本文为 APNIC 客座文章，承接上一篇探讨利用 DNS 状态码辅助子域名枚举，重点分析 DNSSEC 启用后的枚举手法与防御。以实验区域 lab.test 为例，展示启用 DNSSEC 后新增的 RRSIG、DNSKEY 与 NSEC 记录；NSEC 按名称顺序链接所有节点，攻击者可通过递归查询 NSEC 实现区域遍历，枚举出 data、help、marketing、shop、transfer、verify、www 等全部子域名。对策方面，NSEC3 采用哈希名称打破顺序关联，配合 opt-out 可大幅降低枚举风险。原文未给出具体数据。
原文: APNIC Blog（2023-01-17）｜摘要由 AI 辅助整理，事实以原文为准。
来源：APNIC Blog