Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
中文
Entry № 344

DNS 隧道

DNS 隧道 是什么?

DNS 隧道通过将任意数据编码到 UDP/TCP 53 端口的 DNS 查询与响应中而形成的隐蔽通道,常用于命令控制和数据外泄。

DNS 隧道利用了 DNS 流量(UDP/TCP 53 端口)几乎在所有网络中被允许、且很少被深度检查的特点。恶意软件把载荷字节编码进子域名标签(例如在 attacker.example.com 下用 base32 分片),攻击者的权威 DNS 服务器以 TXT、CNAME 或 NULL 记录返回响应或下发命令。dnscat2、Iodine、Cobalt Strike 的 DNS C2 都使用此类技术。带宽虽小,却十分隐蔽。检测依赖于单主机查询速率异常、标签长度异常、子域熵值偏高、base64/hex 模式、非典型记录类型以及威胁情报源。防御措施包括 DNS 代理、Sinkhole、查询限速、EDR/NDR 的异常分析,以及在出向防火墙阻止使用未知的 DNS 解析器。

● 示例

  1. 01

    受感染主机发出 a1b2c3.exfil.attacker.com 这类查询,其标签编码了被窃取的数据。

  2. 02

    dnscat2 通过 TXT 记录在 DNS 之上建立 shell,从而绕过仅允许 HTTP 的出向代理。

● 常见问题

DNS 隧道 是什么?

通过将任意数据编码到 UDP/TCP 53 端口的 DNS 查询与响应中而形成的隐蔽通道,常用于命令控制和数据外泄。 它属于网络安全的 网络安全 分类。

DNS 隧道 是什么意思?

通过将任意数据编码到 UDP/TCP 53 端口的 DNS 查询与响应中而形成的隐蔽通道,常用于命令控制和数据外泄。

DNS 隧道 是如何工作的?

DNS 隧道利用了 DNS 流量(UDP/TCP 53 端口)几乎在所有网络中被允许、且很少被深度检查的特点。恶意软件把载荷字节编码进子域名标签(例如在 attacker.example.com 下用 base32 分片),攻击者的权威 DNS 服务器以 TXT、CNAME 或 NULL 记录返回响应或下发命令。dnscat2、Iodine、Cobalt Strike 的 DNS C2 都使用此类技术。带宽虽小,却十分隐蔽。检测依赖于单主机查询速率异常、标签长度异常、子域熵值偏高、base64/hex 模式、非典型记录类型以及威胁情报源。防御措施包括 DNS 代理、Sinkhole、查询限速、EDR/NDR 的异常分析,以及在出向防火墙阻止使用未知的 DNS 解析器。

如何防御 DNS 隧道?

针对 DNS 隧道 的防御通常结合技术控制与运营实践,详见上方完整定义。

DNS 隧道 还有哪些其他名称?

常见的别称包括: DNS C2, DNS 数据外泄。

● 相关术语

● 参见