该论文首次系统研究了针对CDN上HTTP/3协议的拒绝服务（DoS）攻击。研究背景是：CDN广泛部署HTTP/3以提高性能，但源站可能仍使用HTTP/1.1，这种协议异构性可能被攻击者利用。核心洞察是：当CDN使用HTTP/3接收客户端请求，而源站使用HTTP/1.1回源时，攻击者可以利用两种协议在请求处理、连接管理和流量转发上的差异，将少量针对CDN的HTTP/3流量放大为大量从CDN到源站的HTTP/1.1流量，从而对源站造成带宽或连接数的冲击。作者设计了两类攻击变体：HTTP/3带宽放大（HBA）和HTTP/3连接放大（HCA），分别针对带宽资源与连接数量。为了评估实际影响，他们基于Tranco Top 1M域名列表进行了大规模测量，识别出约42,330个子域可能易受这些攻击影响。研究还展示了负责披露流程，已向相关CDN厂商报告漏洞细节，其中两家厂商已确认漏洞并发放奖励，同时部署了作者提出的缓解措施。该研究填补了HTTP/3在CDN场景下DoS攻击研究的空白，揭示了协议转换带来的新攻击面，并为CDN厂商和源站提供了重要的安全参考。适合CDN安全研究、协议安全分析、DDoS防护方案设计人员以及关注HTTP/3生态的系统管理员阅读。

本文提出了一种名为DNSBomb的新型脉冲式拒绝服务（DoS）攻击。攻击者利用DNS协议中多个固有的良性机制（如超时、查询聚合、响应快速返回）将其转化为恶意攻击向量。具体而言，攻击者以低速率发送大量DNS查询，借助查询聚合和响应放大机制，使得所有DNS响应在短时间内汇聚成一个高强度的周期性脉冲信号，从而同时冲击目标系统。作者在10种主流DNS软件、46个公共DNS服务以及约180万个开放DNS解析器上进行了广泛评估，结果表明所有DNS解析器均可被利用来发起比以往脉冲DoS攻击更实用、更强大的DNSBomb攻击。小规模实验显示，峰值脉冲幅度可达8.7 Gb/s，带宽放大因子超过20,000倍。受控攻击导致了无状态和有状态连接（TCP、UDP、QUIC）的完全丢包或服务降级。此外，作者提出了有效的缓解方案并进行了详细评估。已向所有受影响厂商负责任地披露了发现，其中24家厂商已确认并正在修补其软件（如BIND、Unbound、PowerDNS、Knot），并分配了10个CVE编号。