分类：网络安全与检测

HTTP/2 的 HPACK 头部压缩与二进制帧若在网关转换回 HTTP/1.1 时处理不一致，可能引发请求走私（Request Smuggling）；QUIC 无状态重试机制若配置不当则可能被用于流量放大。 !HTTP/2 多路复用 一、Nginx 防御性配置

Kaminsky 攻击通过向递归解析器发送海量伪造响应，抢占权威服务器应答前的缓存槽位，将域名解析指向攻击者 IP。DNSSEC 通过 RRSIG/DNSKEY 链式签名从根区验证到目标域名。 !DNSSEC 信任链 一、使用 dig 验证 DNSSEC 签名

TLS 1.3 的 0RTT 允许客户端在首个飞行包即携带应用数据，显著降低握手延迟，但早期数据（Early Data）缺乏前向安全性且可被攻击者重放，仅应对幂等请求启用。 !TLS 1.3 握手流程 一、Nginx 限制 0RTT 仅用于安全方法

攻击者常利用内网对 DNS（端口 53）放行的策略，使用 DNS 隧道工具（如 dnscat2、iodine） 将敏感数据 Base32/Base64 编码后拼接在子域名中，通过递归解析外传给攻击者受控的权威服务器。 一、DNS 隧道典型请求与特征提取