DNS 重绑定、缓存投毒、云元数据端点，以及安全的查询工具必须拒绝返回的 IP 地址段。
几乎每个 DNS 区域都会遇到的记录
了解 DNS 证书颁发机构授权（CAA）记录如何指定被允许的证书签发机构，以及发布限制之前该如何规划，避免常见的 CAA 配置错误。
一次递归 DNS 查询，逐跳详解
浏览器
想访问 example.com
解析器
运营商 / 1.1.1.1
根 + TLD
谁负责 .com？
权威服务器
真正的答案
这条链路上的每一跳本身都是一次 DNS 查询，之后都会被缓存
了解 DNSSEC 签名、DS 与 DNSKEY 记录的作用，验证流程如何运作，以及配置失误为何会导致 SERVFAIL 响应。
每个 IPv4 地址段都有对应的 IPv6 地址段
从安全角度看，IPv6 并不只是“地址更多的 IPv4”，它的几处差异确实改变了威胁模型，值得认真对待。
用伪造应答赢得竞速
攻击者
与真实响应抢先
伪造的应答
率先到达
解析器缓存
共用该缓存的所有人都被投毒
伪造 DNS 响应来重定向流量，是网络领域最古老的手法之一，也是 DNSSEC 与现代解析器防御机制存在的原因。了解其原理与应对方式。
公网与私有地址空间
公网 IP
192.0.2.10
全球唯一，可从任何地方路由
私有地址段
无法在公共互联网上路由
10.0.0.0/8、192.168.0.0/16 及其相邻地址段的存在，正是为了让它们永远不是全球唯一的，本文说明这对 DNS 为什么重要。
SSRF 会让服务器沦为不知情的代理
攻击者
构造请求 URL
存在漏洞的服务器
被 SSRF 诱骗而发起请求
169.254.169.254
元数据端点
凭据
返回给攻击者
一个看似不可路由的 IP 地址，就能让云实例读取凭证和配置信息，因此它也是 SSRF 攻击中最常见的目标之一。本文解释其原理与防御思路。
同一个地址，四种写法
服务端请求伪造往往只始于一个域名：您的服务器被诱骗去解析并请求它。本文说明 DNS 在其中扮演的角色以及真正有效的防御。
同一个域名，两个不同的答案
首次请求
解析为公网 IP
校验
通过，看起来安全
TTL 过期
数秒之后
第二次请求
解析为 127.0.0.1
一个域名先解析到安全的公网地址，随后又解析到内部地址：DNS 重绑定让 DNS 本身成为攻击面。了解它的原理，以及唯一可靠的防御方法。