题目：Weaponizing QNAME Minimization: Infrastructure-Free DNS Amplification via Resolver Orchestration

作者：Jianhao Li，Jialong Zhang，Jiawei Ding，Jianfeng Li，Ziqian Liu，Wei Wang，Zhou Su，Xiaobo Ma

【论文简介】QNAME最小化本是用于保护用户隐私的DNS协议设计，但却可被误用于一种新的DDoS攻击——JanusAttack。攻击者无需控制僵尸网络、DNS权威服务器等“自有”基础设施，仅需免费注册一个域名，并将其免费托管在DNS托管服务商，事先精心配置静态DNS记录之后，通过发送仅仅一个域名查询，便可触发互联网上的DNS解析器形成自传播的攻击拓扑，达到数万甚至数百万倍率放大攻击。JanusAttack不仅直接攻击目标主机，也严重影响DNS托管服务商的正常运营，可谓是攻击者“人穷力不穷”。

JanusAttack取名自罗马双面神Janus，寓意攻击拓扑中每个DNS解析器同时承担“传播”与“攻击”的双重角色。JanusAttack率先定义并利用了DNS生态中两个被忽视的行为。一是开放DNS解析器选择性最小化QNAME，使解析器在用户查询与递归解析阶段产生不同查询名称，充当隐式寻址信号；二是DNS托管服务商存在越权响应漏洞，为解析器产生的不同查询名称返回差异化的预配置记录，实现仅通过静态DNS记录编排攻击拓扑。

【实际影响】论文设计了链式与飓风式两种攻击拓扑变体，并在真实互联网环境下开展了系统性实验评估。全网测量发现超过25,000个可利用的开放解析器、8个存在漏洞的DNS托管服务商及1个存在漏洞的权威DNS软件。实验表明，链式攻击能够实现超过3万倍的包级放大倍率，而飓风式攻击仅用3个开放解析器即在24小时持续实验中达到670万倍放大倍率。团队已向所有受影响厂商披露漏洞，并提出了消除越权响应、统一QM执行策略等缓解方案。