什么是‘畸形DNS’？它带来了哪些影响？

畸形DNS详细内容

畸形DNS数据包通常指不符合标准规范的DNS查询或响应数据包，这些数据包可能因为格式错误、长度异常、校验和不匹配等原因被认为是畸形，畸形DNS数据包不仅会导致域名解析失败，还可能引发网络安全问题，如缓存投毒、拒绝服务攻击等。

畸形DNS数据包的原因

1、格式错误：数据包必须符合DNS消息格式规范，包括正确的消息头部和数据部分，如果数据包的格式不正确，例如缺少必要的字段或字段值不合法，它可能被认为是畸形数据包。

2、长度错误：mDNS数据包的长度必须在允许的范围内，通常限制在最大值（例如65535字节）以防止网络滥用或缓冲区溢出，如果数据包的长度超出了允许的范围，它可能被认为是畸形数据包。

3、错误的校验和：mDNS数据包中包含校验和字段，用于验证数据的完整性，如果校验和字段与实际数据不匹配，或者校验和字段缺失，数据包可能被认为是畸形数据包。

4、恶意攻击：有些网络攻击可能会故意构造畸形的mDNS数据包，以触发漏洞或导致服务不可用，网络设备或防火墙可能会检测到这些畸形数据包并进行相应的处理。

畸形DNS数据包的影响

1、域名解析失败：由于畸形数据包无法被正确解析，客户端无法获得所需的域名解析结果，从而无法访问特定的网站或服务。

2、网络性能影响：这种错误可能会对网络性能产生负面影响，导致延迟增加或者连接中断。

3、安全风险：如果畸形数据包是由恶意软件引起的，攻击者可能利用此漏洞进行网络攻击、数据篡改或者个人信息窃取等恶意行为。

排查和解决方法

1、网络设备检查：确认网络连接没有问题，因为糟糕的连接可能导致数据包损坏。

2、更新DNS软件：确保DNS服务器运行的软件是最新的版本，以避免已知的漏洞和错误。

3、检查服务器配置：审核DNS服务器的配置，确保所有的设置都符合DNS规范要求。

4、使用网络工具：借助如Wireshark这类网络分析工具，可以捕获和分析数据包，定位问题所在。

相关案例分析

CVE20201350 SigRedDNS漏洞分析

CVE20201350是DNS.exe在处理畸形DNS Sig消息时，由于对数据包的字段校验不严格，导致了整型溢出，攻击者可以配置一个恶意的域名evildomain.com，该域名的DNS指向的DNS服务器作为本次攻击的目标。

攻击流程：

1、当客户端查询evildomain.com的DNS记录；

2、目标DNS服务器向根域名服务器查询evildomain.com的NS记录；

3、根域名服务器告诉目标DNS，evildomain.com的权威DNS服务器是3.3.3.3，并该记录缓存起来；

4、客户端向目标服务器查询evildomain.com的Sig记录；

5、目标服务器将请求转发给权威DNS服务器；

6、权威DNS服务器返回畸形Sig查询结果；

7、目标DNS服务器处理SigQuery的畸形消息时将此消息缓存到自己的记录中，触发漏洞。

漏洞成因

ushort类型，为无符号16位类型，RR_AllocateEx分配的大小只有16个bit，大小为0~65535，所以只要构造size大于65535，造成整数溢出，而系统就会分配一个比实际数据量小的堆块，进而造成堆溢出，将整数溢出转化成堆溢出漏洞。

相关问题与解答

问题1：什么是“malformed packet”错误？

答：“Malformed packet”错误是指接收到的DNS数据包格式不符合标准规范，无法被正确解析和处理的情况，这种错误可能是由于网络传输问题、恶意软件或者配置错误导致的。

问题2：如何解决DNS中的“malformed packet”错误？

答：解决DNS中的“malformed packet”错误可能需要进行以下步骤：检查网络连接和配置，确保没有任何网络传输问题或错误设置，升级或更换DNS软件、服务器或客户端，以确保使用的是最新版本，其中修复了可能导致“malformed packet”错误的漏洞，还可以使用防火墙和安全软件来过滤恶意数据包，以防止其达到DNS服务器或客户端，及时更新操作系统和软件补丁，以修复可能存在的安全漏洞，减少遭受“malformed packet”错误的风险。