DNS 记录核查是什么
DNS 记录是暴露面的入口清单：A/AAAA 决定服务地址，CNAME 指向第三方托管，MX 与 TXT 记录常涉及邮件域与域名验证。核查重点有三类问题：指向内网地址的公网记录、指向已下线服务的旧记录、TXT 中暴露的验证值与敏感信息。历史解析记录（被动 DNS）还能揭示已下线但仍可被利用的旧地址。
基本信息
| 记录类型 | A / AAAA / CNAME / MX / TXT / NS / SRV |
|---|---|
| 核查工具 | dig、nslookup、云解析面板导出、被动 DNS 服务 |
| 高风险模式 | 公网记录指向内网地址；CNAME 指向第三方且长期未复核 |
| 关联事项 | 迁移后旧记录未清理、泛解析不做区分 |
记录核查命令
记录核查命令
for t in A AAAA CNAME MX TXT NS; do
echo "== $t =="; dig +short example.com $t
done
# 重点核查：
# - 指向内网地址的公网记录（错误配置）
# - 指向已下线服务的旧记录
# - TXT 中的验证值与敏感信息
# - 泛解析 (*) 是否把任意子域指向同一入口典型使用场景
- 资产盘点补全：用解析记录反查未登记的对外服务
- 迁移收尾：确认旧记录已清理，避免旧地址继续可用
- 邮件域安全：核对 MX、SPF 与 DMARC 相关 TXT 记录是否完整
- 第三方托管核查：CNAME 指向外部服务时确认对方的安全配置与到期时间
- 应急排查：确认是否存在被篡改的解析记录（指向陌生地址）
记录类型与关注点
| 类型 | 作用 | 关注点 |
|---|---|---|
| A / AAAA | 主机地址 | 是否指向内网或已下线服务器 |
| CNAME | 别名指向 | 第三方托管：确认对方安全配置与到期 |
| MX | 邮件路由 | 是否指向不再使用的邮件服务 |
| TXT | 验证与策略 | 验证值是否泄露内部信息 |
| NS | 权威服务器 | 是否仍由本单位掌控 |
泛解析配合默认站点会放大暴露：任意子域名都命中同一服务，测试域与历史域无法区分，攻击者可直接枚举。
迁移与下线要配套 DNS 清理：服务下线而记录保留，等于留了一个指向空壳的入口，攻击者可通过抢注旧 IP 或利用旧服务配置接管流量。