该论文首次系统研究了针对CDN上HTTP/3协议的拒绝服务（DoS）攻击。研究背景是：CDN广泛部署HTTP/3以提高性能，但源站可能仍使用HTTP/1.1，这种协议异构性可能被攻击者利用。核心洞察是：当CDN使用HTTP/3接收客户端请求，而源站使用HTTP/1.1回源时，攻击者可以利用两种协议在请求处理、连接管理和流量转发上的差异，将少量针对CDN的HTTP/3流量放大为大量从CDN到源站的HTTP/1.1流量，从而对源站造成带宽或连接数的冲击。作者设计了两类攻击变体：HTTP/3带宽放大（HBA）和HTTP/3连接放大（HCA），分别针对带宽资源与连接数量。为了评估实际影响，他们基于Tranco Top 1M域名列表进行了大规模测量，识别出约42,330个子域可能易受这些攻击影响。研究还展示了负责披露流程，已向相关CDN厂商报告漏洞细节，其中两家厂商已确认漏洞并发放奖励，同时部署了作者提出的缓解措施。该研究填补了HTTP/3在CDN场景下DoS攻击研究的空白，揭示了协议转换带来的新攻击面，并为CDN厂商和源站提供了重要的安全参考。适合CDN安全研究、协议安全分析、DDoS防护方案设计人员以及关注HTTP/3生态的系统管理员阅读。

本文提出了一种名为DNSBomb的新型脉冲式拒绝服务（DoS）攻击。攻击者利用DNS协议中多个固有的良性机制（如超时、查询聚合、响应快速返回）将其转化为恶意攻击向量。具体而言，攻击者以低速率发送大量DNS查询，借助查询聚合和响应放大机制，使得所有DNS响应在短时间内汇聚成一个高强度的周期性脉冲信号，从而同时冲击目标系统。作者在10种主流DNS软件、46个公共DNS服务以及约180万个开放DNS解析器上进行了广泛评估，结果表明所有DNS解析器均可被利用来发起比以往脉冲DoS攻击更实用、更强大的DNSBomb攻击。小规模实验显示，峰值脉冲幅度可达8.7 Gb/s，带宽放大因子超过20,000倍。受控攻击导致了无状态和有状态连接（TCP、UDP、QUIC）的完全丢包或服务降级。此外，作者提出了有效的缓解方案并进行了详细评估。已向所有受影响厂商负责任地披露了发现，其中24家厂商已确认并正在修补其软件（如BIND、Unbound、PowerDNS、Knot），并分配了10个CVE编号。

本文针对放大型分布式拒绝服务（DDoS）攻击的协同检测与缓解问题展开研究。放大型DDoS攻击（如利用NTP、DNS、Memcached等协议的反射放大攻击）近年来流量和危害均达到历史新高。为了防御此类攻击，互联网中已部署了多个分布式攻击缓解平台，例如运行在互联网交换点（IXP）的流量清洗中心。这些平台采用先进技术检测攻击并在本地丢弃攻击流量，充当攻击的传感器。然而，目前尚未系统评估不同平台的视图协调能否带来更有效的缓解效果。本文的核心研究问题是：当分布式攻击缓解平台进行协作时，是否能够缓解更多的放大攻击并丢弃更多的攻击流量？作者通过实验和数据分析，系统性地评估了协作机制对检测率和缓解效率的影响。主要贡献包括：提出了多平台协作的框架，利用共享的攻击视图（如攻击源IP、目标端口、协议类型等）增强检测精度；基于真实网络流量数据集，对比了独立检测与协作检测的性能差异；实验结果表明，协作能够显著提高攻击检测率（例如减少漏报）并降低误报，同时通过联合过滤减少对正常流量的影响。本文的发现对于IXP运营者、云服务提供商以及大型网络运营商具有重要参考价值，为构建更鲁棒的DDoS防御体系提供了理论依据和实用指导。