[发明专利]一种递归域名服务器解析异常的主动检测方法

权利要求书

1.一种递归域名服务器解析异常的主动检测方法，其特征是，包括以下步骤：

步骤1、组建DNS查询报文并从53端口发送；

步骤2、对返回的DNS响应报文进行存储；

步骤3、对DNS响应报文的源部分进行异常检测；

步骤4、对DNS响应报文中首部部分各字段进行检测；

步骤5、对DNS响应报文中问题部分各字段进行检测；

步骤6、对DNS响应报文中回答部分各字段进行检测；

步骤7、对DNS响应报文中权威部分各字段进行检测；

步骤8、对DNS响应报文附加部分各字段进行检测；

步骤9、如果3-8步中检测出异常，则标记异常类型并存储异常信息。

2.根据权利要求1所述递归域名服务器解析异常的主动检测方法，其特征在于，所述步骤3中DNS响应报文的源部分的异常规则如下：

一、DNS响应报文的源IP应与对应的DNS查询的目的IP相同，否则存在源IP异常；

二、DNS响应报文的源端口应等于53/443/5353其中之一，且与对应DNS查询报文的目的端口相同，否则存在源端口异常。

3.根据权利要求1所述递归域名服务器解析异常的主动检测方法，其特征在于，所述步骤4中DNS响应报文中首部部分的异常规则如下：

(1)对于从对应DNS查询报文中拷贝的字段，包括：ID、OpCode、RD和CD，在DNS响应报文中与对应DNS查询报文中内容不同时视为异常；

(2)对于已知正确值的字段，包括：QR、Z和QDCOUNT，在DNS响应报文中存在QR等于0、Z等于1、QDCOUNT等于0三种情况之一时即视为异常；

(3)对于与响应的递归域名服务器相关的字段，包括：AA、TC、RA、AD、RCODE、ANCOUNT、NSCOUNT和ARCOUNT，其规则如下：

1)如果从对应DNS查询报文中问题部分QNAME的权威域名服务器返回的DNS响应报文中AA等于0，或者从对应DNS查询报文中问题部分QNAME的非权威域名服务器返回的DNS响应报文中AA等于1，则AA为异常；

2)如果在数据包大小不超过512字节的DNS响应报文中TC等于1，则TC为异常；

3)若对应DNS查询报文中没有在首部设置AD也没有在附加部分设置DO，而DNS响应报文中AD等于1，则AD为异常；

4)DNS响应报文中的RCODE应与对应DNS查询报文中一致，否则RCODE为异常；

5)如果一个DNS响应报文是从支持递归查询的域名服务器返回的，则若查询的资源记录存在，DNS响应报文中的RA应等于1，RCODE应等于0，ANCOUNT应大于0；如果一个DNS响应报文是从不支持递归查询的域名服务器返回的，DNS响应报文中RA应等于0，RCODE应大于0，ANCOUNT应等于0；如果查询的资源记录存在于对应DNS查询报文中问题部分QNAME的权威域名服务器中，则只有上述两种RA、RCODE和ANCOUNT的组合是正常的，其余均为异常。

4.根据权利要求1所述递归域名服务器解析异常的主动检测方法，其特征在于，所述步骤5中DNS响应报文中问题部分的异常规则如下：

A、问题部分的QNAME既与对应DNS查询报文中问题部分的QNAME不同，也与其规范名不同，则QNAME为异常；

B、问题部分的QTYPE和QCLASS应与对应DNS查询报文中问题部分的QTYPE和QCLASS相同，否则为异常。

5.根据权利要求1所述递归域名服务器解析异常的主动检测方法，其特征在于，所述步骤6中DNS响应报文中回答部分的异常规则如下：

(A)回答部分的NAME既与对应DNS查询报文中问题部分的QNAME不同，也与其规范名不同，则NAME为异常；

(B)回答部分的TYPE应与对应DNS查询报文中问题部分的QTYPE一致，或者为TKEY、DNSKEY、RRSIG、NSEC、DS其中之一，否则为异常；

(C)回答部分的CLASS应与其RDATA一致，否则为异常；

(D)若回答部分RDATA的PTR记录、证书内容、HTTP内容、AS内容之一与可信DNS服务器返回的不一致，则RADATA为异常。