一、DNS放大攻击的基本定义
DNS放大攻击是一种基于反射机制的分布式拒绝服务攻击方式。攻击者把伪造的源IP地址设置为攻击目标的IP，向互联网上大量开放的DNS递归解析器发送小型查询请求。这些解析器收到请求后，会把体积远大于请求的响应数据发送到被伪造的目标地址，形成流量冲击。
这种攻击的效果来自两个方面。一是反射：攻击流量并非直接来自攻击者的机器，而是借助第三方DNS服务器转发，受害方很难追踪到真实攻击源。二是放大：一个约60字节的DNS查询请求，经过解析器处理后，返回的响应数据包可以达到3000字节以上，放大倍数通常在28倍到70倍之间。攻击者用很小的带宽代价，就能对目标制造出大规模的流量压力。
二、攻击的技术实现路径
DNS放大攻击能够实施，依赖DNS协议和互联网基础设施中的几个技术条件。
DNS查询默认使用UDP协议传输。UDP不需要像TCP那样进行三次握手来验证源地址的真实性，攻击者可以轻松伪造数据包的源IP地址，把受害者的IP填入源地址字段。解析器收到查询后，直接把响应发送到数据包中标注的源地址，也就是受害者的地址。
放大效果的产生，来自DNS查询请求和响应之间的体积差异。攻击者通常构造查询类型为“ANY”的DNS请求。ANY查询会要求DNS服务器返回某个域名下所有类型的记录，包括A记录、MX记录、TXT记录、NS记录等，从而获得尽可能大的响应包。除ANY查询外，DNSSEC签名的响应会额外包含数字签名数据，EDNS0扩展允许响应达到4096字节，这些机制也被利用来进一步增大放大倍数。
值得关注的是，DNS放大攻击的形态在持续演进。2024年USENIX Security会议上发表的研究提出了DNSBomb攻击，它利用解析器的查询超时、查询聚合和响应定时机制，把多个解析器变成脉冲式拒绝服务攻击的放大器。这种攻击的平均流量速率不高，常规的流量监测手段不易察觉，但瞬时冲击力很强。同一年发表的研究还揭示了组合放大攻击（CAMP），通过精心构造权威服务器上的DNS记录，使单次客户端请求触发解析器发出远超正常数量的查询。
三、典型攻击案例
DNS放大攻击在历史上多次造成大规模服务中断。
2013年3月，欧洲反垃圾邮件组织Spamhaus遭遇大规DDoS攻击。攻击者发出的DNS请求数据包为36字节，DNS服务器的响应数据包长达3000字节，峰值流量接近300Gbps。Spamhaus在CloudFlare的协助下才逐步缓解了攻击。这一事件让DNS放大攻击进入了公众视野，促使更多运营商开始关注DNS解析的问题。
2025年10月，英国电信服务商ICUK遭遇持续两天的DDoS攻击。攻击者首先冲击其核心网络，随后采用DNS放大技术对控制面板应用发起第二轮攻击，通过伪造源地址放大流量，导致目标系统资源耗尽，VoIP服务和网络服务交付一度中断。
四、防御措施
应对DNS放大攻击需要从网络运营商、DNS运维人员和企业用户三个层面同时着手。
对DNS服务器运维人员来说，关闭不需要的递归查询功能是最直接的措施。只提供权威解析服务的服务器不应响应外部网络的递归请求。如果必须提供递归服务，应当限制可查询的客户端范围。同时，在DNS服务器上启用响应速率限制，控制同一来源或同一查询类型的响应频率。对于ANY类型的查询，可以按照RFC8482的建议返回最小化响应，减少被利用的空间。
对企业用户来说，在边缘路由器上实施源地址验证是阻断IP伪造的关键手段。BCP38要求网络运营商丢弃源IP地址不在其分配范围内的数据包，从源头阻止攻击者伪造源地址。企业还应当在网络边界部署流量监测工具，关注UDP端口53的流量变化。攻击发生时，目标网络会出现大量来自不同DNS服务器的UDP响应包，源IP呈现伪造状态，短时间内流量激增且响应包体积远大于正常水平。在DNS日志中，短时间内QPS（每秒查询数）急速上升、大量TXT大记录或ANY查询集中出现，也是重要的异常信号。
对网络运营商来说，部署Anycast DNS架构可以把DNS服务分散到多个节点，降低单点被攻击的影响。在遭遇大规模放大攻击时，借助云清洗服务或上游ISP的流量清洗能力，把攻击流量引流到清洗中心过滤后再回注正常流量，是恢复服务可用性的有效途径。
五、国科云专家提醒
企业应当定期审计自身DNS基础设施的配置，确认对外提供服务的DNS服务器没有开放不必要的递归功能。在条件允许的情况下，把权威DNS服务和递归DNS服务部署在分离的基础设施上。对于使用云DNS服务的企业，可以在服务商侧开启DNSSEC签名和响应速率限制。
监控方面，建议把DNS查询日志接入SIEM系统，设置针对ANY查询突增、响应包体积异常、单一来源高频查询等行为的告警规则。在应急响应预案中，明确DNS放大攻击的处置流程，包括流量清洗的启动条件、与上游ISP和云服务商的联动机制，以及业务恢复的优先级安排。
推荐阅读：
域名被盗频发！知名服务商TrustName出现大规模安全事故
美金融机构域名被异常转出，政企域名管理如何补齐安全防护短板？
