國營聯招
114年
[資訊] 計算機原理、網路概論
第 38 題
下列何者非屬 DNS Open Resolver 弱點的風險？
- A 被濫用為 DDoS 放大器
- B 洩漏內部解析紀錄
- C 導致 HTTPS 中間人攻擊自動成功
- D 被用於偵測內部名稱
思路引導 VIP
當我們在瀏覽器輸入網址時，如果有人惡意竄改了地址簿（DNS），將你引導至一個偽造的網站伺服器，此時除了地址之外，還有哪一個「數位身分驗證機制」會跳出來檢查對方的真偽，防止你的加密資料被竊取？
🤖
AI 詳解
AI 專屬家教
同學選得非常精準！這題考查的是對 DNS Open Resolver 運作機制與網路安全層級的深刻理解。所謂 Open Resolver，是指不對查詢來源進行限制、接受全球任何主機請求的 DNS 遞迴伺服器。正因為其門戶大開，攻擊者常利用 UDP 協議非連線導向的特性，偽造來源 IP 發動 DDoS 放大攻擊；或透過特定查詢行為，像探針一樣非法偵測內網名稱與解析紀錄，造成資訊外洩。
加密通訊與解析機制的邊界
之所以說選項 (C) 不是其風險，是因為 HTTPS 的安全性核心建立在傳輸層的 TLS/SSL 憑證機制之上。即便攻擊者透過 DNS 弱點將流量導向偽造的伺服器，只要該伺服器無法提供由受信任機構（CA）簽署的正確憑證，使用者的瀏覽器就會立即發出警告並攔截連線，攻擊並不會「自動成功」。
▼ 還有更多解析內容
💬 其他同學也在問
1
選項B和D提到的風險具體是指什麼樣的情況
DNS 開放解析器風險
💡 Open Resolver 因對外開放遞迴查詢，常遭濫用或洩漏資訊。
🔗 DNS 反射式放大攻擊原理
- 1 偽造來源 IP — 攻擊者將請求封包的來源 IP 偽造成受害者 IP。
- 2 發送小查詢 — 向 Open Resolver 發送查詢需求（如 ANY 紀錄）。
- 3 流量放大回傳 — 解析器將巨大的回應封包傳送給受害者主機。
↓
↓
🔄 延伸學習：延伸學習：可透過限制遞迴查詢對象或採用 RRL 技術來防禦此類攻擊。
