云服务商快速分配释放 IP 地址，配合 IPv4 枯竭导致地址块频繁交易，若域名区仍保留指向已释放 IP 的 DNS 记录，攻击者可通过重新获取同一 IP 实施 IP-use-after-free 攻击，窃取 Cookie 或注入恶意代码。
攻击机制：从测试实例到证书劫持
以 test.example.com 为例，运维人员在云厂商创建测试 VM 并获得 IP 198.51.100.23，添加 A 记录 test 3600 IN A 198.51.100.23。测试完成后关闭 VM 释放 IP，但 DNS 记录未删除。当攻击者在同一云厂商申请实例并获得相同 IP，即可通过域名验证型证书颁发机构为 test.example.com 申请合法 TLS 证书。若生产环境 Cookie 策略包含 *.example.com 实现单点登录，攻击者诱导用户访问该子域即可窃取 Cookie；若主站引用该子域的 JavaScript 资源，攻击者更可直接在访客浏览器执行任意代码。
实测规模：Farsight 数据揭示暴露面
研究者利用 Farsight 数据集提取活跃查询的域名列表，原文未给出具体数据，但指出云环境提供了可准确测量的下界。重点在于云厂商 IP 池的快速周转率与 DNS 记录清理滞后之间的时间窗口，使得大量已释放 IP 仍被活跃域名指向。原文未给出具体测量数值、时间窗口长度或受影响域名占比。
根因与防范：记录生命周期脱节
核心问题是基础设施变更（释放 IP）与 DNS 记录生命周期管理脱节。云资源的秒级分配释放与传统 DNS TTL（示例中 3600 秒）及人工清理流程存在数量级差距。防范需建立资源释放与 DNS 记录删除的自动化联动，或在证书申请、Cookie 作用域、资源引用策略上采用最小权限原则，将单个僵尸记录的爆炸半径限制在最小范围。
对运维与网络工程师而言，每个指向云厂商 IP 的 DNS 记录都是潜在攻击面。必须将 IP 释放与记录清理纳入自动化流程，同时收紧通配符证书、Cookie 域与跨域资源引用策略，将单点失误的影响限制在最小范围。
原文: APNIC Blog（2019-01-09）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog