DNS服务器遭受攻击，要先看懂它的基础工作流程。打开网站时，浏览器会向DNS询问域名对应的IP地址。DNS服务器检索本地记录，或是向上级服务器查询，拿到结果再返回浏览器。整套过程通常只有几百毫秒，用户感知不到，但这短短的时间内存在多处可以被攻击者利用的薄弱环节。
最普遍的攻击方式就是流量淹没。DNS依靠UDP协议处理查询，UDP不像TCP需要预先握手建立连接。攻击者操控大量机器，同时向DNS服务器发送查询请求，每条请求都伪造虚假源IP。服务器收到请求后正常查询，再把响应包发送到伪造IP地址。无辜的目标主机没有发起任何查询，却持续接收大量DNS响应数据包，带宽直接被占满。这种攻击叫DNS放大攻击，查询数据包体积很小，响应包却可以做得很大，放大倍数最高可达几十甚至上百倍。攻击者只用很低的成本，就能堵死目标网络出口。
放大攻击能够实现，依托互联网大量开放递归解析器。这类服务器不会限制来访对象，任何IP发来的查询请求都会帮忙递归解析。攻击者控制肉鸡，向开放解析器发送伪造源IP的查询，查询会返回大容量TXT记录的域名。解析器拿到权威服务器返回的大体积响应，再依照伪造源IP，把数据包转发给受害者。整个过程攻击者自身几乎不消耗带宽，借用第三方服务器充当流量放大器。
还有一类攻击不是打瘫服务器，而是篡改解析结果。递归解析器会缓存查询结果，减少重复查询开销。攻击者瞄准这个缓存机制，向递归解析器批量发送伪造响应包，抢在真实权威响应抵达前，让解析器接纳虚假记录。比如查询一个不存在的子域名，伪造权威服务器返回记录，声明这个子域名指向攻击者IP。解析器一旦收下假记录并存入缓存，后续所有用户查询该域名，都会拿到虚假IP，也就是缓存投毒，也叫DNS欺骗。用户以为访问银行官网，实际进入攻击者搭建的站点。
缓存投毒成败的关键在于抢占时间窗口。攻击者必须在真实响应到达前，把伪造响应写入解析器缓存。早期DNS协议缺少身份校验机制，解析器无法分辨响应来自权威服务器还是攻击者。后续推出DNSSEC，依靠数字签名校验响应真实性，但部署普及率一直偏低，大量域名没有配置签名，缓存投毒依旧存在可操作空间。
比缓存投毒更直接的手段是DNS劫持。这类攻击不改动递归解析器，直接在传输链路拦截请求。比如攻击者篡改路由器配置，把路由器DNS地址替换成自己搭建的服务器。用户所有DNS请求都会转发到攻击者服务器，对方可以随意返回解析结果。ISP层面也会做劫持，将不存在的域名解析到广告页面。公共WiFi环境劫持更常见，攻击者部署虚假DNS服务，用户连上WiFi之后，所有域名都解析到钓鱼网站。这种劫持不需要高深技术，修改配置就能生效。
还有一种攻击目的不是欺骗访问，而是窃取数据，依靠DNS隧道传输信息。防火墙一般放行DNS流量，一旦阻断DNS访问，网络就无法正常使用。攻击者把要窃取的数据编码嵌入子域名，拆分文件内容拼进子域名字段，向自己搭建的权威DNS发起查询。服务器收到请求，从子域名提取数据，再在响应包内附带指令。数据就这样依靠DNS查询和响应悄悄向外传输。这类攻击隐蔽性很强，DNS流量属于常规网络行为，安全设备很少逐条校验。
这些攻击手段各不相同，但都利用DNS协议本身的短板。UDP无连接特性，源IP可以随意伪造；递归查询默认信任返回结果，缺少强制校验；开放解析器对外提供服务，容易被当成攻击工具；DNS流量默认放行，可用来搭建数据隧道。想要做好防护需要多维度配置，限制递归查询访问来源、部署DNSSEC、监控异常查询量。现实情况是不少DNS服务器维持默认裸奔配置，调整少量参数就能发起攻击，攻击成本很低。