你是怎么找到那个地址的？——基于域名的IPv6扫描器的深入调查

《Proceedings of the ACM on Networking》：How Did You Find That Address? An In-Depth Investigation of Domain-Based IPv6 Scanners

　　IPv6 庞大的地址空间使得扫描工作极具挑战性。IPv6 扫描器必须首先发现正在使用的 IPv6 地址，才能对其实施扫描。一种常见方法是从域名中收集 IPv6 地址：如果某个 DNS 名称解析到 IPv6 地址，则该地址更有可能被真实的主机使用。在本研究中，我们调查了 IPv6 扫描器如何依赖域名进行目标侦察。我们部署了一个大型 IPv6 望远镜，通过在顶级域（TLD）区域文件、证书透明度（CT）日志以及 Tranco 前 100 万域名中放置蜜域名来吸引扫描器。我们提出了一种追踪技术，可以将 IPv6 扫描器发送到望远镜的数据包追溯到它们最初用于发现 IPv6 地址的 DNS 查询，从而更好地评估大规模 IPv6 扫描器如何收集和扫描地址。在为期六个月的研究期间，我们收集了来自 613 个自治系统（AS）中 2.5 万个地址的 940 万个 IPv6 扫描数据包。研究发现，基于域名的 IPv6 扫描器在地址收集策略上存在差异，这也会与其不同的扫描行为相关：那些在收集地址数小时后才开始扫描的扫描器主要发送 ICMP 流量，而那些一次性解析域名并立即扫描地址的扫描器则更集中于 TCP/UDP 流量，其中许多后者并不局限于 IPv6，必要时还会回退到 IPv4。我们发现扫描器通常会组合（尤其是公开的）域名来源以发现更多目标，且不同的域名来源会吸引不同的扫描器。我们还表明，IPv6 Hitlist 在通过域名吸引扫描器方面是一个重要的中介因素，为此我们排除了我们望远镜的地址空间在 Hitlist 中的记录。此外，我们利用细粒度的数据包追踪技术，检测涉及多个 AS 的分布式扫描活动，并在大型云 AS 内部区分不同的扫描器。我们的研究结果表明，互联网上基于域名的 IPv6 扫描呈现出多样化的格局：不同的扫描器采用截然不同的扫描策略，并依赖各自独特的域名来源，这对研究人员应如何研究这些扫描器产生了重大影响。