node.js - 解析域时如何处理 CNAME？

Question

我的 Web 应用程序从不受信任的用户那里接收到一些未过滤的字符串，然后必须确定该字符串在用作主机名时是否以某种方式解析为禁止范围内的 IPv4 或 IPv6 地址，由一组预定义规则确定。

因此，如果字符串看起来是 IPv4 或 IPv6 地址(规范与否)，这很简单——只需将地址转换为规范形式的任何内容，并测试它是否在允许的范围内。

但是如果字符串是有效的主机名，解析为很多记录怎么办？使用 node.js 的内置 dns 模块，我得到了这个特定主机名的所有 DNS 记录的列表(A、AAAA、TXT 、MX、SRV、CNAME)。接下来是什么？ AFAIK、TXT、SRV 和 MX 根本不影响名称解析。 A 和 AAAA 可以根据上述规则集进行验证。

但是我应该用 CNAME 做什么？我应该为遇到的每个 CNAME 发出递归 DNS 解析吗？直接无视，默默拒绝？如果我发出递归 DNS 解析，任何阻止某些 smarthat 为我的应用程序提供无限 CNAME 流的机会，例如 CNAME 1.foobar.com ⟶ CNAME 2.foobar.com ⟶ CNAME 3.foobar.com ⟶ CNAME 4.foobar。 com ⟶ ...?万一它在某个时候重复，我可以摆脱它，但如果没有呢？如果我提早中断(例如，在 N 次重定向之后)，黑客可能会将这样的链伪造成 N+1 长，最后一次重定向有 A/AAAA 记录到限制区域。

那么，有解决办法吗？ “方便”的解析器如何处理这个问题？

Answer 1

所以，我已经结束了自己设置名称服务器，并为它提供类似于

的区域配置

$ORIGIN foobar.com
...
evil1 CNAME evil2.foobar.com
evil2 CNAME evil3.foobar.com
evil3 CNAME evil4.foobar.com
evil4 CNAME evil5.foobar.com
...
evil99997 CNAME evil99998.foobar.com
evil99998 CNAME evil99999.foobar.com
evil99999 CNAME evil100000.foobar.com

evil100000 A 127.12.34.56

---

nslookup请求结束如下:

$ nslookup evil1.foobar.com
Server:     127.0.0.1
Address:    127.0.0.1#53

evil1.foobar.com    canonical name = evil2.foobar.com.
evil2.foobar.com    canonical name = evil3.foobar.com.
evil3.foobar.com    canonical name = evil4.foobar.com.
evil4.foobar.com    canonical name = evil5.foobar.com.
evil5.foobar.com    canonical name = evil6.foobar.com.
evil6.foobar.com    canonical name = evil7.foobar.com.
evil7.foobar.com    canonical name = evil8.foobar.com.
evil8.foobar.com    canonical name = evil9.foobar.com.
evil9.foobar.com    canonical name = evil10.foobar.com.
evil10.foobar.com   canonical name = evil11.foobar.com.
evil11.foobar.com   canonical name = evil12.foobar.com.
evil12.foobar.com   canonical name = evil13.foobar.com.
evil13.foobar.com   canonical name = evil14.foobar.com.
evil14.foobar.com   canonical name = evil15.foobar.com.
evil15.foobar.com   canonical name = evil16.foobar.com.
evil16.foobar.com   canonical name = evil17.foobar.com.
evil17.foobar.com   canonical name = evil18.foobar.com.

---

dig 产生类似的输出:

# dig +recurse evil1.foobar.com

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.23.rc1.el6_5.1 <<>> +recurse evil1.foobar.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 34317
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 17, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;evil1.foobar.com.      IN  A

;; ANSWER SECTION:
evil1.foobar.com.   10  IN  CNAME   evil2.foobar.com.
evil2.foobar.com.   10  IN  CNAME   evil3.foobar.com.
evil3.foobar.com.   10  IN  CNAME   evil4.foobar.com.
evil4.foobar.com.   10  IN  CNAME   evil5.foobar.com.
evil5.foobar.com.   10  IN  CNAME   evil6.foobar.com.
evil6.foobar.com.   10  IN  CNAME   evil7.foobar.com.
evil7.foobar.com.   10  IN  CNAME   evil8.foobar.com.
evil8.foobar.com.   10  IN  CNAME   evil9.foobar.com.
evil9.foobar.com.   10  IN  CNAME   evil10.foobar.com.
evil10.foobar.com.  10  IN  CNAME   evil11.foobar.com.
evil11.foobar.com.  10  IN  CNAME   evil12.foobar.com.
evil12.foobar.com.  10  IN  CNAME   evil13.foobar.com.
evil13.foobar.com.  10  IN  CNAME   evil14.foobar.com.
evil14.foobar.com.  10  IN  CNAME   evil15.foobar.com.
evil15.foobar.com.  10  IN  CNAME   evil16.foobar.com.
evil16.foobar.com.  10  IN  CNAME   evil17.foobar.com.
evil17.foobar.com.  10  IN  CNAME   evil18.foobar.com.

;; Query time: 2 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: ...
;; MSG SIZE  rcvd: 388

---

并且根据使用普通解析器进行的测试，如果 CNAME 链在 16 跳后没有以有用的目标结束(例如，如果第 17 跳仍然是 CNAME)，查找将被中断并且域名将被拒绝为非解决。 破除 CNAME 攻击神话。