永远不要使用二级域名作为 Linux Hostname

2023-06-15 10:17:28 +08:00
 baobao1270

最近发现了使用二级域名作为 Linux Hostname 会有坑,甚至还会造成潜在的信息安全问题。因此写了一篇博客,总结如下,全文可以在 https://josephcz.xyz/technology/linux/never-use-2ld-as-hostname/ 阅读

如果我们使用二级域名作为 Hostname

倘若我们将服务器的 Hostname 切换为二级域名,例如 example[.]com 时,会发生什么呢?在这里我们假设一个没有被任何人注册的域名,例如 some-not-registered-domain[.]com;并假设 com[.]com 这一域名被恶意人士注册。

接下来,我们使用 ping 命令,加上需要解析的域名,看看实际访问的域名时哪一个:

是的,在使用二级域名作为 Hostname 的情况下,当 ping 一个尚未注册的域名 some-not-registered-domain[.]com 时,由于 Hostname 和 Search Domain 的配置,会自动 fallback 到 some-not-registered-domain[.]com[.]com 上!遗憾的是,不管是否使用 Search Domain ,这个问题都存在——而将 Hostanme 设置为 FQDN 让这个问题更加隐蔽了。

这个问题不仅影响了 ping 、curl ,也影响了几乎所有使用 glibc 的程序:OpenSSL 、MySQL 、Nginx 、Apache……等等。如果它们的某个功能需要解析域名,则都会有同样的问题。

未被注册的域名值得警惕,但是这一问题如果发生在你自己的域名上呢?

如果我们使用已经被注册的域名作为 Hostname

回到我遇到的问题上来。我刚刚设置了 api-v2023[.]josephcz[.]xyz 这一域名的解析。而 DNS 解析的生效需要时间,在递归 DNS 未获取到生效的记录的情况下,会返回一个空记录。而空记录和 NXDOMAIN 错误一样,会触发 Search Domain 的 fallback 机制。因此,服务器上对 api-v2023[.]josephcz[.]xyz 全部被发送到了 api-v2023[.]josephcz[.]xyz[.]xyz

使用 tcpdump -i ens3 -nt -s 500 port domain 命令可以清楚地看到这一过程:

IP 10.0.0.12.57943 > 1.1.1.1.53: 27244+ A? api-v2023[.]josephcz[.]xyz. (35)
IP 10.0.0.12.57943 > 1.1.1.1.53: 19043+ AAAA? api-v2023[.]josephcz[.]xyz. (35)
IP 1.1.1.1.53 > 10.0.0.12.57943: 19043 0/1/0 (106)
IP 1.1.1.1.53 > 10.0.0.12.57943: 27244 0/1/0 (106)
IP 10.0.0.12.46092 > 1.1.1.1.53: 51629+ A? api-v2023[.]josephcz[.]xyz[.]xyz. (39)
IP 10.0.0.12.46092 > 1.1.1.1.53: 61104+ AAAA? api-v2023[.]josephcz[.]xyz[.]xyz. (39)
IP 1.1.1.1.53 > 10.0.0.12.46092: 51629 3/0/0 CNAME xyz[.]xyz., A 52.9.36.254, A 54.241.183.58 (85)

好在 XYZ 域名的注册局保留了 XYZ[.]XYZ。但是如果换成解析其他域名,例如 some-api-host[.]aws 或者 pki[.]goog,而相关域名的注册局又忘记保留了 awsgoog 之类的域名呢?

结论

在设置 Linux 的 Hostname 时,永远不要使用一个二级域名——无论是将 Hostname 设置为 FQDN 还是配置 Search Domain 。永远使用一个三级或以上的、受你自己控制的域名作为 Hostname 。

此外,启用强制性的 TLS 并正确部署证书信任也可以在一定程度上缓解这一问题——由于对方无法获得正确的 TLS 证书,即使解析被 fallback 到恶意攻击者的域名上,也难以窃取你的机密信息。

