NXNSAttack 是一种针对所有递归 DNS 解析器的协议漏洞，利用委派机制强制解析器向攻击者指定的权威服务器发起大量查询，形成流量放大。
攻击原理
DNS 采用层级委派，上级权威服务器在无胶水记录时仅返回下级 NS 名称。攻击者构造包含大量随机子域名 NS 记录的委派响应，解析器为解析这些不存在的名称，不得不向受害权威服务器发起递归查询，从而被引导攻击目标。原文未给出具体查询数量或放大倍数。
影响与放大效应
由于每个伪造委派可触发多次递归查询，单次攻击请求即可产生成倍的响应流量，导致权威服务器或上游链路过载。文章指出放大因子“很大”，但原文未给出具体数值。所有品牌的递归解析器均受影响。
防护建议
立即将自建递归解析器升级至厂商发布的最新版本，修补委派处理逻辑；若无法立即升级，可临时限制对未知 NS 的递归深度或启用响应速率限制。同时建议向厂商申请安全补丁的提前通知机制。原文未给出具体补丁版本号。
运维人员应优先完成解析器补丁部署，并监控异常递归查询量，以防止 NXNSAttack 造成的放大攻击影响业务可用性。
原文: APNIC Blog（2020-05-21）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog