该论文评估了针对DNS解析器中NSEC3-encloser攻击的补丁的有效性。NSEC3是DNSSEC中用于认证记录不存在的一种机制，但攻击者可利用其生成大量恶意NSEC3记录，迫使解析器进行昂贵的SHA-1哈希计算，从而耗尽CPU资源，造成拒绝服务。尽管近年来发布了多个补丁，但研究表明主流DNS解析器仍存在脆弱性。作者对Unbound、BIND9、PowerDNS和Knot Resolver的补丁前后版本进行了测试，发现攻击可使CPU指令增加72倍。其中PowerDNS 5.0.5和Knot Resolver 5.7.3通过严格的哈希数量限制显著降低了资源消耗，而BIND9改进甚微，Unbound 1.20.0的CPU负载反而增加。在150个恶意NSEC3记录/秒的攻击速率下，良性DNS请求的丢失率在2.7%至30%之间。研究指出当前补丁不足以完全防御该攻击，需要更鲁棒的应对措施。该工作对DNS安全运营有直接参考价值。