DNS 缓存投毒

DNS 缓存投毒以递归解析器为目标,诱使其接受并缓存恶意响应。经典技术包括猜测或嗅探事务 ID、利用可预测的源端口(卡米斯基攻击),以及在权威响应到达前以竞速方式注入伪造响应。记录被缓存后,所有使用该解析器的下游用户在 TTL 期间都会被重定向至攻击者基础设施,从而实施大规模钓鱼、投递恶意软件或 TLS 中间人攻击。缓解措施包括 DNSSEC、源端口随机化、0x20 大小写随机化、查询名最小化以及更短的 TTL。