DNS 协议因 RFC 分散且复杂，导致权威服务器实现难以兼顾高性能与规范合规。UCLA 与微软联合开发的 Ferret 工具，基于 SCALE 方法自动生成区域文件与查询对，在 Bind、Knot、NSD、PowerDNS 等主流实现中共发现 30 个唯一漏洞，其中 Bind 存在可远程触发崩溃的高危漏洞 CVE-2021-25215。
现有测试方法的局限
传统模糊测试虽可扩展，但难以满足 DNS 区域文件的复杂语法与语义约束，仅能生成查询包从而发现解析错误；符号执行虽能处理输入条件，却面临路径爆炸与复杂数据结构难题，仅能覆盖极少程序路径。两者均无法同时生成关联的区域文件与查询，导致核心解析逻辑难以被触达。
SCALE 方法的核心机制
SCALE 引入 DNS RFC 的逻辑模型，指导符号搜索覆盖多样协议行为。其关键在于联合生成区域文件与对应查询，使测试用例能穿透输入校验直达核心逻辑，且适用于黑盒实现。原文未给出具体数据关于模型构建细节或搜索空间大小。
实际发现与影响
Ferret 在所有测试实现中共识别出 30 个唯一漏洞，Bind、Knot、NSD、PowerDNS 各至少 2 个。最严重的是 Bind 的 CVE-2021-25215，攻击者可远程触发解析器与权威服务器崩溃。其余漏洞类型原文未给出具体数据，但均属 RFC 合规性偏差。
对运维与网络工程师而言，Ferret 证明自动化逻辑执行可大规模暴露协议实现缺陷，建议在版本升级或新部署前引入此类工具进行合规性回归，降低生产环境遭遇类似 CVE-2021-25215 远程拒绝服务的风险。
原文: APNIC Blog（2022-06-24）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog