Enc53: DNSSEC-Anchored Stateless Tickets for Post-Quantum Authoritative DNS
DNSSEC 能对 RRset 做来源认证，但不提供端点身份认证与信道加密。DoT/DoQ 虽可补足，但其设计假设是 stub 到递归解析器这一跳：连接长期存活，可摊薄昂贵的初始握手。而递归到权威这一跳具有高扇入、每个解析器查询频率不均的特
#DNS
共收录 15 条相关情报。
← 返回所有主题Measuring and Mitigating the Risk of IP Reuse on Public Clouds.
该论文针对公共云环境中的一类安全风险——'云蹲守'(Cloud Squatting)进行了系统性测量与缓解研究。云蹲守是指攻击者在云平台上分配资源(如IP地址)后, 利用先前租户遗留的潜在配置(例如DNS记录、服务绑定、信任关系)来劫持或访
Ghost Domain Reloaded: Vulnerable Links in Domain Name Delegation and Revocation.
本研究提出一种名为 PHOENIX DOMAIN 的新型通用攻击方法，能够使已被撤销的恶意域名在大规模范围内持续可解析，从而复活旧有的 Ghost Domain 攻击。该攻击不违反任何 DNS 规范或最佳安全实践，因此影响所有主流 DNS
TuDoor Attack: Systematically Exploring and Exploiting Logic Vulnerabilities in DNS Response Pre-processing with Malformed Packets.
该论文针对 DNS 响应预处理阶段存在的逻辑漏洞进行了系统性研究。作者将 DNS 比作一盘棋局，规则简单但实现极其复杂。他们通过系统分析 DNS RFC 和多种 DNS 软件实现，发现了三类新型逻辑漏洞，并据此提出了名为 TuDoor 的攻
Fourteen Years in the Life: A Root Server's Perspective on DNS Resolver Security.
该论文基于一台DNS根服务器14年（2007-2020年）的查询日志，对DNS解析器的安全实践进行了大规模纵向研究。研究聚焦于解析器在向权威服务器发送查询时是否遵循安全最佳实践，特别是源端口随机化和事务标识符（TXID）随机化，这些是防范D
Poster: Mind the Gap -- Characterizing the Temporal Blind Spot Between GSB and DNS Resolution
该论文研究了Google Safe Browsing (GSB)与DNS解析在浏览器导航过程中的时序同步问题。通过数据包捕获分析，作者发现GSB相关查询关闭事件与并行DNS响应之间存在一致的时间偏移（Δ_time）。在一般数据集和CNAME
POPS: From History to Mitigation of DNS Cache Poisoning Attacks.
这篇论文名为《POPS: From History to Mitigation of DNS Cache Poisoning Attacks》，由Yehuda Afek、Harel Berger和Anat Bremler-Barr撰写。论文
Poster: Patching NSEC3-Encloser: The Good, the Bad, and the Ugly.
该论文评估了针对DNS解析器中NSEC3-encloser攻击的补丁的有效性。NSEC3是DNSSEC中用于认证记录不存在的一种机制，但攻击者可利用其生成大量恶意NSEC3记录，迫使解析器进行昂贵的SHA-1哈希计算，从而耗尽CPU资源，造
DoHFuse: A Dual-Branch Architecture with DMAGLSTM for Website Fingerprinting over DNS over HTTPS/3
该论文聚焦于在物联网环境下，DNS over HTTPS/3（DoH/3）协议对网站指纹攻击的脆弱性研究。随着隐私保护日益重要，DoH和DoT等安全DNS协议被广泛部署，但仍面临网站指纹攻击的威胁。DoH/3作为HTTP/3上的DNS加密协
A Longitudinal Study of Recently Observed Malicious Domains: Characteristics, Infrastructure, and Abuse Patterns
该论文对2026年1月至5月间在VirusTotal（VT）上观察到的约152万个恶意域名进行了纵向研究。研究选取了至少被5个独立VT扫描引擎检测到、且首次出现在研究窗口内的域名。数据集被分为被攻陷域名和攻击者创建域名，后者约占89.3%。
DNSBomb: A New Practical-and-Powerful Pulsing DoS Attack Exploiting DNS Queries-and-Responses.
本文提出了一种名为DNSBomb的新型脉冲式拒绝服务（DoS）攻击。攻击者利用DNS协议中多个固有的良性机制（如超时、查询聚合、响应快速返回）将其转化为恶意攻击向量。具体而言，攻击者以低速率发送大量DNS查询，借助查询聚合和响应放大机制，使
Domijn: The Security of Domain Registrars and the Risk of a Domain Name Takeover
本论文对域名注册商的安全控制措施进行了实证研究，重点关注域名劫持风险。域名是组织在线身份和声誉的核心资产，支撑网站、电子邮件等服务，一旦被恶意劫持，可能造成严重后果。研究选取了面向.nl国家顶级域名的前10大注册商，通过模拟攻击者视角，评估
How Great is the Great Firewall? Measuring China's DNS Censorship.
本研究首次系统性地测量和分析了中国的DNS审查（即“防火长城”中的一部分）。作者开发了一套分布式测量方法，在全球多个位置部署探测点，针对数千个已知被屏蔽的域名以及随机域名进行DNS查询，并收集响应数据。通过分析DNS劫持、伪造的响应以及超时
Continuous User Behavior Monitoring using DNS Cache Timing Attacks.
该论文提出了一种利用 DNS 缓存定时攻击对用户行为进行连续监控的新方法。作者发现，攻击者可以通过测量 DNS 查询在本地 DNS 解析器（如公共 DNS 服务器或企业 DNS 缓存）中命中的时间差，推断出用户近期访问过的域名，从而构建用户
Should I Trust You? Rethinking the Principle of Zone-Based Isolation DNS Bailiwick Checking.
该论文重新审视了DNS安全领域中的区域隔离原则（Zone-Based Isolation），特别是针对Bailiwick检查的信任假设。传统上，DNS解析器依赖Bailiwick检查来防止跨区域数据污染，即确保只有与查询域名处于同一区域的授