郵件拒收與DNS劫持

1、郵件拒收與DNS劫持最近接到了一些反饋說(shuō)，在使用我們的RBL時(shí)，會(huì)拒絕所有入站信件。據(jù)我們判斷，應(yīng)該是查詢者使用了具有DNS劫持的DNS服務(wù)器所導(dǎo)致。首先，我們先簡(jiǎn)單說(shuō)一下RBL的原理。目前用于垃圾郵件過(guò)濾的RBL服務(wù)，應(yīng)該稱之為基于DNS的實(shí)時(shí)黑名單查詢，也就是說(shuō)，這個(gè)服務(wù)是通過(guò)DNS協(xié)議來(lái)完成的。具體而言，當(dāng)一個(gè)客戶端希望查詢某個(gè)IP地址(如4)是否在某個(gè)RBL(如cbl.anti-)中 是，其實(shí)際上是查詢?nèi)缦碌刂肥欠翊嬖诮馕觯?1.cbl.anti-. (IP地址逆轉(zhuǎn)附加在RBL地址后)。DNS的解析分為幾種類型，對(duì)于RBL查詢，通常是查詢這個(gè)地址

2、是否存在A記錄、TXT記錄或者任意(ANY)記 錄。如果該地址被列入了這個(gè)RBL，那么查詢會(huì)返回一個(gè)具體的解析結(jié)果，根據(jù)RBL和查詢的不同，可以返回一段文本，也可以返回一個(gè)或幾個(gè)IP地 址，也可以同時(shí)返回文本和IP。返回的文本通常是一個(gè)說(shuō)明，用來(lái)說(shuō)明這個(gè)IP地址被列入了哪個(gè)RBL，具體信息去哪里查詢等。返回的IP地址并不具有實(shí)際 意義，只是標(biāo)識(shí)該查詢有結(jié)果，通常這個(gè)IP地址是一個(gè)保留IP段的地址，如、等。如果該地址沒(méi)有被列入這個(gè)RBL，那么該查詢會(huì)返回一個(gè)查詢錯(cuò)誤(NXDOMAIN)，表示該地址未列入。DNS劫持就發(fā)生在這里，具體情況我們下面再詳細(xì)解釋。舉例

3、說(shuō)明這個(gè)查詢過(guò)程：當(dāng)查詢的IP地址不在RBL中時(shí)，返回狀態(tài)為MXDOMAIN。# dig 1.cbl.anti-.; <<>> DiG 9.3.3rc2 <<>> 1.cbl.anti-.; global options:  printcmd; Got answer:; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 58553; flags: qr rd ra; QUERY: 1, ANSW

4、ER: 0, AUTHORITY: 1, ADDITIONAL: 0; QUESTION SECTION:;1.cbl.anti-. IN   A; AUTHORITY SECTION:cbl.anti-.   3600    IN      SOA     cbl.anti-. wxy.anti-. 2008061006 14400 3600 14400 3600; Query time: 8

5、msec; SERVER: #53(); WHEN: Tue Jun 10 09:28:55 2008; MSG SIZE  rcvd: 90 當(dāng)查詢的IP地址在RBL中時(shí)，返回狀態(tài)為NOERRO，并給出具體的結(jié)果：(這里使用RBL的測(cè)試地址，通常RBL都會(huì)提供一個(gè)特定地址，用于測(cè)試RBL是否工作)。# dig 27.cbl.anti-.           <&l

6、t;>> DiG 9.3.3rc2 <<>> 27.cbl.anti-.; global options:  printcmd; Got answer:; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 5032; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 6, ADDITIONAL: 0; QUESTION SECTION:;27.cbl.anti-. 

7、0;      IN      A; ANSWER SECTION:27.cbl.anti-. 10800 IN A      ; AUTHORITY SECTION:cbl.anti-.   10800   IN      NS      ns1.anti

8、-.cbl.anti-.   10800   IN      NS      ns3.anti-.cbl.anti-.   10800   IN      NS      ns4.anti-.cbl.anti-.   10800   IN   

9、60;  NS      ns5.anti-.cbl.anti-.   10800   IN      NS      ns7.anti-.cbl.anti-.   10800   IN      NS      ns8.anti-.; Query time:

10、 3 msec; SERVER: #53(); WHEN: Tue Jun 10 09:31:01 2008; MSG SIZE  rcvd: 172 查詢TXT記錄的結(jié)果如下(通常收到由于RBL列入而退回的信件中的退信消息就是來(lái)自這里的)：# dig 27.cbl.anti-. TXT; <<>> DiG 9.3.3rc2 <<>> 27.cbl.anti-. TXT; global options:  printcmd; Got

