查询与加固对照
查询与加固对照
dig CH TXT version.bind @192.168.1.1
dig CH TXT hostname.bind @192.168.1.1
# 期望（加固后）：返回 REFUSED 或 NOTIMP
# BIND 中禁用： version none; (named.conf options)对公网 DNS 暴露版本号会帮助攻击者匹配漏洞；企业内部核查时应把它列入基线项，但不要滥用扫描。
dig CH TXT：查询 DNS 服务器自身版本信息
通过 CHAOS 类查询 version.bind 可读出递归服务器软件版本（若未禁用）：信息收集与加固核查的常用手法，也被视为信息泄露面。
易错点
- 不同软件（BIND/Unbound/dnsmasq）对 CHAOS 查询处理不同，返回空不代表未响应
- 扫描他人 DNS 服务器属边界行为，合规环境需授权
数据来源与参考
- BIND 9：version 选项文档
- DNS 服务器信息泄露加固实践