缓存中毒
DNS cache poisoning
📌 概念释义与技术定位 (Definition & Overview)
DNS 缓存中毒是一种利用 DNS 服务器缓存机制篡改域名解析结果的恶意攻击，旨在将用户流量劫持至攻击者控制的恶意服务器。
DNS 缓存中毒（DNS Cache Poisoning）是指攻击者向 DNS 服务器发送伪造的响应数据包，利用缓存机制覆盖合法记录，从而将域名错误解析到攻击者控制的 IP 地址。该攻击利用 DNS 协议中缺乏强身份验证机制的缺陷，通过欺骗缓存节点，使后续所有对该域名的查询均被重定向，是网络空间中最隐蔽且危害极大的中间人攻击形式之一。
在现代云计算与容器网络架构中，DNS 缓存中毒是威胁容器编排平台（如 Kubernetes）内部通信安全的关键风险点。随着容器化应用的普及，服务间依赖动态 DNS 解析，缓存中毒攻击面显著扩大。其核心价值在于揭示了传统 DNS 架构在动态环境下的脆弱性，促使行业从静态 DNS 向基于 DNS-over-HTTPS (DoH) 和 DNS-over-TLS (DoT) 的加密解析架构转型，并推动了如 EDNS0 扩展、DNSSEC 等防御机制的落地，成为构建零信任网络架构中必须防御的基础设施威胁。
⚙️ 核心架构与工作机制 (Technical Mechanism)
其底层机制依赖于 DNS 协议中缓存（Cache）与重定向（Redirection）的交互。攻击者首先向 DNS 服务器发送伪造的响应包，该包包含错误的 IP 地址记录。由于 DNS 服务器缺乏对响应源身份的严格验证，且为了提升查询效率，服务器会将此伪造记录存入本地缓存（TTL 时间内）。一旦正常客户端发起对该域名的查询，DNS 服务器直接返回缓存中的错误记录，无需再次验证。在容器网络中，攻击者常利用容器间共享的 DNS 解析服务或宿主机上的 DNS 缓存，通过发送精心构造的 UDP 或 TCP 数据包，诱导容器编排系统（如 K8s CoreDNS）将内部服务域名解析至恶意节点，进而窃取数据或执行拒绝服务攻击。
📖 权威专著深度引证与原文精粹 (Expert Book Insights)
1 本专著引用《API安全实战》
尼尔·马登
“TLS中内置的基于证书的身份验证可以防止诸如DNS缓存中毒（DNS cache poisoning）或ARP欺骗（ARP spoofing）之类的欺骗攻击，这些欺骗攻击主要是低级别协议中缺乏身份验证所导致的。”
🚀 典型应用场景 (Industrial Applications)
容器编排平台内部服务通信劫持
企业内网 DNS 服务器被攻陷后的横向移动
恶意软件通过 DNS 重定向实现持久化驻留
DDoS 攻击中利用缓存放大效应发起流量洪泛
⚖️ 技术优势与工程权衡 (Trade-offs & Pros/Cons)
🟢 核心优势与技术特性
- + 利用现有 DNS 缓存机制，无需物理接触目标服务器即可实施攻击
- + 攻击隐蔽性强，在缓存有效期内难以通过常规日志审计发现
- + 一旦成功，可长期维持对特定域名的控制，无需持续攻击
🔴 工程考量与潜在挑战
- - 现代加密 DNS 协议（DoH/DoT）已大幅降低其成功率
- - 防御成本高昂，需部署 DNSSEC 及全链路加密基础设施
- - 在微服务架构中，动态 DNS 解析的复杂性增加了配置错误的风险
❓ 常见问题速查 (FAQ)
为什么在现代软件架构中需要重视 缓存中毒？
在何种场景下应当优先选用 缓存中毒？
🔗 推荐协同基座模型与开源工具链
学术引证与可靠性指数
引用专著数
全库出现频次
本词条定义与原理解析直接溯源自行业权威专著与最新同行评审成果，保障工程决策严谨性。
