永远不要使用二级域名作为 Linux Hostname

[baobao1270]

最近发现了使用二级域名作为 Linux Hostname 会有坑，甚至还会造成潜在的信息安全问题。因此写了一篇博客，总结如下，全文可以在 https://josephcz.xyz/technology/linux/never-use-2ld-as-hostname/ 阅读

如果我们使用二级域名作为 Hostname

倘若我们将服务器的 Hostname 切换为二级域名，例如 example[.]com 时，会发生什么呢？在这里我们假设一个没有被任何人注册的域名，例如 some-not-registered-domain[.]com；并假设 com[.]com 这一域名被恶意人士注册。

接下来，我们使用 ping 命令，加上需要解析的域名，看看实际访问的域名时哪一个：

是的，在使用二级域名作为 Hostname 的情况下，当 ping 一个尚未注册的域名 some-not-registered-domain[.]com 时，由于 Hostname 和 Search Domain 的配置，会自动 fallback 到 some-not-registered-domain[.]com[.]com 上！遗憾的是，不管是否使用 Search Domain ，这个问题都存在——而将 Hostanme 设置为 FQDN 让这个问题更加隐蔽了。

这个问题不仅影响了 ping 、curl ，也影响了几乎所有使用 glibc 的程序：OpenSSL 、MySQL 、Nginx 、Apache……等等。如果它们的某个功能需要解析域名，则都会有同样的问题。

未被注册的域名值得警惕，但是这一问题如果发生在你自己的域名上呢？

如果我们使用已经被注册的域名作为 Hostname

回到我遇到的问题上来。我刚刚设置了 api-v2023[.]josephcz[.]xyz 这一域名的解析。而 DNS 解析的生效需要时间，在递归 DNS 未获取到生效的记录的情况下，会返回一个空记录。而空记录和 NXDOMAIN 错误一样，会触发 Search Domain 的 fallback 机制。因此，服务器上对 api-v2023[.]josephcz[.]xyz 全部被发送到了 api-v2023[.]josephcz[.]xyz[.]xyz。

使用 tcpdump -i ens3 -nt -s 500 port domain 命令可以清楚地看到这一过程：

IP 10.0.0.12.57943 > 1.1.1.1.53: 27244+ A? api-v2023[.]josephcz[.]xyz. (35)
IP 10.0.0.12.57943 > 1.1.1.1.53: 19043+ AAAA? api-v2023[.]josephcz[.]xyz. (35)
IP 1.1.1.1.53 > 10.0.0.12.57943: 19043 0/1/0 (106)
IP 1.1.1.1.53 > 10.0.0.12.57943: 27244 0/1/0 (106)
IP 10.0.0.12.46092 > 1.1.1.1.53: 51629+ A? api-v2023[.]josephcz[.]xyz[.]xyz. (39)
IP 10.0.0.12.46092 > 1.1.1.1.53: 61104+ AAAA? api-v2023[.]josephcz[.]xyz[.]xyz. (39)
IP 1.1.1.1.53 > 10.0.0.12.46092: 51629 3/0/0 CNAME xyz[.]xyz., A 52.9.36.254, A 54.241.183.58 (85)

好在 XYZ 域名的注册局保留了 XYZ[.]XYZ。但是如果换成解析其他域名，例如 some-api-host[.]aws 或者 pki[.]goog，而相关域名的注册局又忘记保留了 aws、goog 之类的域名呢？

结论

在设置 Linux 的 Hostname 时，永远不要使用一个二级域名——无论是将 Hostname 设置为 FQDN 还是配置 Search Domain 。永远使用一个三级或以上的、受你自己控制的域名作为 Hostname 。

此外，启用强制性的 TLS 并正确部署证书信任也可以在一定程度上缓解这一问题——由于对方无法获得正确的 TLS 证书，即使解析被 fallback 到恶意攻击者的域名上，也难以窃取你的机密信息。

[EvineDeng]

也曾遇到过这个问题，但从未深究，谢谢 op 。

[momocraft]

用 HOSTNAME.local 是不是也没有这个问题

[xxx027]

localhost.localdomain

[mozhizhu]

我喜欢在二级设为区域名称；例如：hostname.(home|abcnet).aaa.com ；
没想到还有这个坑；

[est]

