研究人员通过向全量可路由 IPv4 地址发送 DNS 查询，在权威服务器端捕获回包，量化了“回显解析器”导致的包级放大现象：单次查询触发多个响应，形成除带宽放大之外的新型 DDoS 威胁。实验确认路由环路、中间设备操作、定向广播三大成因，其中定向广播为新发现机制，RFC 2644 要求默认阻断却在实网中仍被启用。
回显行为的三大根因：
路由环路导致数据包在收敛错误的转发路径上循环，同一查询被多次处理并产生重复响应；中间设备在转发或修改报文时，因状态机异常或策略配置错误，将单个查询复制为多份并转发至后端；定向广播则利用边缘路由器未按 RFC 2644 默认阻断的漏洞，将目的为广播地址的查询当作单播转发至目标网段，触发多主机同时应答。实验无法直接确认远端地址是否为广播地址，但通过响应源 IP 分布、TTL 一致性、响应时间聚类等特征，将部分回显归因于定向广播。
测量方法与数据特征：
研究团队控制自有域名，向全量 IPv4 空间发送标准 DNS 查询，在权威服务器记录到达的查询包，同时在扫描端收集返回响应。原文未给出具体扫描轮次、响应总量或放大倍数中位数。观测到的回显响应在源 IP、TTL、到达时间窗口上呈现高度相关性，支持上述三类成因的分类判定。另一独立研究《On Blowback Traffic on the Internet》从多协议视角佐证了该现象的普遍性。
对运维工程师的启示：
边缘路由器需严格落实 RFC 2644，默认阻断定向广播转发；中间设备厂商应修复报文复制、状态机异常等缺陷；监控系统应引入单查询多响应的异常检测指标，及时发现被滥用的开放解析器或配置错误设备，降低包级放大攻击面。
原文: APNIC Blog（2023-11-16）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog