Kaminsky 攻击通过向递归解析器发送海量伪造响应，抢占权威服务器应答前的缓存槽位，将域名解析指向攻击者 IP。DNSSEC 通过 RRSIG/DNSKEY 链式签名从根区验证到目标域名。
一、使用 dig 验证 DNSSEC 签名
bash
# 查询并验证 DNSSEC 签名链
dig +dnssec +multi example.com A
# 检查是否存在验证失败的 SERVFAIL 或 AD 标志缺失
dig +dnssec example.com | grep -E "flags:|RRSIG"