11、answer:; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 21173; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 6, ADDITIONAL: 0; QUESTION SECTION:;27.cbl.anti-.        IN      TXT; ANSWER SECTION:

12、27.cbl.anti-. 10800 IN TXT    "Mail from refused, see http:/anti-; AUTHORITY SECTION:cbl.anti-.   10675   IN      NS      ns5.anti-.cbl.anti-.   10675   IN  

13、60;   NS      ns7.anti-.cbl.anti-.   10675   IN      NS      ns8.anti-.cbl.anti-.   10675   IN      NS      ns1.anti-.cbl.ant

14、i-.   10675   IN      NS      ns3.anti-.cbl.anti-.   10675   IN      NS      ns4.anti-.; Query time: 37 msec; SERVER: #53(); WHEN: Tue Jun 10

15、09:33:06 2008; MSG SIZE  rcvd: 255在明白了RBL查詢的原理后，我們來(lái)看一下RBL劫持的發(fā)生原因。由于國(guó)內(nèi)很多用戶在使用電信企業(yè)的線路連接互聯(lián)網(wǎng)時(shí)，都會(huì)使用接入的ISP所提供的DNS，有的是明確設(shè)置使用的，有的是通過(guò)PPPoE或 DHCP分配使用的。最近一些年來(lái)，電信企業(yè)為了引導(dǎo)用戶訪問(wèn)其增值站點(diǎn)或合作站點(diǎn)，通過(guò)會(huì)對(duì)其DNS做一些修改，在接收到一個(gè)不存在結(jié)果的DNS查詢 時(shí)，總是返回一些特定的IP地址，使用戶訪問(wèn)到這些增值站點(diǎn)。比如你在使用ADSL上網(wǎng)時(shí)，如果隨便在瀏覽器的地址欄中任意敲入一個(gè)無(wú)效的域名，通常都會(huì) 給你重定向到電信企業(yè)自己的門戶站點(diǎn)。一

16、般而言，這種行為對(duì)于用戶沒(méi)有多大的損害，最多只是扭曲了用戶意志，強(qiáng)制其訪問(wèn)另外一個(gè)站點(diǎn)而已。但是，對(duì)于使用RBL來(lái)防范垃圾郵件的用 戶，這種DNS劫持就會(huì)帶來(lái)較大的麻煩。在這種情況下，所有的DNS查詢都會(huì)返回一個(gè)有效的結(jié)果，換言之，無(wú)論任何發(fā)來(lái)郵件的IP地址，都會(huì)被認(rèn)為列入到 了RBL中，用戶將接收不到任何外部郵件。那么如何應(yīng)對(duì)這種情況呢?有兩種辦法：一是使用一個(gè)可信的，沒(méi)有被DNS劫持的DNS服務(wù)器。國(guó)內(nèi)電信企業(yè)的DNS被劫持的情形比較多，尤其是做接入的ISP的DNS服務(wù)器，很多都 存在劫持問(wèn)題?？梢钥紤]使用國(guó)外的公開(kāi)DNS、或者一些未劫持的DNS服務(wù)器。但是要注意的是，不能使用不支持公開(kāi)解

17、析請(qǐng)求的DNS，即那種只解析特定域 名的DNS服務(wù)器是不能用來(lái)解析其他域名的;類似的，根域服務(wù)器(*.ROOT-SERVERS.NET)也是不提供這種公開(kāi)解析請(qǐng)求的功能的。可以通過(guò) nslookup或dig以及其它工具來(lái)測(cè)試一個(gè)DNS服務(wù)器是否可以提供公開(kāi)解析功能，以及是否被劫持。查詢一個(gè)DNS服務(wù)器是否提供公開(kāi)查詢可以做如下測(cè)試：# dig . A.ROOT-SERVERS.NET.; <<>> DiG 9.3.3rc2 <<>> . A.ROOT-SERVERS.NET.; (2 servers found); globa

18、l options:  printcmd; Got answer:; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 63123; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 13, ADDITIONAL: 14; QUESTION SECTION:;.                &

19、#160;     IN      A; AUTHORITY SECTION:com.                    172800  IN      NS      H.GTLD-SERVER

20、S.NET.com.                    172800  IN      NS      I.GTLD-SERVERS.NET.com.            &

21、#160;       172800  IN      NS      J.GTLD-SERVERS.NET.com.                    172800  IN    &#

22、160; NS      K.GTLD-SERVERS.NET.com.                    172800  IN      NS      L.GTLD-SERVERS.NET.com.   