所以 ICANN 就很鸡儿烦。搞那么一大堆 tld ，现在大家都猜不出哪些后缀是安全的了。

[summericy]

谢谢分享，之前还没注意过这个问题

[baobao1270]

@momocraft .local 可以避免这个问题

@mozhizhu 你这个是四级域名了，没问题的，只有二级域名会有问题

[SingeeKing]

没被 ndots 坑过的人生是不完整的 [手动狗头]

[feedcode]

关于这个
> 服务器上对 api-v2023[.]josephcz[.]xyz 全部被发送到了 api-v2023[.]josephcz[.]xyz[.]xyz
大概率是服务器配置的问题, 估计有 options ndots:n (n>2) 或者你的发行版的不是 glibc

glibc 默认 ndots 是 1,
https://linux.die.net/man/5/resolv.conf
Resolver queries having fewer than ndots dots (default is 1) in them will be attempted using each component of the search path in turn until a match is found.

[hyq]

ping some-not-registered.com. <-- 最后有个点
是不是这种方式不会被影响到？

[newaccount]

感谢分享，跟着博客去看了下 RFC 1178 ，确实挺有意思的

[hljjhb]

@SingeeKing hhh 人生经验

[ho121]

# man resolv.conf

search Search list for host-name lookup.
By default, the search list contains one entry, the local domain name. It is de‐
termined from the local hostname returned by gethostname(2); the local domain name
is taken to be everything after the first '.'. Finally, if the hostname does not
contain a '.', the root domain is assumed as the local domain name.

[Keystroke]

ping 命令结果对比图的第 5 行，为什么 Search Domain 是 com ，Ping 域名 web 的时候实际 Ping 域名是 web.example.com ？

[baobao1270]

@feedcode
@SingeeKing

是的，我的 ndots 确实是 1 。但是无论 ndots 是多少，如果 absolute domain 的解析结果是 NXDOMAIN ，都会进行「添加 search name 的查询」

所以这个问题上 ndots 不是主要问题

---


@Keystroke 似乎上我从 Typora 里复制 Markdown 的时候复制错了。稍后会更新图片，但是 CDN 缓存刷新需要时间。

---


@hyq 这种不会影响。但是在配置各种应用（ nginx 、mysql ）的时候很少会记得多加一个点吧。

[ecloud]

什么人会用二级域名当主机名？难以理解这种需求……

[feedcode]

@baobao1270 you are right

[hyq]

@baobao1270 是的，很少会记得加这个点。以前不太理解这个.到底有什么意义，看到你这个问题，就明白了这个点代表的含义

[alect]

我有几十台主机，每个主机就是用的单独的二级域名区分，并没有觉得有问题。

[tril]

这让我想到另一个原理类似的漏洞：
某些硬路由的默认域使用了[.]host ，无法修改。而 cn[.]host 域名被黑产抢注，所有子域名全部跳转到恶意网站。结果就是该路由下访问任意一个不存在的[.]cn 域名（一种常见情况是拼写错误，例如 tsighua[.]edu[.]cn ）会被尝试解析成[.]cn[.]host ，进而被跳转到恶意网站。

[baobao1270]

@alect 我感觉你可能误解了二级域名的含义
root domain: .
top-level domain: .com
second-level domain: example.com
third-level domain: www.example.com

如果你用的是 third-level domain ，那么不会有问题
如果你用的是 second-level domain ，这个坑我提醒过你了，并不是你不觉得有问题就代表问题不存在

[ncepuzs]

offtopic：为什么会用二级域名做服务器的 hostname ？

[alect]

@baobao1270 哦，我误解了，我其实用的是 sub.abc.com 这种

[Andim]

@alect 你这是标准的 FQDN ，不能算二级域名，

[baobao1270]

@Andim 又在这个帖子下看到概念错误的了
FQDN 是相对的
. 是 FQDN
com 是 FQDN
exemple.com 也是 FQDN
www.example.com 还是 FQDN

但是相对于 exemple.com ，www 不是 FQDN ，www.example.com 是 FQDN
也就是说「 FQDN 」是类似「绝对路径」这样一个概念，就好比 Linux 上的根路径 / 也是一个绝对路径。