过期域名抢注查询_【论文分享】关于去中心化域名系统 ENS 的测量分析（互联网域名系统安全学术前沿系列）

本次分享的论文是对去中心化域名系统即以太坊名称服务（ENS）的大规模测量研究，文章第一作者来自北京邮电大学，论文系统分析了以太坊名称服务部署的生态和潜在的安全风险，论文被顶级国际网络测量会议ACM（IMC）2022接收。

全文约3200字，阅读大约需要9分钟。

01

【背景】

域名系统（DNS）为互联网上层应用提供网络资源的寻址和定位，是互联网关键网络基础设施之一。如图1所示，传统域名系统通过“分级”查询实现域名解析。例如在 的查询中，根域名服务器给出负责.cn查询的顶级域名服务器的地址，cn顶级域名服务给出二级域名服务器的地址，以此类推进行分级解析。

图1：传统域名系统解析流程

传统的域名系统在消息交互过程中缺少对响应内容的认证和消息完整性校验，从而存在很多漏洞和安全风险，例如缓存污染攻击[1]。针对以上问题，安全社区提出了多种解决方案，例如DNS over HTTPS（DoH）、DNS over TLS（DoT）[2-5]，但域名系统依然无法满足Zooko三角评估模型[6]，即：1）域名标识符可读；2）域名解析是安全的，域名即使受到攻击也应该能够正确解析；3）域名基础设施是去中心化的，域名解析不需要中心机构。

近年来，随着区块链技术的兴起，一些基于区块链的去中心化域名系统相继被提出，以太坊域名服务（ENS）就是其中非常有代表性的一个。基于密码学原理，区块中的每一笔交易都经过系统中大多数参与者的确认才能生效。其中，智能合约是支撑以太坊域名服务的关键技术。智能合约是指运行在以太坊区块链上的计算机程序，其中包含一组功能代码和状态数据。

图2：以太坊域名服务解析流程

以太坊域名服务由三个智能合约控制，用户可以调用这些合约提供的接口来注册和管理域名，具体包括：

1）注册中心是存储以太坊域名及其信息的智能合约（ ）。注册中心首先为每个以太坊域名生成一个固定长度的哈希值进行存储。注册中心除了存储以太坊域名外，还存储域名拥有者、对应的解析服务器以及该域名解析记录的缓存生存期（time-to-live，TTL）；

2）注册商是分配以太坊域名的智能合约（ ）。注册商会根据一些规则（比如付费）自动将 .eth 顶级域名下的子域名分配给用户，例如 foo.eth。此外，用户申请的域名还可以在以太坊域名服务中证明该域名的所有权，并设置一条包含其以太坊地址的 TXT 记录 [7]；

3）解析服务器是一个智能合约，记录域名到解析记录的映射（）。解析器可以存储图3所示的任何解析记录类型。

图3：官方公布的八种域名解析记录类型

特别需要注意的是，以太坊域名服务的目的并不是为了取代传统的互联网域名系统，而只是专注于将以太坊域名解析为区块链上的资源，比如区块链地址或者去中心化的网站。

如图2所示，以太坊域名服务的解析流程主要包括以下两个步骤：1）发起解析查询请求的用户需要向注册中心（）进行查询，以找到正确的解析服务器（）；2）然后，用户从解析服务器获取域名解析结果。

作者针对这一新兴的去中心化域名系统以太坊名称服务（ENS）提出了几个研究问题，包括：

1、以太坊域名服务目前收录了多少个域名？

2、用户使用以太坊域名服务的主要目的是什么？

3、以太坊域名服务是否会带来新的安全风险？

02

【数据采集】

针对上述研究问题，作者基于数据驱动安全的思想设计了大规模测量实验，系统、全面地分析了以太坊域名服务生态系统及其安全风险。

如图4所示，本文的数据收集流程主要包括三个步骤，下面我们将详细介绍。

图4：数据收集流程总体图

步骤 1：收集与以太坊域名服务相关的智能合约。本文使用以太坊搜索工具（[8]）来检索相关的智能合约。具体来说，该工具根据智能合约的名称检索与注册中心、注册商和解析服务器相关的智能合约。

步骤2：提取收集到的智能合约的状态变化。对于收集到的智能合约，本文使用以太坊客户端Geth[9]获取每个智能合约的事件日志。事件日志包括事件名称及其相关参数，并在满足预定条件时发出。通过事件日志，作者可以获得每个智能合约的状态变化。

步骤3：数据处理。如前所述，以太坊域名服务智能合约中存储的内容都是哈希值。因此，论文采用了三种技术来恢复这些哈希值，包括：1）基于官方公开数据，即Dune数据平台[10]进行恢复；2）根据常用英文单词和Alexa前10万个域名[11]手动生成一批哈希值，并在采集的数据中进行匹配；3）提取包含新注册域名的明文。除了事件日志中的信息外，论文还需要从“域名-所有者”映射中获取未哈希化的以太坊域名，并根据其编码规则恢复以太坊钱包地址和内容哈希，从对应交易中获取文本记录的值。