23、0;                172800  IN      NS      M.GTLD-SERVERS.NET.com.                 

24、60;  172800  IN      NS      A.GTLD-SERVERS.NET.com.                    172800  IN      NS    &

25、#160; B.GTLD-SERVERS.NET.com.                    172800  IN      NS      C.GTLD-SERVERS.NET.com.         

26、           172800  IN      NS      D.GTLD-SERVERS.NET.com.                    172800  IN &

27、#160;    NS      E.GTLD-SERVERS.NET.com.                    172800  IN      NS      F.GTLD-SERVERS.NET.com.

28、60;                   172800  IN      NS      G.GTLD-SERVERS.NET.; ADDITIONAL SECTION:A.GTLD-SERVERS.NET.     172800  IN 

29、;     A       0A.GTLD-SERVERS.NET.     172800  IN      AAAA    2001:503:a83e:2:30B.GTLD-SERVERS.NET.     172800  IN      A

30、0;      0B.GTLD-SERVERS.NET.     172800  IN      AAAA    2001:503:231d:2:30C.GTLD-SERVERS.NET.     172800  IN      A     

31、60; 0D.GTLD-SERVERS.NET.     172800  IN      A       0E.GTLD-SERVERS.NET.     172800  IN      A       0F.GT

32、LD-SERVERS.NET.     172800  IN      A       0G.GTLD-SERVERS.NET.     172800  IN      A       0H.GTLD-SERVERS.NET. 

33、;    172800  IN      A       0I.GTLD-SERVERS.NET.     172800  IN      A       0J.GTLD-SERVERS.NET.    

34、; 172800  IN      A       0K.GTLD-SERVERS.NET.     172800  IN      A       0L.GTLD-SERVERS.NET.     172800  IN&#

35、160;     A       0; Query time: 267 msec; SERVER: #53(); WHEN: Tue Jun 10 09:58:33 2008; MSG SIZE  rcvd: 498在上面這個(gè)測(cè)試中，我們使用根域服務(wù)器來(lái)查詢 這個(gè)域名，返回的結(jié)果是NOERROR，但是沒(méi)有ANSWER區(qū)來(lái)給出具體的IP地址。這表明該服務(wù)器(A.ROOT-SERVERS.NET.)不支持公開(kāi)查詢。# 

36、;dig . 15    <<>> DiG 9.3.3rc2 <<>> . 15; (1 server found); global options:  printcmd; Got answer:; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 47283; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 3,

37、ADDITIONAL: 3; QUESTION SECTION:;.                      IN      A; ANSWER SECTION:.             

38、;  1978    IN      A       91; AUTHORITY SECTION:.               1976    IN      NS   &

39、#160;  .               1976    IN      NS      .               1976    IN&#

40、160;     NS      .; ADDITIONAL SECTION:.        84804   IN      A       66.        84804   I

41、N      A       54.        84804   IN      A       5; Query time: 2 msec; SERVER: 15#53(15); WHE

42、N: Tue Jun 10 11:19:13 2008; MSG SIZE  rcvd: 155在上面這個(gè)測(cè)試中，我們使用了一個(gè)公開(kāi)的DNS服務(wù)器來(lái)查詢 這個(gè)域名，返回了正確的解析結(jié)果。說(shuō)明該服務(wù)器支持公開(kāi)查詢。當(dāng)使用該服務(wù)器查詢一個(gè)不存在的域名時(shí)，如查詢 ：# dig . 15; <<>> DiG 9.3.3rc2 <<>> . 15; (1 server found); global options:  printcmd; Got answer:; -

43、>>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 48272; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0; QUESTION SECTION:;.                 IN      A;

44、0;AUTHORITY SECTION:com.                    900     IN      SOA     a.gtld-. nstld.verisign-. 1213068006 1800 900 604800 900; Query time: 697 msec; SERVER: 15#53(15); WHEN: Tue Jun 10 11:19:22 2008; MSG SIZE  rcvd: 104這里返回了NXDOMAIN結(jié)果，表明該服務(wù)器沒(méi)有被DNS劫持。而當(dāng)我們使用了一個(gè)被劫持的DNS(在筆者測(cè)試期間還存在