主流域名解析庫曝重大DNS投毒漏洞，應如何做好有效應對？

近日 ，一個未修復的關(guān)鍵安全漏洞被披露，通過利用該漏洞可對物聯(lián)網(wǎng)類產(chǎn)品造成巨大的安全威脅。該漏洞最早于2021年9月被報告，影響了用于開發(fā)嵌入式Linux系統(tǒng)的兩個流行的C庫——uClibc和uClibc-ng的域名DNS系統(tǒng)的正常使用，這可能會使數(shù)百萬物聯(lián)網(wǎng)設(shè)備面臨巨大的安全威脅 。

網(wǎng)絡(luò)安全研究人員表示，該漏洞可能允許攻擊者對目標設(shè)備實施DNS投毒攻擊。成功利用該漏洞可進行中間人 ( MitM ) 攻擊并破壞DNS緩存 ，從而將互聯(lián)網(wǎng)流量重定向到他們控制的惡意服務(wù)器上。如果將操作系統(tǒng)配置為使用固定或可預測的源端口，則可以輕松利用該漏洞 ，竊取和操縱用戶傳輸?shù)男畔?，并對這些設(shè)備進行其他攻擊 。

什么是DNS投毒 ？

DNS緩存投毒又稱DNS欺騙，是一種通過查找并利用DNS系統(tǒng)中存在的漏洞，將流量從合法服務(wù)器引導至虛假服務(wù)器上的攻擊方式。與一般的釣魚攻擊采用非法URL不同的是，這種攻擊使用的是合法URL地址。

DNS投毒的工作機制

在實際的DNS解析過程中，用戶請求某個網(wǎng)站 ，瀏覽器首先會查找本機中的DNS緩存，如果DNS緩存中記錄了該網(wǎng)站和IP的映射關(guān)系，就會直接將結(jié)果返回給用戶 ，用戶對所得的IP地址發(fā)起訪問。如果緩存中沒有相關(guān)記錄，才會委托遞歸服務(wù)器發(fā)起遞歸查詢
。

這種查詢機制，縮短了全球查詢的時間，可以讓用戶獲得更快的訪問體驗，但也存在一定的安全風險