[发明专利]一种基于无状态扫描的高速域名解析方法

说明书

本发明涉及一种基于无状态扫描的高速域名解析方法，加密DNS查询报文的UDP协议头，定期发送DNS查询报文，对收回的回复报文进行解析、校验，记录UDP协议头部符合加密特征的DNS回复报文以及对应IP，校验IP并依结果生成可靠DNS服务IP池，当存在域名解析请求时，从中选取IP作为解析服务器对请求对应的域名进行解析，持续接收UDP报文，校验UDP协议头和DNS协议头，通过则记录当前UDP报文信息。本发明在不同解析服务器间负载均衡，提高域名解析效率，单台设备即可实现对全球域名信息变化的实时感知，极大提高PDNS收集系统的准确性和实时性，为威胁情报关联分析及全球DNS恶意污染问题分析提供数据基础。

技术领域

本发明涉及数字信息的传输，例如电报通信的技术领域，特别涉及一种基于无状态扫描的高速域名解析方法。

背景技术

随着网络的发展，在过去几年中针对DNS基础设施的攻击威胁频发，例如针对验证域名服务器的DDoS攻击、利用域名服务器作为DDoS攻击的放大机制、顶替注册账户以修改授权信息、缓存投毒攻击以及由恶意软件实现的域名服务器滥用等；当需要进行网络事件响应调查时就会发现，被动DNS是非常有用的，可以通过查询被动DNS数据库来查找与某一网站相关联的DNS查询记录，或者自某一时间开始该网站曾经使用过哪些域名服务器，又或者另有哪些其它域名在使用同一套域名服务器；更进一步，也可以选择某个已知的恶意IP地址，并查询各被动DNS数据库最近映射至该IP地址的全部相关域名信息。

基于此，如何建立一套可靠、高实时性的被动DNS收集系统成为多个研究团队努力的方向。

现有技术中，基于上述问题的解决方案一般有两种，一是通过有状态UDP方式向指定域名解析服务器发送域名解析请求以完成域名的解析，二则是通过有状态UDP方式向多个域名解析服务器发送域名解析请求以完成域名的解析。针对第一种解决方案，域名解析时，如果向某个指定的域名解析服务发送大量域名解析请求报文，域名服务器会对请求端进行限流限速，导致大量域名解析失败，解析效率极为低下，失去了对域名信息变化实时感知的意义；而针对第二种解决方案，虽然该方案使用多个域名解析服务器进行域名解析，在一定程度上提高的解析速度，但是有状态UDP解析受限于TCP/IP协议栈出站端口的上限值65535的限制，单IP并发查询量无法突破，导致解析效率依然无法达到对域名信息变化实时感知的需求。

发明内容

本发明解决了现有技术中，解析效率低下，失去对域名信息变化实时感知的意义，而传统域名解析仅在几个域名解析服务之间进行且查询基于UDP有状态方式，受限于协议栈的出站端口限制，每秒并发DNS查询上限无法超过65535条的问题，提供了一种优化的基于无状态扫描的高速域名解析方法。

本发明所采用的技术方案是，一种基于无状态扫描的高速域名解析方法，所述方法包括以下步骤：

步骤1：读取本机配置参数，初始化；

步骤2：对DNS查询报文的UDP协议头部进行加密，定期向全球IPv4地址空间发送DNS查询报文，获取DNS回复报文；

步骤3：对收回的DNS回复报文进行解析、校验，记录UDP协议头部符合加密特征的DNS回复报文以及对应的IP；

步骤4：根据配置的规则对所述DNS回复报文进行校验，依据校验结果生成可靠DNS服务IP池；

步骤5：若存在域名解析请求，则进行下一步，否则，返回步骤2；

步骤6：若未达到最大重传次数，则每个域名从可靠DNS服务IP池中选取任一IP作为域名服务器进行域名解析，直至解析成功，进行下一步；若达到最大重传次数，则停止解析；

步骤7：持续接收UDP报文，校验UDP协议头和DNS协议头，若通过校验，则记录当前UDP报文信息，否则，扔掉报文。

优选地，所述步骤2包括以下步骤：