[發明專利]一種遞歸域名服務器解析異常的主動檢測方法

在審

• 申請號: 202011299516.2
• 申請日: 2020-11-19
• 公開（公告）號: CN112468474A
• 公開（公告）日: 2021-03-09
• 發明（設計）人: 張兆心;李冷文婷;陸柯羽;劉楊;許海燕;柴婷婷
• 申請（專利權）人: 哈爾濱工業大學（威海）
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 北京怡豐知識產權代理有限公司 11293
• 代理人: 于振強;劉興祿

1.一種遞歸域名服務器解析異常的主動檢測方法，其特征是，包括以下步驟：

步驟1、組建DNS查詢報文并從53端口發送；

步驟2、對返回的DNS響應報文進行存儲；

步驟3、對DNS響應報文的源部分進行異常檢測；

步驟4、對DNS響應報文中首部部分各字段進行檢測；

步驟5、對DNS響應報文中問題部分各字段進行檢測；

步驟6、對DNS響應報文中回答部分各字段進行檢測；

步驟7、對DNS響應報文中權威部分各字段進行檢測；

步驟8、對DNS響應報文附加部分各字段進行檢測；

步驟9、如果3-8步中檢測出異常，則標記異常類型并存儲異常信息。

2.根據權利要求1所述遞歸域名服務器解析異常的主動檢測方法，其特征在于，所述步驟3中DNS響應報文的源部分的異常規則如下：

一、DNS響應報文的源IP應與對應的DNS查詢的目的IP相同，否則存在源IP異常；

二、DNS響應報文的源端口應等于53/443/5353其中之一，且與對應DNS查詢報文的目的端口相同，否則存在源端口異常。

3.根據權利要求1所述遞歸域名服務器解析異常的主動檢測方法，其特征在于，所述步驟4中DNS響應報文中首部部分的異常規則如下：

(1)對于從對應DNS查詢報文中拷貝的字段，包括：ID、OpCode、RD和CD，在DNS響應報文中與對應DNS查詢報文中內容不同時視為異常；

(2)對于已知正確值的字段，包括：QR、Z和QDCOUNT，在DNS響應報文中存在QR等于0、Z等于1、QDCOUNT等于0三種情況之一時即視為異常；

(3)對于與響應的遞歸域名服務器相關的字段，包括：AA、TC、RA、AD、RCODE、ANCOUNT、NSCOUNT和ARCOUNT，其規則如下：

1)如果從對應DNS查詢報文中問題部分QNAME的權威域名服務器返回的DNS響應報文中AA等于0，或者從對應DNS查詢報文中問題部分QNAME的非權威域名服務器返回的DNS響應報文中AA等于1，則AA為異常；

2)如果在數據包大小不超過512字節的DNS響應報文中TC等于1，則TC為異常；

3)若對應DNS查詢報文中沒有在首部設置AD也沒有在附加部分設置DO，而DNS響應報文中AD等于1，則AD為異常；

4)DNS響應報文中的RCODE應與對應DNS查詢報文中一致，否則RCODE為異常；

5)如果一個DNS響應報文是從支持遞歸查詢的域名服務器返回的，則若查詢的資源記錄存在，DNS響應報文中的RA應等于1，RCODE應等于0，ANCOUNT應大于0；如果一個DNS響應報文是從不支持遞歸查詢的域名服務器返回的，DNS響應報文中RA應等于0，RCODE應大于0，ANCOUNT應等于0；如果查詢的資源記錄存在于對應DNS查詢報文中問題部分QNAME的權威域名服務器中，則只有上述兩種RA、RCODE和ANCOUNT的組合是正常的，其余均為異常。

4.根據權利要求1所述遞歸域名服務器解析異常的主動檢測方法，其特征在于，所述步驟5中DNS響應報文中問題部分的異常規則如下：

A、問題部分的QNAME既與對應DNS查詢報文中問題部分的QNAME不同，也與其規范名不同，則QNAME為異常；

B、問題部分的QTYPE和QCLASS應與對應DNS查詢報文中問題部分的QTYPE和QCLASS相同，否則為異常。

5.根據權利要求1所述遞歸域名服務器解析異常的主動檢測方法，其特征在于，所述步驟6中DNS響應報文中回答部分的異常規則如下：

(A)回答部分的NAME既與對應DNS查詢報文中問題部分的QNAME不同，也與其規范名不同，則NAME為異常；

(B)回答部分的TYPE應與對應DNS查詢報文中問題部分的QTYPE一致，或者為TKEY、DNSKEY、RRSIG、NSEC、DS其中之一，否則為異常；

(C)回答部分的CLASS應與其RDATA一致，否則為異常；

(D)若回答部分RDATA的PTR記錄、證書內容、HTTP內容、AS內容之一與可信DNS服務器返回的不一致，則RADATA為異常。