一、DNS解析的基本过程
DNS（域名系统）承担把域名转换为IP地址的工作。用户输入网址后，设备向递归解析服务器发出查询请求，递归服务器逐级向根服务器、顶级域服务器和权威服务器询问，最终拿到该域名对应的IP地址并返回给用户，同时把结果存入本地缓存以便后续查询使用。
这一过程在设计之初并未考虑安全验证机制。DNS查询通常基于UDP协议传输，服务器无法严格验证响应来源的真实性。攻击者如果能在解析链路的某个环节注入伪造数据，解析结果就可能被引导到错误的IP地址上。
二、解析记录被篡改的技术原理
DNS解析记录被篡改，本质是攻击者在解析过程中插入虚假数据，使用户获得错误的IP地址。按照攻击位置的不同，可以分为三种技术路径。
缓存投毒。递归服务器在收到权威服务器的应答后会把结果存入缓存。攻击者向递归服务器发送大量针对不存在子域名的查询请求，迫使服务器向外发起解析。在权威服务器返回正式应答之前，攻击者抢先发送伪造的应答报文。如果伪造报文中的查询ID和源端口号恰好与递归服务器发出的请求匹配，服务器就会把伪造记录写入缓存。此后所有使用该缓存的用户都会收到错误解析结果。2008年公开的Kaminsky漏洞就是利用这一原理，通过恶意询问不存在的子域名，一次性污染整个下属子域的缓存记录。
中间人篡改。攻击者在通信链路上截获DNS报文，直接修改其中的解析结果后再转发给用户。这种攻击可以作用于解析请求，也可以作用于解析应答。与缓存投毒相比，中间人篡改不需要猜测查询ID，但要求攻击者具备链路控制能力。常见的实现方式包括部署伪造Wi-Fi热点、入侵路由器修改DNS配置等。
BGP路由劫持。边界网关协议负责在不同自治系统之间交换路由信息。攻击者伪造BGP路由宣告，声称自己拥有到达目标DNS服务器IP前缀的更短路径，把发往该DNS服务器的查询流量重定向到自己控制的网络中。流量经过攻击者网络时，DNS应答内容可以被任意修改。
三、常见的攻击入口
路由器DNS配置篡改。攻击者入侵公司或家用路由器后，修改设备的DNS设置，把DNS服务器修改为攻击者控制的服务器地址，把用户的解析请求重定向到非法站点。2026年6月，国家互联网应急中心监测到境内大规模路由器DNS配置恶意篡改事件，单日受影响独立IP最高达到70余万个。
权威服务器或注册商账号入侵。攻击者通过钓鱼、撞库等方式获取域名注册商或DNS解析平台的账号，直接修改域名的NS记录，把解析权指向自己的服务器上。2025年6月，阿里云核心域名aliyuncs.com的NS记录被修改，解析指向了外部服务器，导致对象存储、CDN等多项云服务出现大范围故障。
递归服务器软件漏洞。BIND等解析软件曾多次爆出缓存投毒类高危漏洞，允许远程攻击者向解析器缓存注入伪造DNS记录。这类漏洞利用不需要链路控制能力，攻击者可以远程发起，影响范围较大。
四、企业侧的主要防护措施
部署DNSSEC。DNSSEC通过数字签名验证DNS记录的来源和完整性，使递归服务器能够判断收到的应答是否来自正确的权威服务器、内容是否被修改。DNSSEC在权威端和递归端都需要配置，未部署DNSSEC的域名无法获得这层保护。目前DNSSEC的部署率仍然偏低，多数大型互联网服务尚未启用。
加密DNS传输。DoH（基于HTTPS的DNS）和DoT（基于TLS的DNS）把DNS查询和应答封装在加密通道中传输，攻击者即使截获流量也无法读取或修改内容。对于客户端到递归服务器这一段的通信保护，加密传输是直接有效的手段。
限制递归服务范围。关闭面向公网的开放递归服务，只允许受信任的网络和客户端使用递归查询，减少缓存投毒的攻击面，降低递归服务器被利用的风险。
加强域名管理账号安全。对域名注册商和DNS管理后台的账号启用多因素认证，建议开启域名安全锁定服务，开启后可以有效避免域名被恶意转移和NS篡改的风险。
监控DNS解析异常。对DNS查询日志进行持续监测和分析，关注异常模式，例如TTL值突变、NXDOMAIN或SERVFAIL响应量激增、解析结果与预期不符等情况。
淘汰老旧网络设备。不再获得固件更新的路由器、交换机等设备存在已知漏洞，容易被攻击者利用。企业网络应避免使用消费级路由器作为接入设备，对互联网暴露的管理接口实施访问控制。
DNS解析记录被篡改属于网络基础设施层面的攻击，影响范围和破坏性都远超一般的攻击手段。从域名管理、解析服务配置到网络设备维护，每个环节都需要纳入安全管理的范围，才能有效提升DNS安全防护水平，筑牢网络安全基础防线。
推荐阅读：
