DNS作為互聯網「電話簿」，其協議設計缺陷與實現漏洞長期被駭客利用。本文從工作原理切入，剖析域名劫持、緩存投毒兩大核心攻擊向量，給出系統化防範框架。

DNS協議工作機制

層級遞歸查詢：Client→本地DNS→權威DNS（根/頂級/二級）。緩存機制：各層DNS緩存查詢結果（TTL生存時間），加速後續響應。此設計為性能妥協安全性，成為投毒溫床。

兩大經典攻擊向量

1. 域名劫持：註冊層面的身份盜竊

駭客通過社工/釣魚/數據庫撞庫獲取域名管理帳號/郵箱控制權，修改NS記錄指向惡意DNS服務器，進而控制所有子域名解析。屬註冊商/註冊局責任域，用戶端無直接防禦手段，唯賴：

• 註冊商鎖定域名轉移/修改鎖
• 啟用DNSSEC簽名驗證鏈
• 監控域名WHOIS/NS記錄變更告警

2. 緩存投毒：協議層面的中毒攻擊

利用DNS緩存服務器漏洞/協議缺陷（如Kaminsky漏洞：交易ID空間小、源端口可預測），注入偽造資源記錄（A/AAAA/CNAME），導致用戶解析至惡意IP。影響範圍廣：單一ISP緩存投毒波及全網段用戶；權威DNS若兼作緩存則災難級擴散。

分層防禦矩陣

層級	防禦措施	核心原理
協議層	部署DNSSEC	數字簽名驗證鏈，確保數據完整性與來源認證
服務器層	權威/緩存分離部署、隨機化源端口、0x20大小寫混淆	減少攻擊面、增加偽造難度
網絡層	防火牆/IDS檢測異常DNS流量（大包/高頻/非標準標誌位）	行為基線偏離檢測
客戶端層	DoH/DOT加密傳輸、本地Hosts綁定關鍵域名	繞過本地劫持、防竊聽篡改

DNS安全本質是「信任鏈」建設：從根區簽名到終端驗證，任何一環缺失均可被利用。企業應納入常態化滲透測試與應急演練體系。