劫持类型学：攻击面分解

01 · 类型学总览

六类手法按"攻击者所需权限由低到高"排序：H-1/H-2只需控制终端或网关；H-5只需骗过缓存（无需控制权）；H-3/H-6需控制或监听网络节点；H-4需攻破注册/权威侧的账户或系统（权限最高、危害最大）。下图给出各类的"所需权限等级"与"持续性"对比：

02 · 终端配置劫持（H-1）

2.1 技术机理

攻击者在不控制服务器的情况下，直接改写用户本机的解析出口：①修改 hosts 文件（Windows System32\drivers\etc\hosts、Linux/macOS /etc/hosts），将特定域名硬编码到攻击者IP；②修改网卡/系统DNS设置，把首选DNS指向受控解析器；③通过恶意软件常驻，劫持系统解析API。此类攻击门槛低、针对性强，常作为"定向诈骗"的第一步。

2.2 真实案例：DNSChanger（Operation Ghost Click）

DNSChanger 是一类自2007年起流行的恶意软件，通过篡改受害者计算机的DNS设置为攻击者控制的服务器，将搜索流量、广告与正常访问重定向到欺诈站点牟利。2011年11月8日，FBI联合多国执法机构发起"Operation Ghost Click"，捣毁其基础设施；据FBI与"DNS Changer Working Group（DCWG）"公开材料，该僵尸网络感染约100多个国家、约400万台计算机。由于直接关停恶意DNS会导致受害者断网，执法方设立"干净"的临时DNS服务器，并设定2012年7月9日为关停日（俗称"DNS Changer互联网黑名单日"），届时未清理的主机将失去解析能力——这一事件成为终端DNS劫持危害最广为人知的注脚。

03 · 路由器网关劫持（H-2）

3.1 技术机理

家用/企业边界路由器是下游所有终端的DNS出口。攻击者利用：①路由器管理界面的跨站请求伪造（CSRF），在用户浏览恶意网页时静默改DNS；②出厂弱口令/默认口令；③设备固件漏洞。一旦得手，网关下全部终端的解析都被重定向，影响面远超单台主机。

3.2 真实案例：巴西银行大规模路由器DNS重定向（2016—2017）

据多家安全厂商公开报告（FS-ISAC、Kaspersky、Radware等），2016—2017年巴西发生针对多家大型银行客户的规模化钓鱼：攻击者批量利用家用路由器漏洞（CSRF/弱口令）篡改其DNS设置，将网银域名解析到仿冒站点，并配合非法申请的SSL证书呈现"绿色锁"，使大量用户在毫无警觉下输入凭证。该事件凸显"路由器即攻击面"——即便银行自身防护严密，用户侧网关被改仍可导致失陷。

关联案例：2017年Kaspersky披露的巴西ISP级DNS劫持事件中，攻击者入侵一家巴西ISP的DNS基础设施，在数小时内将该ISP客户的网银域名重定向至钓鱼站点——这是"路由器劫持（H-2）"升级为"递归劫持（H-3）"的真实样本，说明同一攻击目标可在多个链路层被复制。

3.3 关联案例：VPNFilter（2018）

Cisco Talos 2018年披露的 VPNFilter 僵尸网络感染了50万台以上家用与小型办公路由器（Linksys、MikroTik、Netgear、QNAP、TP-Link等），除窃取凭证、监控流量外，其模块化设计具备重定向DNS的能力，可在设备"报废（end-of-life）"后仍能持久控制。该案例说明路由器层面劫持可作为国家级/规模化攻击的基础设施。

04 · 递归解析器劫持（H-3）

4.1 技术机理

递归解析器（运营商local DNS、公共DNS）是绝大多数查询的实际出口。若其被控制或收买，攻击者可以：①对指定域名注入虚假应答（返回攻击者IP）；②实施策略性污染——仅对特定地域、特定网络返回不同结果（使检测更难，因"换个网络就正常"）。ISP级DNS注入多见于国家级审查/监控场景（详见第5页测量），也可能源于解析器被入侵。

4.2 与H-6的区别

H-3是"控制解析器"，H-6是"在链路上抢答"。前者可持续、可定向、无需破解读取；后者依赖"应答比权威更快到达"，且对DNSSEC签名的域无效（见第3、4页）。检测上，H-3看"同一解析器对全网用户是否异常返回非权威结果"，H-6看"链路层是否存在抢答/注入特征"。

05 · 权威/注册劫持（H-4）

5.1 技术机理

这是危害最高、权限要求最高的一类：攻击者通过盗用域名注册商账户、利用注册商/注册管理机构系统漏洞，直接修改域名的 NS 记录或 A/AAAA 记录，使"官方权威"本身返回错误答案。由于改动发生在注册/权威侧，下游缓存与递归都会忠实采信——除非启用DNSSEC（签名可让篡改失效）或注册锁（Registry Lock）。

5.2 真实案例：Sea Turtle（Talos, 2019）

Cisco Talos于2019年3月披露的 Sea Turtle 是一场持续的国家背景DNS劫持行动，攻击者通过入侵域名注册商与DNS服务提供商账户，篡改目标组织的NS记录，使其邮件、网络流量被重定向至攻击者控制的服务器（典型的"中间人"式凭据窃取）。据Talos，受害组织超过40个、横跨13个国家，多涉及政府、军事、能源、电信等关键部门。其高明之处在于利用"合法DNS基础设施"而非单纯投毒，使传统检测几乎失效。

5.3 真实案例：DNSpionage（Talos, 2018）

DNSpionage 是针对中东地区的行动，攻击者通过钓鱼获取凭证后，入侵合法的DNS提供商/注册商（据报告包括某黎巴嫩ISP的DNS基础设施），改写记录以重定向流量、拦截凭证与内部通信。它常与投递恶意应用（仿冒VPN/聊天工具）配合，形成"DNS重定向 + 恶意软件"的组合拳。

06 · 缓存投毒（H-5）

缓存投毒（Cache Poisoning）指攻击者向递归解析器的缓存注入伪造资源记录，使后续所有查询该域名的用户都被导向错误IP。它无需控制解析器，只需"骗过"一次应答——因此具备"低权限、长尾效应"。其经典代表是2008年Dan Kaminsky披露的Critical DNS漏洞（CVE-2008-1447）：利用解析器对事务ID（16位）与源端口的可预测性，攻击者可在一次查询窗口内注入整域的伪造记录。第3页将专门剖析其原理与缓解（源端口随机化、0x20编码、DNSSEC）。

07 · 链路上中间人/路由劫持（H-6）

7.1 技术机理

在"终端↔递归"或"递归↔权威"的传输路径上，攻击者以on-path（路径上）位置抢先返回伪造应答（利用UDP无连接、无认证），即传统"中间人"。另一种更严重的是BGP前缀劫持：攻击者宣告不属于自己的IP前缀，把本应流向权威/解析器的流量"吸"到自己网络，再配合DNS解析完成劫持。

7.2 真实案例：MyEtherWallet BGP+DNS劫持（2018-04-24）

2018年4月24日，加密货币钱包 MyEtherWallet 遭遇劫持：攻击者通过BGP前缀劫持（涉及 AS49505/NodeStream，关联 Rostelecom 网络）将部分AWS Route 53 的IP前缀流量引向自身，使部分用户解析 myetherwallet.com 时拿到攻击者IP，被导向钓鱼页面，公开统计造成约15.2万美元损失（攻击持续约两小时）。该事件清晰展示了"路由层劫持 → 解析层篡改"的链式利用，也说明"用了大厂DNS/云服务"并不免疫于底层路由攻击。

7.3 关联背景：国家级DNS注入

以"防火长城（Great Firewall of China，GFW）"为代表的国家级DNS注入，通过在骨干链路上对特定境外域名注入伪造应答（常返回无效/错误IP，如127.0.0.1或随机地址）实现封锁，其"污染"具有地域性与临时性，是研究"策略性DNS注入"的重要观测对象（详见第5页 Niaki 等测量）。此类手法本质是H-6在国家级尺度的应用。

08 · 分类矩阵汇总

注：ATT&CK技术编号为关联参考（ATT&CK并非DNS专用知识库）；DNSSEC"可否终结"指对"已正确签名的域"能否验证真伪，不涵盖"注册商账户被盗改NS"情形（见§5.3）。

本节参考来源（第2页）