关于DNS递归解析污染、DNS缓存污染、DNS劫持的预防讨论

Question

我网站域名经常受到DNS污染困扰,每次都只能换域名,变成SEO都要重做,

我发现DNS污染的”共同点”都是,运营商DNS(递归DNS)解析错误的IP给用户端,

过程是,会有某个省运营商开始解析域名错误IP,然后逐渐扩大到其他省运营商,

是否运营商的DNS容易被篡改?

因此想问各位,如果我方网站域名使用A云的免费版或付费版的DNS解析(管理控制台中添加域名，设置A记录、CNAME等解析记录),

然后请用户Client端的PC或移动装置的DNS设定成：A云的公共DNS IP,

这样的话,是否使用A云公共DNS的用户Client端可以"100%确保"能顺利解析到我方网站?

就不会受到DNS递归解析污染、DNS缓存污染、DNS劫持?

Answer 1

DNS（Domain Name System）递归解析污染、DNS缓存污染和DNS劫持是网络安全中常见的问题，它们都涉及到DNS查询过程中可能遇到的安全隐患。

1. DNS递归解析污染：这种情况下，攻击者可能会控制或操纵DNS服务器，返回错误或恶意的IP地址给客户端的DNS请求。当DNS服务器无限制地执行这些请求而没有验证来源时，就会发生递归解析污染。用户访问的是虚假的网站，导致数据泄露或被引导至恶意内容。

2. DNS缓存污染：当用户的DNS缓存存储了不准确或过期的信息时，即使后续请求指向同一域名，也可能获取到错误的IP。这通常是由于用户的设备长时间未更新缓存，或者攻击者利用欺骗手段使DNS缓存填充了恶意记录。为防止缓存污染，定期清理缓存并启用安全的DNS策略很重要。

3. DNS劫持：这是一种更为严重的攻击，攻击者直接拦截用户的DNS查询，将原本应去往合法服务器的流量重定向到他们控制的服务器。这可能导致敏感信息被盗、恶意软件感染等严重后果。防范措施包括使用受信任的DNS服务提供商、开启DNSSEC（DNS安全扩展）以及使用HTTPS加密传输。

为了预防这些问题，建议采取以下措施：

• 使用权威和安全的DNS服务提供商，如Google DNS、Cloudflare DNS等。
• 定期更新DNS客户端（如路由器、电脑）的设置，清除旧的DNS缓存和禁止DNS缓存监听。
• 启用DNSSEC以验证响应的来源和完整性。
• 在浏览器上启用隐私模式或使用HTTPS Everywhere等工具增强网络连接安全性。
• 对于企业环境，实施严格的网络安全策略，并教育员工识别和避免恶意DNS请求。