1
 0                   1                   2                   3
2
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
3
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
4
|                          Header (12 字节)                     |
5
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
6
|                        Question Section                       |
7
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
8
|                         Answer Section                        |
9
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
10
|                       Authority Section                       |
11
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
12
|                      Additional Section                       |
13
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

1
                                1  1  1  1  1  1
2
  0  1  2  3  4  5  6  7  8  9  0  1  2  3  4  5
3
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
4
|                      ID                         |
5
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
6
|QR|   Opcode  |AA|TC|RD|RA|   Z    |   RCODE    |
7
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
8
|                    QDCOUNT                      |
9
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
10
|                    ANCOUNT                      |
11
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
12
|                    NSCOUNT                      |
13
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
14
|                    ARCOUNT                      |
15
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+

1
                                1  1  1  1  1  1
2
  0  1  2  3  4  5  6  7  8  9  0  1  2  3  4  5
3
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
4
|                                               |
5
/                     NAME                      /
6
/                                               /
7
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
8
|                     TYPE                      |
9
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
10
|                     CLASS                     |
11
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
12
|                      TTL                      |
13
|                                               |
14
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
15
|                   RDLENGTH                    |
16
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--|
17
/                     RDATA                     /
18
/                                               /
19
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+

1
// DNS 名称使用长度前缀编码，而非 null 终止
2
// "www.example.com" 编码如下：
3

4
const dnsName = Buffer.from([
5
  0x03, 0x77, 0x77, 0x77, // \x03www
6
  0x07, 0x65, 0x78, 0x61, // \x07exa
7
  0x6d, 0x70, 0x6c, 0x65, // mple
8
  0x03, 0x63, 0x6f, 0x6d, // \x03com
9
  0x00, // 结束标记
10
]);
11

12
// 消息压缩：后续出现相同域名可用指针
13
// 指针格式: 11 + 14-bit 偏移量
14
// 例如 0xC00C 指向偏移 12 处的名称

1
; A 记录：域名 → IPv4
2
www.example.com.   300  IN  A   93.184.216.34
3

4
; AAAA 记录：域名 → IPv6
5
www.example.com.   300  IN  AAAA   2606:2800:220:1:248:1893:25c8:1946
6

7
; 一个域名可以有多条 A 记录（DNS 负载均衡）
8
www.example.com.   300  IN  A   93.184.216.34
9
www.example.com.   300  IN  A   93.184.216.35

1
; CNAME 不能与其他记录共存
2
; 错误示例：
3
blog.example.com.   300  IN  CNAME   example.github.io
4
blog.example.com.   300  IN  A       1.2.3.4  ; 冲突！
5

6
; 正确：用 CNAME 指向另一个域名
7
blog.example.com.   300  IN  CNAME   example.github.io

1
; MX 记录带优先级（数值越小优先级越高）
2
example.com.     300  IN  MX  10  mail1.example.com.
3
example.com.     300  IN  MX  20  mail2.example.com.
4
example.com.     300  IN  MX  30  mail3.example.com.
5

6
; 发送邮件时优先尝试 mail1
7
; mail1 不可用时尝试 mail2，以此类推

1
; SOA（Start of Authority）记录
2
example.com.  IN  SOA  ns1.example.com. admin.example.com. (
3
    2026032201  ; Serial（序列号，区域传输时递增）
4
    3600        ; Refresh（从服务器检查主服务器的间隔）
5
    900         ; Retry（检查失败后重试间隔）
6
    604800      ; Expire（从服务器数据过期时间）
7
    86400       ; Minimum TTL（否定缓存的 TTL）
8
)

1
// Chrome 浏览器 DNS 缓存
2
// 访问 chrome://net-internals/#dns 查看
3

4
// 浏览器 DNS 缓存特点：
5
// 1. 默认缓存约 1000 条记录
6
// 2. 缓存时间遵循 DNS 记录的 TTL
7
// 3. 浏览器重启后缓存清除
8