7553 次点击
所在节点    程序员
25 条回复
EvineDeng
2023-06-15 10:27:49 +08:00
也曾遇到过这个问题,但从未深究,谢谢 op 。
momocraft
2023-06-15 10:30:11 +08:00
用 HOSTNAME.local 是不是也没有这个问题
xxx027
2023-06-15 10:31:42 +08:00
localhost.localdomain
mozhizhu
2023-06-15 10:41:32 +08:00
我喜欢在二级设为区域名称;例如:hostname.(home|abcnet).aaa.com ;
没想到还有这个坑;
est
2023-06-15 10:43:29 +08:00
所以 ICANN 就很鸡儿烦。搞那么一大堆 tld ,现在大家都猜不出哪些后缀是安全的了。
summericy
2023-06-15 10:54:19 +08:00
谢谢分享,之前还没注意过这个问题
baobao1270
2023-06-15 10:55:51 +08:00
@momocraft .local 可以避免这个问题

@mozhizhu 你这个是四级域名了,没问题的,只有二级域名会有问题
SingeeKing
2023-06-15 11:00:16 +08:00
没被 ndots 坑过的人生是不完整的 [手动狗头]
feedcode
2023-06-15 11:05:21 +08:00
关于这个
> 服务器上对 api-v2023[.]josephcz[.]xyz 全部被发送到了 api-v2023[.]josephcz[.]xyz[.]xyz
大概率是服务器配置的问题, 估计有 options ndots:n (n>2) 或者你的发行版的不是 glibc

glibc 默认 ndots 是 1,
https://linux.die.net/man/5/resolv.conf
Resolver queries having fewer than ndots dots (default is 1) in them will be attempted using each component of the search path in turn until a match is found.
hyq
2023-06-15 12:41:47 +08:00
ping some-not-registered.com. <-- 最后有个点
是不是这种方式不会被影响到?
newaccount
2023-06-15 13:18:20 +08:00
感谢分享,跟着博客去看了下 RFC 1178 ,确实挺有意思的
hljjhb
2023-06-15 13:25:58 +08:00
@SingeeKing hhh 人生经验
ho121
2023-06-15 13:39:14 +08:00
# man resolv.conf

search Search list for host-name lookup.
By default, the search list contains one entry, the local domain name. It is de‐
termined from the local hostname returned by gethostname(2); the local domain name
is taken to be everything after the first '.'. Finally, if the hostname does not
contain a '.', the root domain is assumed as the local domain name.
Keystroke
2023-06-15 14:08:52 +08:00
ping 命令结果对比图的第 5 行,为什么 Search Domain 是 com ,Ping 域名 web 的时候实际 Ping 域名是 web.example.com
baobao1270
2023-06-15 14:38:26 +08:00
@feedcode
@SingeeKing

是的,我的 ndots 确实是 1 。但是无论 ndots 是多少,如果 absolute domain 的解析结果是 NXDOMAIN ,都会进行「添加 search name 的查询」

所以这个问题上 ndots 不是主要问题

---


@Keystroke 似乎上我从 Typora 里复制 Markdown 的时候复制错了。稍后会更新图片,但是 CDN 缓存刷新需要时间。

---


@hyq 这种不会影响。但是在配置各种应用( nginx 、mysql )的时候很少会记得多加一个点吧。
ecloud
2023-06-15 14:46:16 +08:00
什么人会用二级域名当主机名?难以理解这种需求……
feedcode
2023-06-15 15:04:33 +08:00
@baobao1270 you are right
hyq
2023-06-15 16:24:36 +08:00
@baobao1270 是的,很少会记得加这个点。以前不太理解这个.到底有什么意义,看到你这个问题,就明白了这个点代表的含义
alect
2023-06-15 16:57:47 +08:00
我有几十台主机,每个主机就是用的单独的二级域名区分,并没有觉得有问题。
tril
2023-06-15 19:33:17 +08:00
这让我想到另一个原理类似的漏洞:
某些硬路由的默认域使用了[.]host ,无法修改。而 cn[.]host 域名被黑产抢注,所有子域名全部跳转到恶意网站。结果就是该路由下访问任意一个不存在的[.]cn 域名(一种常见情况是拼写错误,例如 tsighua[.]edu[.]cn )会被尝试解析成[.]cn[.]host ,进而被跳转到恶意网站。

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/948880

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX