宋平凡,刘嘉勇,华 伟(四川大学电子信息学院,四川成都610064)

一种基于DNAT技术的DNS重定向改进方案*

宋平凡,刘嘉勇,华 伟
(四川大学电子信息学院,四川成都610064)

DNS重定向是基于DNS欺骗实现的一种数据流重定向技术。文中首先总结了几种不同形式的DNS欺骗技术,重点分析了现有DNS重定向技术的实现方式及其所存在的缺陷:一是会直接暴露监测主机的IP地址;二是不能同时监测多个域名。然后介绍了NAT和DNAT的技术原理,并基于DNAT技术给出了一种针对现有DNS重定向技术实现缺陷的改进方案。最后给出了改进方案在Linux上的实现方法,对方案改进前后进行了对比,证明了改进方案的优越性。

DNS重定向 目的地址转换 监控 Linux防火墙

0 引 言

随着用户对自身的信息安全越来越重视,以及网络终端处理能力的提升,越来越多的网站与移动APP开始运用SSL/TLS等加密通信协议来对自己全部或部分的通信数据进行保护。应用加密通信协议可以有效防止基于被动嗅探技术的监听,这在为普通用户提供隐私数据保护的同时,也为某些不法分子规避有关部门的审查提供了温床。

要对SSL/TLS等加密流量进行审查,必须用到主动嗅探技术。贺龙涛等人研究了基于协议欺骗的主动嗅探[1],指出协议欺骗其实就是攻击者有目的地破坏网络访问过程中存在的映射关系,并根据所破坏映射关系的不同将可用于主动嗅探的协议欺骗技术分为四大类:ARP欺骗、路由欺骗、DNS欺骗,以及应用层欺骗。其中,ARP欺骗、路由欺骗仅适用于同一局域网内的主动嗅探,应用层欺骗不能用于加密传输协议的嗅探,这些技术都有一定的局限性。……