9
// 手动清除 Chrome DNS 缓存
10
// chrome://net-internals/#dns → Clear host cache

1
# Linux systemd-resolved
2
resolvectl status            # 查看缓存统计
3
resolvectl flush-caches      # 清除缓存
4
resolvectl query example.com # 手动查询
5

6
# Linux nscd (Name Service Cache Daemon)
7
nscd -g                      # 查看缓存统计
8
nscd -i hosts                # 清除 hosts 缓存
9

10
# macOS
11
dscacheutil -flushcache      # 清除 DNS 缓存
12
sudo killall -HUP mDNSResponder
13

14
# Windows
15
ipconfig /displaydns         # 显示 DNS 缓存
16
ipconfig /flushdns           # 清除 DNS 缓存

1
# /etc/hosts 文件优先级高于 DNS 查询
2
# 格式: IP  主机名
3

4
127.0.0.1       localhost
5
::1             localhost
6
192.168.1.100   myserver.local
7
10.0.0.1        api.internal.example.com
8

9
# 解析顺序由 /etc/nsswitch.conf 控制
10
# hosts: files dns  → 先查 hosts 文件，再查 DNS

1
// TTL（Time To Live）决定缓存存活时间
2
// 单位：秒
3

4
// 短 TTL 的利弊
5
const shortTTL = 60; // 1 分钟
6
// 优点: DNS 变更后快速生效
7
// 缺点: 查询量大，增加延迟
8

9
// 长 TTL 的利弊
10
const longTTL = 86400; // 1 天
11
// 优点: 减少查询量，低延迟
12
// 缺点: DNS 变更后生效慢
13

14
// 实际 TTL 处理
15
function getCachedRecord(record) {
16
  const elapsed = Date.now() - record.cachedAt;
17
  if (elapsed > record.ttl * 1000) {
18
    return null; // 缓存过期，需要重新查询
19
  }
20
  return record.value;
21
}

1
; 当查询的域名不存在时，SOA 的 Minimum TTL 字段
2
; 控制否定缓存的存活时间
3

4
; example.com 的 SOA 记录
5
example.com.  IN  SOA  ns1.example.com. admin.example.com. (
6
    2026032201  ; Serial
7
    3600        ; Refresh
8
    900         ; Retry
9
    604800      ; Expire
10
    86400       ; Minimum TTL（否定缓存 24 小时）
11
)
12

13
; 查询 nonexistent.example.com 返回 NXDOMAIN
14
; 本地 DNS 会缓存这个否定结果 86400 秒
15
; 期间不再为该域名向上游查询

1
# 一个域名对应多个 A 记录
2
$ dig www.example.com
3

4
;; ANSWER SECTION:
5
www.example.com.  300  IN  A  93.184.216.34
6
www.example.com.  300  IN  A  93.184.216.35
7

8
# 第二次查询时顺序可能变化
9
$ dig www.example.com
10

11
;; ANSWER SECTION:
12
www.example.com.  300  IN  A  93.184.216.35
13
www.example.com.  300  IN  A  93.184.216.34

1
DNSSEC 使用两把密钥：
2

3
KSK（Key Signing Key）
4
├── 只用于签名 ZSK
5
├── 较长（2048-bit RSA 或更大）
6
├── 很少轮换（每年 1-2 次）
7
└── 通过 DS 记录建立父子信任链
8

9
ZSK（Zone Signing Key）
10
├── 用于签名区域内所有记录
11
├── 较短（1024-2048-bit RSA）
12
├── 频繁轮换（每月或每季度）
13
└── 由 KSK 签名，不需要父区域参与

1
// DNSSEC 验证 www.example.com 的 A 记录
2

3
// 1. 获取 A 记录及其 RRSIG
4
const aRecord = { name: "www.example.com", type: "A", data: "93.184.216.34" };
5
const rrsig = {
6
  typeCovered: "A",
7
  algorithm: 13, // ECDSA P-256
8
  labels: 3,
9
  originalTTL: 300,
10
  signatureExpiry: 1711159200,
11
  signatureInception: 1711072800,
12
  keyTag: 12345,
13
  signersName: "example.com",
14
  signature: "0xABCDEF...", // 数字签名
15
};
16

