DNS沉洞

DNS沉洞（英語：DNS sinkhole），又名沉洞服务器、网络沉洞或者黑洞DNS，^[1]是一种DNS服务器，它被設定成會對特定域名给出错误的结果。

運作情形

攻击者部署DNS沉洞，主机查詢時得到錯誤的結果，于是请求重定向到潛在的惡意攻擊目標。DNS沉洞也可能被用於非惡意目的，例如防止用戶連線到已知的惡意網站或是阻擋廣告。

网络级禁止

沉洞服务器被配置为对于沉洞列表内域名分发不可路由地址，所有使用此服务器作为DNS的主机将会无法访问真实的网站。^[2]沉洞服务器所在的层级越高，被阻挡的主机就会越多。使用跨越整个互联网的TLD沉洞技术可以使得一些大型的僵尸网络无法使用。^[3]DNS沉洞技术在检测并阻挡有害流量、自动程序以及不需要的流量方面十分有用。

主机级禁止

存储于Windows、Unix和Linux等平台上的hosts文件可优先于DNS服务器进行解析，此技术同样可用于限制访问网站。

应用

• 牵制WannaCry病毒的蔓延。^[4]
• 將使用者導向攻擊目標，製造DoS攻击。
• 防止僵尸网络，具体为限制僵尸网络用于协调的DNS域名。
• 以基于hosts的方法屏蔽广告服务器。^[5][6]

参考资料

1. kevross33, pfsense.org. BlackholeDNS: Anyone tried it with pfsense?. November 22, 2011 [October 12, 2012]. 
2. Kelly Jackson Higgins, sans.org. DNS Sinkhole - SANS Institute. October 2, 2012 [October 12, 2012]. （原始内容于2013-05-08）. 
3. Kelly Jackson Higgins, darkreading.com. Microsoft Hands Off Nitol Botnet Sinkhole Operation To Chinese CERT. October 2, 2012 [September 2, 2015]. （原始内容于2017-12-01）. 
4. WannaDecrypt0r NSA-Cyberweapon-Powered Ransomware Worm. gist.github.com. [2017-05-21]. （原始内容于2017-05-18）. 
5. Dan Pollock, someonewhocares.org. How to make the Internet not suck (as much). October 11, 2012 [October 12, 2012]. （原始内容于2017-05-27）. 
6. DNS filtering | AdGuard DNS Knowledge Base. adguard-dns.io. [2023-10-19] （中文（臺灣））.