污染
DNS cache poisoning
📌 概念释义与技术定位 (Definition & Overview)
DNS 缓存污染是指攻击者向 DNS 服务器注入恶意响应，导致合法域名解析错误指向伪造 IP 地址的安全事件，是云计算与容器网络中关键的基础设施攻击向量。
DNS 缓存污染（DNS Cache Poisoning），又称 DNS 缓存投毒，是一种利用 DNS 协议设计缺陷（如缺乏加密验证）进行的网络攻击。攻击者通过向 DNS 服务器发送伪造的响应数据包，欺骗服务器将特定域名错误地关联到攻击者控制的 IP 地址，并将该错误记录写入服务器缓存。一旦缓存生效，所有后续对该域名的查询都将返回恶意地址，从而绕过防火墙、重定向用户至钓鱼网站或实施中间人攻击。该攻击在云原生架构中尤为危险，因其可针对 Kubernetes 集群内部服务、负载均衡器及容器网络插件（如 Calico、Flannel）造成服务中断或数据泄露。
在现代云计算与容器网络架构中，DNS 缓存污染已从传统的互联网威胁演变为针对微服务内部通信的关键攻击面。随着容器化部署的普及，服务间依赖动态 DNS 解析，攻击者利用此漏洞可轻易切断服务间通信、劫持内部 API 流量或窃取敏感数据。其核心价值在于能够以极低的成本破坏高可用架构的连通性，迫使企业必须从被动防御转向主动的零信任架构设计。尽管 DNSSEC 等加密技术提供了理论防护，但在云环境的高动态性与多租户共享资源特性下，配置不当的 DNS 服务器仍面临严峻挑战，成为保障容器网络隔离性与服务连续性的核心防线。
⚙️ 核心架构与工作机制 (Technical Mechanism)
DNS 缓存污染的底层机制依赖于 DNS 查询与响应的非对称性。当客户端请求域名解析时，DNS 服务器若缓存未命中，会向根域名服务器递归查询直至获取权威记录。攻击者利用这一过程，向 DNS 服务器发送一个伪造的响应包，该包包含正确的查询 ID 但篡改了 IP 地址。由于传统 DNS 协议（如 UDP）缺乏加密签名验证，服务器若未收到来自上游的“否定缓存”（NXDOMAIN）响应，便会信任攻击者的伪造数据并将其写入本地缓存（TTL 时间内）。在容器网络中，攻击者常利用 Docker 或 Kubernetes 的默认 DNS 配置，通过注入恶意响应使 Pod 间通信指向非授权节点，进而利用容器逃逸或横向移动。关键组件包括 DNS 服务器软件（如 CoreDNS、Bind）、容器编排器的服务发现机制以及网络插件的流量转发逻辑，其协作失效是攻击成功的根本原因。
📖 权威专著深度引证与原文精粹 (Expert Book Insights)
1 本专著引用《网站创富 从搭建 管理到营利 (图灵原创)》
月光博客
“域名污染又称DNS污染（DNS cache poisoning），域名劫持又称DNS劫持（DNS hijacking），这两个是最常见的人为造成的域名解析故障。”
🚀 典型应用场景 (Industrial Applications)
容器内部服务间通信劫持
云环境下的钓鱼网站重定向
拒绝服务攻击（DoS）导致服务不可用
内部网络中间人攻击（MITM）
⚖️ 技术优势与工程权衡 (Trade-offs & Pros/Cons)
🟢 核心优势与技术特性
- + 无需物理接触目标网络即可实施攻击
- + 利用现有 DNS 协议漏洞，防御成本相对较低
- + 可造成大规模分布式服务同时失效
🔴 工程考量与潜在挑战
- - 现代加密 DNS（DNSSEC）部署复杂且易配置错误
- - 云环境多租户共享资源增加了攻击面
- - 动态容器网络导致缓存更新频繁，难以持久化防御
❓ 常见问题速查 (FAQ)
为什么在现代软件架构中需要重视 污染？
在何种场景下应当优先选用 污染？
🔗 推荐协同基座模型与开源工具链
学术引证与可靠性指数
引用专著数
全库出现频次
本词条定义与原理解析直接溯源自行业权威专著与最新同行评审成果，保障工程决策严谨性。