17
// 2. 获取 example.com 的 DNSKEY
18
const dnskey = {
19
  flags: 256, // ZSK
20
  protocol: 3,
21
  algorithm: 13,
22
  publicKey: "0x123456...", // 公钥
23
};
24

25
// 3. 验证签名
26
const signedData = buildSignedData(aRecord, rrsig);
27
const isValid = verifyECDSA(dnskey.publicKey, signedData, rrsig.signature);
28

29
if (!isValid) {
30
  throw new Error("DNSSEC 验证失败：记录可能被篡改");
31
}

1
; NSEC 记录按字母顺序排列域名
2
; 证明两个有序域名之间没有其他域名
3

4
example.com.  IN  NSEC  beta.example.com. A NS SOA
5
; 含义: alpha.example.com 之后是 beta.example.com
6
;       之间没有任何域名
7
;       alpha 只存在 A, NS, SOA 类型的记录
8

9
; NSEC3 对域名做哈希，防止遍历
10
; 2S9EHANOJVULAP7KQBVDMOJ0M1P1RQCH.example.com.
11
;   IN NSEC3 1 0 2 ABCD 2T7B4G4VSA5SMI47K61MV5BV1A22BOJR

1
传统 DNS（端口 53）的安全问题：
2

3
1. 明文传输
4
   ┌──────┐     UDP/TCP 明文     ┌──────┐
5
   │ 客户端 │ ────────────────→  │ DNS  │
6
   └──────┘                      └──────┘
7
   攻击者可窃听查询内容和返回结果
8

9
2. 无身份验证
10
   - 任何人都可以伪装 DNS 服务器
11
   - ISP 可以返回篡改的响应
12

13
3. UDP 无序
14
   - 响应可能被伪造
15
   - ID 碰撞攻击（16-bit ID 空间有限）

1
# 使用 curl 测试 DoH
2
curl -s -H "Accept: application/dns-message" \
3
  "https://dns.google/dns-query?dns=AAABAAABAAAAAAAAB2V4YW1wbGUDY29tAAABAAE" \
4
  --output - | hexdump -C
5

6
# 使用 doh-proxy
7
doh-client --domain example.com --type A --server https://dns.google/dns-query

1
DoT (DNS over TLS):
2
  端口: 853
3
  协议: TLS + DNS
4
  用途: 通常用于路由器到 DNS 服务器的加密
5

6
DoH (DNS over HTTPS):
7
  端口: 443
8
  协议: HTTPS + DNS
9
  用途: 通常用于浏览器到 DNS 服务器的加密
10
  优势: 与普通 HTTPS 流量混合，更难被检测和封锁

1
// DNS 缓存污染攻击原理
2
// 攻击者抢在合法响应之前发送伪造的 DNS 响应
3

4
// 攻击条件：
5
// 1. 知道查询的事务 ID（16-bit，暴力猜解）
6
// 2. 知道查询的端口号（固定端口更容易猜）
7
// 3. 在合法响应到达之前发送伪造响应
8

9
// Kaminsky 攻击（2008）
10
// 利用源端口随机化不充分的漏洞
11
function kaminskyAttack(targetDomain) {
12
  // 1. 向目标 DNS 服务器查询随机子域名
13
  const randomSubdomain = Math.random().toString(36).slice(2);
14
  const query = `${randomSubdomain}.${targetDomain}`;
15

16
  // 2. 同时泛洪伪造的响应
17
  for (let id = 0; id < 65536; id++) {
18
    for (let port = 1024; port < 2048; port++) {
19
      sendFakeDNSResponse(id, port, query, "evil-ip");
20
    }
21
  }
22
  // 3. 伪造响应包含额外的权威记录
23
  // 将目标域名的 NS 指向攻击者控制的服务器
24
}

