[发明专利]一种DNS劫持防御方法

说明书

本发明的一种DNS劫持防御方法，将第三方可信域名服务器解析的网站域名的应答报文的返回路径，与本机DNS解析的应答报文的返回路径结果对比，如果本机DNS解析的应答报文的返回路径，与第三方可信域名服务器解析的应答报文的返回路径对比后结果不相同，丢掉本机DNS的应答报文的返回路径结果，把第三方可信域名服务器返回的响应结果返回给本机局域网内用户，将该网站域名加入到缓存列表中，后续本机局域网内用户再次访问网站域名将直接遍历缓存列表，并直接返回第三方可信域名服务器的应答报文的返回路径结果。

技术领域

本发明涉及网络域名劫持防御领域，具体涉及一种DNS劫持防御方法。

背景技术

DNS劫持又称域名劫持，是指在劫持的网络范围内拦截域名解析的请求，分析请求的域名，把审查范围以外的请求放行，否则返回假的IP地址，其效果就是对特定的网络访问的是假网址，比如钓鱼网站。伪造DNS服务器是DNS劫持中的一个主要攻击手段，攻击者劫持用户发往授权域名服务器的DNS请求报文，然后通过伪造DNS服务器把钓鱼网站的IP返回给用户进行欺骗。

TTL是Time To Live的缩写，该字段指定IP包被路由器丢弃之前允许通过的最大网段数量。在IP数据包从源到目的的整个转发路径上，每经过一个路由器，路由器都会修改这个TTL值，具体的做法是把该TTL的值减1，然后再将IP包转发出去。

现有技术主要是采用一种被动的方案进行防御，比如网站服务商可以提供两个域名，当其中一个域名发现被劫持行为后，可以使用另一个域名进行访问。现有技术的缺陷：防御方案过于被动，当DNS劫持攻击出现后依然可能引起危害。

发明内容

为了克服现有技术中的不足，本发明提出一种DNS劫持防御方法，其能对网站进行主动防御，减少DNS被劫持的危险。

为了实现上述目的，本发明的一种DNS劫持防御方法，包括以下步骤，S1：本机DNS对网站域名进行解析，提取本机DNS解析后的应答报文IP头中的TTL值进行对比分析，判断应答报文的返回路径是否发生了变化；S2：如果判定本机DNS解析后的应答报文IP头中的TTL值发生了变化，则通过预设的第三方可信域名服务器去解析网站域名，第三方可信域名服务器获得应答报文的返回路径；S3：将第三方可信域名服务器解析的网站域名的应答报文的返回路径，与本机DNS解析的应答报文的返回路径结果对比；S4：如果本机DNS解析的应答报文的返回路径，与第三方可信域名服务器解析的应答报文的返回路径对比后结果相同，将网站域名加入到缓存列表中，本机DNS再次访问网站域名将直接遍历缓存列表，并直接返回本机DNS的应答报文的返回路径结果；S5：如果本机DNS解析的应答报文的返回路径，与第三方可信域名服务器解析的应答报文的返回路径对比后结果不相同，丢掉本机DNS的应答报文的返回路径结果，把第三方可信域名服务器返回的响应结果返回给本机局域网内用户，将该网站域名加入到缓存列表中，后续本机局域网内用户再次访问网站域名将直接遍历缓存列表，并直接返回第三方可信域名服务器的应答报文的返回路径结果。

进一步的，S1中，本机DNS首先统计到50个DNS应答报文后结束统计，并选出出现频率最高的两个TTL值，本机DNS认为这两个TTL值为主用和备用的两个DNS应答报文的返回路径的TTL值，S1中的提取本机DNS解析后的应答报文IP头中的TTL值进行对比分析：本机DNS解析后的应答报文IP头中的TTL值与主用的DNS应答报文的返回路径的TTL值TTL值相比。

进一步的，本机DNS每24h后重新统计到50个DNS应答报文后结束统计，重新获得两个出现频率最高的TTL值作为主用和备用的两个DNS应答报文的返回路径的TTL值。

进一步的，第三方可信域名服务器为DNS8.8.8.8。

进一步的，缓存列表中存储的应答报文的返回路径结果的默认保留时间为1h。