2012年Herzberg等首提DNS缓存投毒利用IP分片，2013年Hlavacek在RIPE 67演示，2018年Brandt等论文证实毒化多家CA解析器并签发证书。攻击含路径MTU发现与DNS缓存投毒两阶段。离路攻击者可伪造ICMP“分片需求且DF置位”报文，将路径MTU降至576八位字节以下；Linux 3.13及更早版本可降至552八位字节，部分服务器更低至296八位字节。作者编写Perl程序生成伪造ICMP/ICMPv6包测试，Linux 2.6.32实测MTU降至5八位字节。建议避免DNS使用IP分片降低风险。
原文: APNIC Blog（2019-07-12）｜摘要由 AI 辅助整理，事实以原文为准。
来源：APNIC Blog