网站漏洞防护中，DNS重绑定攻击是一种常被忽视却危害巨大的威胁，它能让攻击者绕过同源策略，直接访问你的内网设备和服务。防御的关键在于严格验证DNS解析结果、限制内网访问权限，并部署有效的网络隔离措施。内网探测防御则需要监控异常流量、过滤非法请求，并强化身份认证机制。下面我将详细拆解这两种攻击的原理和具体防护方案。

DNS重绑定攻击的工作原理：攻击者如何绕过浏览器安全限制

DNS重绑定攻击利用浏览器对域名解析的信任机制。通常，浏览器遵循同源策略，禁止脚本访问不同源的资源。但DNS重绑定通过快速切换域名对应的IP地址，欺骗浏览器认为恶意请求来自同一来源。攻击流程分三步：首先，用户访问攻击者控制的恶意网站，该网站域名指向攻击者的服务器IP；其次，网站加载后，攻击者迅速修改DNS记录，将同一域名解析到目标内网IP（如192.168.1.1）；最后，浏览器继续使用原有域名发起请求，但实际访问的是内网设备，从而窃取数据或执行恶意操作。这种攻击尤其危险，因为它不需要用户安装任何软件，仅靠一次访问就可能穿透网络边界。

内网探测的常见手法：从信息收集到权限提升

内网探测是攻击者入侵后横向移动的关键步骤，目的是摸清网络结构、发现脆弱设备。常见手法包括端口扫描、服务识别和漏洞利用。例如，攻击者使用工具扫描内网IP段，寻找开放的22（SSH）、3389（RDP）或80（HTTP）端口，然后尝试弱口令爆破或已知漏洞攻击。更隐蔽的方式是利用DNS或HTTP协议进行隧道传输，绕过防火墙检测。内网探测往往结合DNS重绑定，通过恶意网站脚本间接扫描内网，避免直接暴露攻击源IP。企业内网中，打印机、摄像头或IoT设备常因默认密码未改而成为突破口。

DNS重绑定防御方案：从解析验证到网络隔离

防御DNS重绑定需多层防护。首先，在服务器端验证Host头，确保请求域名与目标IP匹配。例如，在Web应用配置中检查Host字段，拒绝指向内网IP的请求。Nginx示例配置如下：

server {
    listen 80;
    server_name yourdomain.com;
    if ($host != "yourdomain.com") {
        return 403;
    }
    # 限制访问IP范围
    allow 10.0.0.0/8;
    deny all;
}

其次，使用DNS防火墙或安全DNS服务（如部署DNSSEC），过滤异常解析记录。企业可设置内部DNS服务器，禁止将公网域名解析到私有IP段（如192.168.x.x）。此外，浏览器端措施包括启用SameSite Cookie和CSP（内容安全策略），限制脚本加载源。网络层面，通过VLAN或防火墙规则隔离内网设备，禁止从DMZ区域直接访问核心网络，并监控DNS查询频率，阻断高频请求。

内网探测防御策略：监控、过滤与身份强化

防御内网探测需主动监控和严格访问控制。部署IDS/IPS系统，检测端口扫描行为，例如，短时间内同一源IP访问多个不同端口即可触发警报。网络设备应配置ACL，限制内网横向流量，仅允许必要通信。例如，核心服务器只开放特定端口给管理IP。强化身份认证，淘汰默认密码，使用多因素认证（MFA）和证书登录。定期漏洞扫描和补丁管理至关重要，尤其针对路由器、交换机等基础设施。此外，应用层防御包括输入验证和输出编码，防止SSRF（服务器端请求伪造）攻击被用于内网探测。日志集中分析能帮助发现异常，如非工作时间段的登录尝试。

企业级综合防护架构：纵深防御实践

企业需构建纵深防御体系，结合网络、主机和应用层措施。网络层：部署下一代防火墙，启用基于行为的威胁检测，隔离敏感区域；使用私有DNS服务器，禁止解析内网地址到公网。主机层：在所有设备上安装终端安全软件，限制未授权进程访问网络；关闭不必要的服务和端口。应用层：Web服务器配置安全头部，如X-Frame-Options和Content-Security-Policy；API接口实施速率限制和令牌验证。定期进行渗透测试和红蓝对抗演练，模拟DNS重绑定和内网探测场景，评估防御有效性。员工培训也不可或缺，提高对钓鱼网站和恶意链接的警惕性。

新兴威胁与未来防护趋势

随着云计算和IoT普及，DNS重绑定和内网探测出现新变种。例如，攻击者利用云函数动态切换IP，或通过智能设备漏洞跳板到企业网络。未来防护将更依赖AI和自动化，使用机器学习分析DNS流量模式，实时阻断异常解析。零信任网络（Zero Trust）模型逐渐成为标准，默认不信任任何内外网请求，每次访问都需验证身份和上下文。此外，DNS over HTTPS（DoH）的推广可能增加监控难度，企业需在加密和安全性间平衡。长期看，协议层面改进如浏览器强化同源策略，或硬件级安全模块，将提供更根本的解决方案。

总结来说，DNS重绑定与内网探测防御需要技术、管理和流程的结合。立即行动：检查你的DNS配置、审核内网访问策略、更新安全设备规则。漏洞防护不是一次性的，持续监控和迭代才能应对不断演变的威胁。