1
DNS 放大攻击（DDoS 的一种）
2

3
攻击原理：
4
1. 攻击者伪造源 IP（受害者 IP）
5
2. 向开放 DNS 解析器发送查询（使用 EDNS0 扩大响应）
6
3. DNS 解析器将大量响应发送到受害者 IP
7

8
放大倍数计算：
9
  查询大小: ~60 字节
10
  响应大小: ~4000 字节（使用 ANY 类型查询）
11
  放大倍数: 4000 / 60 ≈ 66 倍
12

13
防御措施：
14
1. DNS 解析器不对外开发（仅服务可信客户端）
15
2. 源地址验证（BCP 38）
16
3. 限制响应大小
17
4. 禁用 ANY 查询

1
# 基本查询
2
$ dig www.example.com
3

4
; <<>> DiG 9.18.0 <<>> www.example.com
5
;; global options: +cmd
6
;; Got answer:
7
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 54321
8
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1
9

10
;; QUESTION SECTION:
11
;www.example.com.       IN  A
12

13
;; ANSWER SECTION:
14
www.example.com.    300  IN  A  93.184.216.34
15

16
;; Query time: 28 msec
17
;; SERVER: 8.8.8.8#53(8.8.8.8)
18
;; WHEN: Sat Mar 22 08:00:00 UTC 2026
19
;; MSG SIZE  rcvd: 56

1
# +trace 参数显示完整解析链路
2
$ dig +trace www.example.com
3

4
; 根服务器
5
.                       518400  IN  NS  a.root-servers.net.
6
.                       518400  IN  NS  b.root-servers.net.
7
;; Received 1097 bytes from 198.41.0.4#53(a.root-servers.net)
8

9
; .com TLD 服务器
10
com.                    172800  IN  NS  a.gtld-servers.net.
11
com.                    172800  IN  NS  b.gtld-servers.net.
12
;; Received 899 bytes from 192.5.6.30#53(a.gtld-servers.net)
13

14
; 权威服务器
15
example.com.            172800  IN  NS  ns1.example.com.
16
example.com.            172800  IN  NS  ns2.example.com.
17
;; Received 200 bytes from 199.43.135.53#53(ns1.example.com)
18

19
; 最终答案
20
www.example.com.    300  IN  A  93.184.216.34

1
# 查询 MX 记录
2
$ dig example.com MX
3

4
# 查询 AAAA 记录
5
$ dig www.example.com AAAA
6

7
# 查询 TXT 记录
8
$ dig example.com TXT
9

10
# 查询 NS 记录
11
$ dig example.com NS
12

13
# 查询 SOA 记录
14
$ dig example.com SOA
15

16
# 查询 CNAME 记录
17
$ dig www.example.com CNAME
18

19
# 反向查询（IP → 域名）
20
$ dig -x 93.184.216.34

1
# 启用 DNSSEC 验证
2
$ dig +dnssec www.example.com
3

4
;; ANSWER SECTION:
5
www.example.com.    300  IN  A      93.184.216.34
6
www.example.com.    300  IN  RRSIG  A 13 3 300 ...
7

8
;; flags: qr rd ra ad
9
;; 注意 ad 标志（Authenticated Data）= DNSSEC 验证通过
10

11
# 查询 DNSKEY
12
$ dig example.com DNSKEY
13

14
# 查询 DS 记录（建立信任链）
15
$ dig example.com DS

1
# 简单查询
2
$ nslookup www.example.com
3

4
# 指定 DNS 服务器
5
$ nslookup www.example.com 8.8.8.8
6

7
# 交互模式
8
$ nslookup
9
> server 8.8.8.8
10
> set type=MX
11
> example.com
12
> set type=ANY
13
> example.com
14
> exit