奇安信 防止使用gethost判断域名示例

在使用gethostbyname函数获取域名对应的IP地址时，可能会被恶意攻击者利用DNS欺骗技术返回虚假的IP地址，导致程序连接到了恶意服务器，从而造成安全问题。为了防止这种情况，可以在使用gethostbyname函数前先进行一个安全判断，如下所示：

#include <stdio.h>
#include <netdb.h>
#include <arpa/inet.h>

int main(int argc, char *argv[]) {
    struct hostent *he;
    struct in_addr **addr_list;
    int i;

    if (argc != 2) {
        fprintf(stderr, "usage: %s hostname\n", argv[0]);
        return 1;
    }

    if ((he = gethostbyname(argv[1])) == NULL) {
        herror("gethostbyname");
        return 2;
    }

    // 安全判断：判断返回的IP地址是否与域名匹配
    addr_list = (struct in_addr **)he->h_addr_list;
    for (i = 0; addr_list[i] != NULL; i++) {
        if (strcmp(inet_ntoa(*addr_list[i]), argv[1]) == 0) {
            printf("IP address: %s\n", inet_ntoa(*addr_list[i]));
            break;
        }
    }

    if (addr_list[i] == NULL) {
        fprintf(stderr, "no IP address for hostname %s\n", argv[1]);
        return 3;
    }

    return 0;
}

在上面的示例中，我们先使用gethostbyname函数获取域名对应的IP地址，然后进行安全判断：遍历返回的IP地址列表，如果有任意一个IP地址与域名相同，则判断为安全；否则，判断为不安全。这样可以有效地防止被恶意攻击者利用DNS欺骗技术。