主页 / server / 问题 / 682993
Accepted
nandoP
Asked: 2015-04-16 11:26:46 +0800 CST

完全限定域名、dhcp dns 搜索后缀和尾随点

  • 772

http://www.stackoverflow.com./不起作用，请注意尾随点。

Bad Request - Invalid Hostname 
HTTP Error 400. The request hostname is invalid.

是否应该将服务器配置为拒绝任何没有尾随点的 URL？（没有尾随点，它们不是 FQDN，根据 RFC，它们是相对域名。）

流氓 DHCP 服务器不能将 dns 后缀搜索路径推送到客户端并利用它吗？
假设一个流氓 DHCP 服务器能够推送“evildomain.com”的 dns 搜索后缀，那么用户访问chase.com 将导致访问“chase.com.evildomain.com”。用户访问“chase.com”。（带有尾随点，它是一个 FQDN）不会受到此漏洞的攻击。

几乎我在媒体上看到的每个 URL 都是相对的（因为尾随点不是明确的，只有在底层库添加尾随点后才成为真正的 FQDN）。

我们是否应该尽可能地强制使用绝对域名或 FQDN？

在 Windows 上，恶意网络服务器不能简单地更改最终用户的 dns 后缀搜索路径吗？在 *nix 机器上，更新 resolv.conf（配置了 dns 搜索后缀的位置）需要升级权限，但 nix 用户是否仍然容易受到 DHCP 欺骗场景的攻击？

domain-name-system

3 个回答

  1. 每当我配置任何接受 DNS 域名的内容时，我都会包含尾随点。一些系统在尝试验证输入时拒绝这样做，这是一种耻辱。如果您有一个由两部分组成的域后缀，则依赖 DNS 传递进行 AD-walking 的 Windows 客户端可能会很麻烦。MS 记录了解决方法。

    参考 resolv.conf... 等效的 Windows 配置也需要特权提升才能实现更改。

    • 2
  2. Best Answer

    是的，这是一个漏洞。不，当使用互联网相关域名进行查询时，服务器不应停止提供内容。

    试图找出一个名字是互联网相关的还是只是相对的，这对于一个好的无状态通用解决方案来说不是问题。一个糟糕的无状态解决方案是废除所有相对命名的使用。相对名称的存在是有正当理由的。

    应注意确保使用 FQDN 产生与互联网相关域名相同的内容。这主要是http服务器的问题。

    如果你想热心而又不讨厌：

    • 当您可以使用 FQDN 时，切勿使用互联网相关域名
    • 使用永久重定向308或301在您的网络服务器上将客户端指向正确的方向。
    • 2

  3. 默认情况下，DNS 客户端在尝试搜索路径之前首先尝试包含至少一个点作为 FQDN 的查询。

    • 0

相关问题