背景：

因项目中安全扫描，发现漏洞：目标主机DNS服务允许递归查询;需要修补。

DNS递归和迭代查询回顾：


如图中所示一般client与DNS_server之间术语递归查询，DNS之间常用迭代查询，本地发送DNS（递归）查询请求到本地DNS（本地权威DNS），DNS收到请求后，代表或转发client的DNS（迭代）查询到其他DNS服务器，本地DNS在获取到权威DNS服务器或ip与域名的对应解析关系时，返回给客户端查询结果。
递归查询：负责查询请求的服务器—总要返回一个结果------>client；如本地DNS服务器有—前向服务器，且它是前向服务器的从属主机，则该DNS服务器实际就正如另一台客户端一样（是前向服务器的client，等待前向服务器返回查询结果，其自身不执行递归查询）等待前向返回结果。如果本地DNS非前向服务器的从属，则本地dns服务器在向前向服务器查询未果时，会自动发起迭代查询。
迭代查询：多表本地服务器向根服务器查询结果，

分析处理：

DNS 服务器可以代表进行申请的客户端来查询其他的 DNS 服务器以完全解析名称，然后将应答发回客户端。攻击者可以使用递归来拒绝 DNS 服务器服务。因此，如果网络中的 DNS 服务器不准备接收递归查询，则应在该服务器上禁用递归。

该漏洞风险意味着任何人都可以使用你的域名服务器在互联网上做DNS查询。

在授权服务器上允许递归查找是一种安全风险。 您可以通过添加来禁用递归：
named.conf文件中的“options {”部分，添加allow-recursion {localnets; };
修改后如下:

allow-query     { any; };
allow-transfer  { none; };
allow-recursion { localhost; };
recursion yes;   ### 允许本地递归，但阻止远程递归。

或者仅允许指定主机可以递归查询：

options { 
allow-recursion { 192.168.200.0/24; localhost; }; 
}; 

Windows：
在 DNS 服务器上禁用递归的步骤：
1.打开 DNS 管理器。
2.在控制台树中，右键单击适用的 DNS 服务器，然后单击“属性”。
3.单击“高级”选项卡。
4.在“服务器选项”中，选中“禁用递归”复选框，然后单击“确定”。

使用命令行禁用DNS服务器上的递归：
cmd：dnscmd /Config /NoRecursion {1|0} ##1是禁用；指定DNS服务器的DNS主机名或ip地址，NoRecursion禁用递归。0为启用递归，默认为0，即启用。