一、DNS悬空记录的含义
DNS记录的作用是把域名或子域名指向一个网络资源。当这个被指向的资源被删除、下线或不再受原来机构所有时，但这个DNS记录并没有删除，仍然保留在DNS解析系统中，这条记录就被称作悬空记录。
举个例子：某企业为一次市场活动创建了一个子域名，通过CNAME记录指向某个云平台上的应用实例。活动结束后，云资源被释放，但CNAME记录没有从DNS区域中删除。从解析层面上看，该子域名仍然存活，但是它指向的目标不存在了。Microsoft的安全文档把这类条目称为"悬置DNS"项目，并指出CNAME记录在各类DNS记录中风险最高。
二、悬空记录是怎样产生的
悬空记录的产生，多数情况下不是有人故意留下，而是DNS解析层面没有跟随资源下线同步删除。
云资源具有临时性，DNS记录可能长期存在。DNS解析在网络互联中扮演核心作用，但常常被人所忽略。机构在启动项目添加了记录，但后期一直疏于更新维护，服务下线后也经常忘记同步删除。此外创建云资源和拥有DNS管理权限的往往不是同一个人，负责删除资源的人可能没有权限修改解析，管理DNS的人又不知道资源已经下线。这种信息不匹配的情况也是DNS悬空记录大量产生的一个重要原因。
从业务场景上看，测试环境、预发布环境、临时活动页面是悬空记录的高发区域。这类资源使用周期短，项目结束后容易被遗忘，有的企业DNS台账本身就不完整，部分子域名长期处于无人盘点的状态。收购和重组也会带来类似问题，被收购方遗留的DNS区域常常缺少完整的记录清单，原负责人离开后，遗留记录更难被识别。
SIDN援引的一项研究数据显示，被调查的DNS记录中约有21%处于悬空状态。安全公司SilentPush报告称，其一个客户在排查悬空DNS时发现了超过2000条可利用的记录，需要立即处理。
三、悬空记录带来的风险
悬空记录本身不会直接入侵业务系统，但它提供了一个可以被外部人员合法"认领"的入口。当攻击者在云平台上注册与悬空CNAME目标同名的资源后，发往该子域名的流量就会指向攻击者控制的内容。这种攻击方式不需要破解账号，也不需要利用软件漏洞，依靠的是配置层面的遗留缺口。
钓鱼和品牌仿冒
被接管的子域名仍然挂在企业主域名之下，访问者看到的地址带有企业品牌。攻击者可以在这个子域名上搭建仿冒登录页面，申请有效的SSL证书，浏览器会正常显示HTTPS标识。邮件网关和安全设备也更容易把来自企业自有子域名的链接判定为可信内容，钓鱼邮件的拦截难度随之上升。
Cookie和会话数据暴露
Web应用通常会把Cookie的作用域设置为父域名，使得子域名之间可以共享会话信息。攻击者控制一个子域名后，可以搭建看起来正常的页面，诱导用户访问，获取作用域覆盖该子域名的Cookie，其中可能包含安全Cookie。SSL证书并不能阻止这类攻击，攻击者可以用被接管的子域名自行申请合法证书。
邮件和身份验证流程被利用
如果悬空记录涉及MX记录，攻击者可能接收原本发往合法子域名的邮件。密码重置邮件、账号验证邮件一旦落入攻击者手中，第三方服务的账号安全就会受到威胁。OWASP的防护指南还指出，被接管的子域名可能被用于绕过OAuth和单点登录流程中把该子域名列为合法跳转地址的信任配置。
真实攻击事件
安全公司Infoblox追踪的威胁行为者"HazyHawk"，利用指向已废弃云资源的CNAME记录接管了大量子域名。2025年2月，该组织控制了美国疾病控制与预防中心（CDC）的相关子域名，用于托管恶意内容。2026年4月，该组织又针对34所美国高校实施了协调性的子域名接管行动，受影响机构包括MIT、哈佛和斯坦福。SecurityBoulevard的报道提到，政府机构、UCLA和斯坦福等高校、CNN等媒体机构以及金融机构都曾出现悬空DNS暴露。
AI代理带来的新变化
Akamai在一篇安全分析中把悬空DNS称为"AI时代最被忽视的攻击面"。当AI代理访问被接管的悬空页面时，攻击者可以在HTML或SVG元数据中嵌入隐藏指令，诱导代理执行超出其正常范围的操作。一个小范围的DNS疏忽，可能因此变成访问企业资源的跳板。
四、企业可以采取的处置和防范措施
**处理悬空记录用不着高成本的技术改造。**把DNS清理放进日常运维流程里，让每条解析记录都有人负责、有据可查，就能解决大部分问题。
**建立DNS资产清单。**建立DNS记录台账，注明每一条记录指向的目标资源以及负责人，当资源下线时，可以找对应负责人删除悬空记录。
**资源下线前先处理DNS记录。**删除云资源或关停服务之前，先把对应的CNAME、A、MX等记录移除。建议先删除DNS记录，再释放后端资源，可以减少短暂的但可能被利用的悬空窗口。
**利用平台提供的绑定机制。**部分云服务商提供别名记录功能，把DNS记录的生命周期和底层资源绑定在一起。资源被删除后，解析记录会随之失效，降低了人工遗漏清理的风险。条件允许时，优先使用这类记录类型替代普通的CNAME。
**定期巡检和自动化检测。**DNS记录会随着业务变化而不断增减，因此定期巡检十分有必要，可以利用自动化工具批量扫描，及时发现资源已经释放的悬空记录。
**持续监控子域名解析状态。**周期性巡检存在间隔，攻击者可能在两次巡检之间完成接管。对子域名的解析变更进行持续监控，可以在异常发生时尽早发现。
**收紧通配符证书的使用。**通配符SSL证书覆盖主域名下的所有子域名。某个子域名被接管后，攻击者可以直接复用证书的信任范围。非必要场景下控制通配符证书的签发，并建立证书台账，有助于降低被接管的实际影响。
五、结语
DNS悬空记录的本质是资源管理和解析管理之间的衔接出现了空隙。它的风险不在DNS协议本身，而在运维流程中那些没有被跟踪到底的收尾环节。一条被遗忘的CNAME记录，在攻击者眼中就是一个可以用企业品牌和域名信任来承载恶意内容的现成入口。把DNS清理放进资源下线的标准流程，把解析记录纳入日常资产盘点，是企业在现有条件下可以落实的防护起点。