About.Domains

一条查询可以把一个名字下所有类型的记录一次问全，这在早期是省事的用法。后来它成了放大攻击里性价比最高的工具，标准随即允许服务器少答一点。

保护性解析服务是在公共解析器里内置一份恶意域名名单：查到名单上的域名就直接拦下，不把真实地址交出去。设备改一下解析设置就能用，不用装任何软件。

攻击者用伪造的源地址向大量开放解析器发查询，解析器把放大的应答发给被冒充的受害者。一次几十字节的请求能换来上千字节的回应，带宽成倍放大，源头却查不到。

响应策略区让递归解析器在返回结果前先查一份规则表，命中的域名可以被改成"不存在"、指向别处或者直接丢弃。规则表本身也是一份域名数据，靠区文件传送定期更新。

DNSSEC 是域名系统的安全扩展，给域名解析结果加上数字签名，让解析器能验证响应有没有被篡改。域名系统原本默认不验证数据真假，这正是缓存投毒能得手的原因。DNSSEC 从根区逐级建立签名链来补上这一环。

DNS 缓存投毒是攻击者向解析器塞入伪造的域名解析结果，让解析器把错误的地址缓存下来，用户随后被导向错误网站。2008 年安全研究员丹·卡明斯基发现的方法让这类攻击一度极易成功，推动了域名系统安全措施的升级。

域名解析是把域名翻译成 IP 地址的过程。用户输入域名后，解析器逐级向根服务器、顶级域服务器和权威服务器查询，最终拿到 IP 地址返回给浏览器。之前查过的域名会直接命中缓存，跳过完整流程。

登录