通过以上三个步骤，论文共收集了超过 270 万份注册中心日志、440 万份注册商日志以及 63.5 万份解析器日志。从收集到的日志中，论文恢复了 514,567 个以太坊域名（其中 .eth 域名 447,116 个，占所有 .eth 域名的 90.1%）。

03

【测量结果】

本文基于所收集的数据，对上述三个研究问题进行了系统的分析。

结论一：以太坊域名服务整体注册规模呈现持续上升趋势

如图 5 所示，自 2017 年 3 月提出以太坊域名服务以来，除了两次因系统故障导致服务下线外，以太坊域名注册量一直呈现持续增长趋势。论文发现，以太坊域名注册量超过 61 万个，其中在研究期间有 34.1 万个以太坊域名处于活跃状态。同时，一些用户为稀有的以太坊域名支付高额注册费，或试图获得尽可能多的以太坊域名。

图5：以太坊域名注册行为时间分布

结论2：以太坊域名服务用途多样

通过分析以太坊域名相关的记录类型和信息，论文发现以太坊域名可以解析为多种记录，其中最常见的是与区块链地址相关联。使用域名解析到其他去中心化的 URL 和文本也很常见。以太坊域名的多样化用途表明以太坊域名服务可能成为区块链基础设施的重要组成部分。

结论三：以太坊域名服务仍存在多重安全风险

论文发现以太坊域名服务不仅容易受到传统域名系统的安全问题，还发现了一种新的记录持久性攻击。以下是对论文中发现的四个安全问题的详细描述：

1）域名抢注（ ）。论文发现，在 Alexa 上排名前 10 万的域名中，可以找到 18984 个域名属于以太坊域名的二级域名。为了确认这种情况是否属于域名抢注现象，论文结合了传统域名解析记录及其 WHOIS 记录。如果同一个以太坊地址同时控制和注册了来自不同注册人的多个传统域名，作者认为此类以太坊域名属于抢注。论文最终识别出 2005 个以太坊地址控制的 .eth 顶级域名下有 15117 个抢注域名。

2）存在恶意行为的域名。借助[11]平台的搜索功能，作者发现了29个存在恶意行为的去中心化网站和1个钓鱼域名。

3）欺诈性区块链地址。作者从公开渠道收集了一批被标记为恶意的区块链地址列表，并与论文中收集的以太坊域名解析地址进行交叉匹配，最终发现了13个欺诈性区块链地址。这些地址主要用于勒索软件等欺诈活动。

4）持久记录攻击。除了以上三种攻击方式，论文还发现了一种针对以太坊域名的新攻击形式，即持久记录攻击。如图6所示，过期的以太坊域名解析记录仍然会保留，因此一些支持以太坊域名服务的钱包仍然可以解析这些过期的域名。由于以太坊域名的解析结果通常是区块链地址，这种过期的解析记录可能会导致欺诈或严重的财务损失。论文共发现22716个过期的.eth以太坊域名仍然有解析记录。

图 6：持久记录攻击示例

04

【综上所述】

本论文首次对以太坊域名服务进行了系统全面的测量研究。通过收集和分析数百万个以太坊域名服务的日志，论文发现以太坊域名的使用越来越普遍，其用途也非常多样。以上现象都表明以太坊域名服务正在成为区块链基础设施的重要组成部分。然而，论文也发现以太坊域名服务仍然存在许多安全风险，包括域名抢注、欺诈性域名以及持久记录攻击等。

原文链接

数据集开源链接

参考

[1] 邹福泰、张思宇、裴蓓、潘莉、李和李。on name。2016 年 IEEE First on Data in (DSC)，第 602-607 页。IEEE，2016 年。

[2] Chung, van-Deij, 、David、Dave Levin、Bruce M Maggs、Alan 和。 端到端视图。 第 26（17），第 1307–1322 页，2017 年。

[3] Chung, van-Deij, David, Dave Levin, Bruce M Maggs, Alan 和. 政治经济学在金融中的作用. In the 2017 年, 第 369–383 页, 2017 年。

[4] Kevin、Tithi、Nick、Mihir、、和 Paul。https 上的 DNS 是什么？，以及。（2019 年 7 月 27 日），2019 年。

[5] Timm Böttger、Felix、Eder Leão、Tyson 和 Steve Uhlig。《dns-over-https 成本研究》。2019 年。

[6] ：，，人名。2021。

[7] 将 DNS 名称转换为 ens 的分步指南。2021 年。

[8]. 2020年.

[9] 去吧，2020年。

[10] 沙丘。2020年。

[11]. 2020年.

编辑和校对 | 刘宝军、张益明