什么是DNS悬空记录？
DNS悬空记录是指DNS记录指向的资源已经被释放或删除，但该DNS记录本身却未被从DNS服务器中移除。DNS记录本质上是一个指针，其数据字段指向承载名称字段资源的计算机。当相关资源被释放后，如果未及时清理对应的DNS记录，就会导致该记录悬空。
DNS悬空记录的成因
DNS悬空记录的产生通常源于域名所有者或管理员的疏忽。在实际操作中，当某个服务不再需要，域名所有者会释放相关资源，如IP地址或域名，但往往忘记删除与之关联的DNS记录。例如，一个组织在云平台上创建了一个资源，并为其分配了一个DNS记录，当该资源被删除后，如果未同步删除DNS记录，就会产生悬空记录。
DNS悬空记录的危害
DNS悬空记录可能带来严重的安全威胁，其中最典型的是子域接管攻击。攻击者可以利用悬空的DNS记录，将其指向的资源重新分配到自己控制的服务器上，从而接管该域名或子域名。例如，如果一个CNAME记录指向了一个已被删除的云资源，攻击者可以注册一个同名的资源，使该CNAME记录指向攻击者的服务器。
失去对子域内容的控制：攻击者可以托管恶意网站或服务，导致组织失去对子域内容的控制，进而影响品牌形象和用户信任。
获取用户Cookie信息：攻击者可以利用劫持的子域生成看似可信的页面，诱使用户访问并获取其Cookie信息，包括安全Cookie。
网络钓鱼活动：攻击者可以利用看似真实的子域进行网络钓鱼活动，甚至通过恶意的MX记录接收定向到合法子域的电子邮件。
其他攻击风险：恶意网站还可能被用于升级为其他经典攻击，如XSS、CSRF和CORS绕过等。
防范DNS悬空记录的措施
为了防范DNS悬空记录带来的安全威胁，可以采取以下措施：
定期清理DNS记录：组织应定期检查DNS记录，确保所有记录指向的资源都是有效的。对于不再使用的资源，应及时删除对应的DNS记录。
使用自动化工具：利用自动化工具可以帮助检测和清理悬空的DNS记录。例如，PowerShell脚本可以用来识别并删除易受攻击的CNAME记录。
采用安全的DNS记录类型：在某些情况下，可以使用DNS ALIAS记录代替CNAME记录，因为ALIAS记录可以自动更新，避免了悬空记录的问题。
加强安全意识培训：提高管理员和相关人员对DNS悬空记录风险的认识，确保他们在资源释放时能够同步更新DNS记录。
推荐阅读：
