劫污清洗DNS协议：域名解析过程中的攻击面

DNS（域名系统）是应用层里另一个绕不开的协议。它默认使用UDP 53端口，负责把域名解析成IP地址。DNS协议的威胁场景在渗透测试中经常出现：
第一，DNS区域传送漏洞。如果DNS服务器配置不当，允许任何人发起AXFR请求，就能获取某个域名的全部DNS记录，如子域名、主机记录、MX邮件服务器等，相当于直接把整个内网拓扑的“地图”拿到了手。检测命令一般是dig @目标DNS服务器 目标域名 axfr，如果返回了大量记录，说明存在此漏洞。
第二，DNS缓存投毒。攻击者伪造DNS应答，使缓存服务器记录下“假”的域名解析结果。用户请求某个网站时，被引导到攻击者的服务器上——这在公网场景很难实现，但在内网测试中，如果攻击者能拦截DNS请求或伪造应答包，成功率会高很多。