递归解析器安全审计

01 · DNS协议机制精要

1.1 报文结构与标志位

DNS报文由12字节定长首部与四段变长部分组成：问题段（Question）、应答段（Answer）、授权段（Authority）、附加段（Additional）。首部中的标志位是审计中判断应答性质的关键证据：

1.2 EDNS（RFC 6891）：扩展机制与载荷协商

经典DNS将UDP应答限制在512字节内，EDNS0通过OPT伪资源记录协商更大的UDP载荷（建议值1232字节起步，以穿越常见路径MTU）并携带扩展标志（如DO位声明DNSSEC感知）。审计要点：①EDNS实现缺陷是历史故障大户——2019年"DNS Flag Day"全球协调行动正是为强制移除对EDNS畸形应答过度容忍的遗留兼容逻辑；②UDP分片是投毒攻击面（分片重组绕过部分端口随机化假设），RFC 8906总结了此类常见运营问题；③OPT记录中的扩展选项（如EDNS Cookie、ECS）须逐项评估开启策略。

1.3 DNSSEC记录类型与验证逻辑

1.4 传输层：UDP为主、TCP兜底、加密补充

UDP 53是默认传输；当应答超过协商载荷或首试UDP失败时回退TCP（RFC 7766明确递归器与权威服务器必须支持TCP）。审计含义：①仅放行UDP 53而屏蔽TCP 53会被攻击者利用（TC置位即造成解析失败），也违反标准；②TCP通道须纳入DDoS防护（SYN泛洪、连接耗尽）；③DoT/DoH/DoQ加密传输（第6页展开）不改变DNS语义，仅改变信道。

02 · 递归解析与缓存规则

2.1 完整解析流程的证据链

以首次查询www.example.com为例，递归器的标准动作序列是：①查缓存（命中且未过期→直接应答）；②未命中→向根服务器查询com委托（通常缓存命中）；③向com权威查询example.com委托（通常缓存命中）；④向example.com权威查询www的A记录；⑤（若开启验证）沿DS/DNSKEY链逐级验证RRSIG；⑥写入缓存（记录类型、应答段、TTL起算点）并应答客户端。每一步都是可观测的审计点：转发链上额外出现的"第四方"递归、TTL异常压缩、附加段夹带（bailiwick违规）等均可在此过程中被识别。

2.2 TTL与缓存的三条铁律

• TTL由权威指定、递归无权拉长：按RFC 2181第5节的澄清语义，缓存记录的生存期以应答中的TTL为准；降低TTL（如将3600改写为60）是某些"管控型"篡改的特征，审计可用多解析器比对TTL识别（呼应子课题01的多路径一致性测量）。
• 否定缓存单独计时：NXDOMAIN/NODATA按权威SOA记录中的最小TTL缓存（RFC 2308），攻击者可通过操纵SOA TTL放大或缩短否定缓存驻留时间。
• 缓存是共享资源：一个用户的投毒结果影响全体用户——这决定了第4页将缓存完整性列为最高优先级的审计域。

2.3 bailiwick：最容易被忽视的缓存写入边界

bailiwick规则要求：递归器只能把"应答中与查询名同域（或为其子域）"的记录写入缓存，以防止攻击者借example.com的应答段把bank.com的伪造NS记录塞进缓存。Kaminsky攻击的核心技巧之一正是利用附加段的第三方域名记录绕开当时的宽松实现。现代实现（BIND的fetch-glue no、Unbound的harden-referral-path）默认收紧该边界，但老旧固件仍是盲区——这正是嵌入式转发器审计的必查项。

03 · 攻击面全景清单

下表汇总递归解析器面临的十二类主要攻击面，全部可在公开文献中找到对应出处。清单是本课题各防御章节的"问题索引"：

04 · 标准与漏洞演进时间线（1987—2022）

05 · 威胁情报映射（MITRE ATT&CK）

递归解析器安全并非孤立课题，其攻防行为已在MITRE ATT&CK中获得系统标注，可直接复用其编号体系组织检测与狩猎：

本节参考来源（第2页）

本节所有机制描述均可对照以下原文核验。