNS服务器发送伪造的ARP信息，让它们误以为攻击者所在的主机就是对应的设备。 | 攻击者向客户端发送ARP响应包，告诉客户端“我是DNS服务器，我的IP地址是[真实DNS服务器IP]，我的MAC地址是[攻击者MAC地址]”，让客户端将原本发往真实DNS服务器的请求发往攻击者这里。 |
| 3 | 当客户端发起DNS查询请求时，攻击者截获该请求，然后自己向真实的DNS服务器转发该请求（如果有需要），再将真实的DNS服务器返回的响应进行篡改后发给客户端。 | 可以修改响应中的IP地址等关键信息，引导客户端连接到恶意服务器。 |
（二）缓存投毒
攻击者通过向DNS服务器发送大量精心构造的查询请求,利用DNS服务器的缓存机制，将伪造的域名解析记录存入缓存中，当其他客户端后续查询该域名时，就会从缓存中获取到错误的解析结果。
攻击者构造特殊的查询请求,针对某个热门的内部服务域名，不断向DNS服务器发送包含错误IP地址解析记录的查询，使得DNS服务器将这些错误记录缓存起来，那么在缓存有效期内，所有查询该域名的客户端都会得到错误的指向。
内网DNS投毒劫持会话的危害
（一）数据泄露
如前面例子所述,当用户会话被劫持到恶意服务器后，用户输入的账号、密码、个人隐私信息以及企业在内部网络中传输的各种敏感业务数据等都可能被攻击者窃取，导致数据泄露风险大增，可能会给企业带来严重的声誉损失和法律责任问题。
（二）业务中断
攻击者可以通过劫持会话,将用户的请求导向无法正常提供服务的虚假服务器或者故意制造异常情况，使得企业内部的正常业务系统无法被用户正常访问，造成业务中断，影响企业的运营效率，甚至可能造成直接的经济损失。
（三）恶意软件传播
攻击者可以将用户引导到自己控制的服务器上,在该服务器上放置恶意软件，当用户访问时，自动下载并安装恶意软件到用户终端，进而感染整个内网，扩大攻击范围，进一步控制更多的内网资源，形成恶性循环。
防范内网DNS投毒劫持会话的措施
（一）强化访问控制
| 措施 | 详细说明 |
|---|---|
| 设置严格的网络访问权限，限制内网中不同区域、不同设备之间的访问范围。 | 通过VLAN划分，将办公区、服务器区等进行隔离，只允许必要的网络流量在各区域之间交互，减少攻击者横向移动和实施攻击的机会。 |
| 对DNS服务器的访问进行严格控制，只允许授权的客户端和管理员进行访问和管理操作。 | 可以通过设置防火墙规则、访问控制列表（ACL）等方式，限制非法设备对DNS服务器的访问尝试。 |
（二）加密通信
在内网中采用DNS over HTTPS（DoH）或DNS over TLS（DoT）等加密的DNS通信协议，这样，即使攻击者截获了DNS查询和响应的流量，由于是加密的，也无法轻易篡改其中的内容，从而有效防止DNS投毒攻击。
（三）定期监测与审计| 审计方式 |
||| | 1. 部署网络监控工具，实时监测内网中的网络流量、设备状态等情况，及时发现异常的ARP活动、DNS查询和响应流量异常等迹象。 | 使用专业的网络流量分析软件，设置告警阈值，当发现某个时段内ARP请求或响应数量异常增多，或者DNS流量出现不符合常态的情况时，及时发出告警。 | | 2. 定期对DNS服务器的日志进行审计，查看是否有异常的查询请求、缓存更新等情况。 | 分析DNS服务器日志中记录的查询来源、查询的域名、返回的结果等信息，若发现有大量来自不明来源的可疑查询或者缓存被异常修改的情况，进一步排查是否存在DNS投毒攻击行为。 |
相关问题与解答
（一）问题
如何在已经怀疑内网存在DNS投毒攻击的情况下,快速定位攻击源？
解答
可以通过网络监控工具查看近期出现异常网络行为的设备,重点关注那些有频繁ARP广播、异常DNS查询和响应流量的设备，结合DNS服务器的日志，查找在异常时间段内发起可疑查询请求的IP地址，对这些IP地址对应的设备进行深入排查，比如检查设备是否被安装了恶意软件、是否存在未经授权的网络配置变更等情况，逐步缩小范围锁定攻击源。
（二）问题
采用加密的DNS通信协议（如DoH或DoT）后，是否就完全不用担心DNS投毒问题了？
解答
虽然采用加密的DNS通信协议能极大提高DNS通信的安全性,防止大部分基于网络层篡改的DNS投毒攻击，但并不能完全杜绝，如果用户的设备被植入了恶意软件，该恶意软件可以直接在本地篡改DNS配置或者模拟DNS解析过程，绕过加密通信环节进行攻击，还需要配合其他安全措施，如强化终端安全防护、定期监测设备状态等，来综合防范DNS投毒风险。
内网DNS投毒技术劫持会话是一种严重的内网安全威胁,企业需要充分了解其原理、危害，并采取有效的防范措施，保障内网的安全稳定