01 · 测量方法论
DNS劫持具有地域性、网络依赖性、临时性，单一位置的观测不足以刻画全貌。本课题设计"分布式解析测量网络"：
- 探针分布：依托覆盖多省份、多运营商（电信/联通/移动/广电等）的探测节点，并参考RIPE Atlas（全球众包探针）、OONI（ censorship测量）的布点思路，形成多vantage point（vantage points）视角。
- 测量对象：①目标域名集（重点机构、金融、政务、教育）；②控制域名集（已知稳定、应返回确定IP的域名，用于识别"系统性注入"）；③公共DNS对照（8.8.8.8/1.1.1.1等）。
- 采集字段：返回IP、TTL、应答来源、解析耗时、是否通过DNSSEC验证、对应证书（CT）状态。
- 判定：同第4页阈值——多解析器差异 + 权威回源 + DNSSEC + 被动DNS + CT 五道交叉，输出"劫持事件"与"类别标签（H-1~H-6）"。
为何需要"控制域名"：若只对目标域名测，难以区分"目标自身变更"与"被劫持"。控制域名（理论上绝不应被改）一旦也返回异常IP，则强烈指向"所处网络/解析器被系统性注入"（H-3/H-6），是判别地域性污染的关键对照。
02 · 全球DNS注入测量（实证）
DNS注入（链路上抢答伪造应答，见第2页H-6）并非个例，而是被多国测量项目反复证实的普遍现象：
| 测量项目/研究 | 结论要点 | 性质 |
|---|---|---|
| Niaki 等（IMC 2018） | 对跨大洲若干国家的DNS注入进行量化测量，揭示注入在多数网络"普遍存在"且具地域/AS差异 | 学术论文 |
| OONI（开源观测） | 在包括中国、伊朗、土耳其、俄罗斯、叙利亚等在内的多个国家记录到DNS注入/篡改（被测域名常返回无效或拦截地址） | 持续测量 |
| "Great Cannon"/GFW 研究 | 国家级DNS污染被广泛观测，具"地域性+临时性"，是H-6在国家级尺度的典型 | 学术/观测 |
注：具体国家清单与命中率随测量时间、方法、被测域名集而变化，引用时以各项目最新数据为准；本表为结论性归纳，非逐国统计。
03 · DNSSEC验证率（实证）
DNSSEC是终结"真伪之辩"的根本手段，但其效力取决于验证解析器的渗透率。2024年的最新测量图景值得细化：
3.1 分层数据补充
| 指标（2024年测量） | 数值量级 | 含义 |
|---|---|---|
| 经验证解析器用户占比 | 约30%—35% | 全球约三成；美国约35%（Akamai）；欧洲部分国家更高 |
| 已签名TLD占比 | >90% | 绝大多数gTLD与ccTLD（含.com/.net/.cn）已完成DNSSEC部署 |
| 主流域名签名率 | 约一成（估） | Tranco Top 1M域中仅约10%签名——"TLD签了、内容域没签"是普遍断点 |
| 查询流中签名保护比例 | 个位数百分比 | 因头部站点多未签名，实际端到端受益的查询远小于30% |
来源：APNIC Labs测量、Akamai State of the Internet（2024）、Tranco榜单分析（估算量级，随时间与方法变化）。
关键启示：即便根区与主流gTLD已签名，全球仍有约七成用户不经验证解析器——意味着对"未签名域"以及"未启用验证的解析路径"，仍需依赖第4页的多解析器/被动DNS/CT等降级检测。验证率偏低，正是KQ-2（覆盖率）的现实约束。国内侧，.cn自2010年起即支持DNSSEC注册（CNNIC提供DS提交），但国内主流递归（运营商local DNS）对验证的支持与默认启用情况仍不透明，属于本课题测量网络的持续观测点。
04 · 真实事件案例库
以下为公开可查的代表性事件，已按本课题分类（H-1~H-6）归属，作为检测与取证的"正样本"：
| 事件 | 类别 | 时间 / 要点 | 影响规模 |
|---|---|---|---|
| DNSChanger | H-1 | 2011；恶意软件改本机DNS，FBI "Ghost Click" 行动 | 100+国 / ~400万台 |
| 巴西银行路由器劫持 | H-2 | 2016—2017；CSRF/弱口令改网关DNS，配非法证书钓鱼 | 多家大型银行客户 |
| VPNFilter | H-2 | 2018；感染50万+路由器，含DNS重定向模块 | 50万+ 设备 |
| Sea Turtle | H-4 | 2019；盗注册商/权威账户改NS，中间人窃密 | 40+组织 / 13国 |
| DNSpionage | H-4 | 2018；入侵合法DNS提供商/注册商重定向 | 中东多组织 |
| Kaminsky 投毒 | H-5 | 2008；CVE-2008-1447，缓存投毒系统性缺陷 | 影响多数解析器实现 |
| MyEtherWallet | H-6 | 2018-04；BGP前缀劫持→解析被改→钓鱼 | ~数十万美元损失 |
| 巴西ISP劫持案 | H-3 | 2017；Kaspersky披露某巴西ISP DNS基础设施被入侵，客户网银被重定向数小时 | 单一ISP全网客户 |
| GFW DNS注入 | H-6 | 持续；骨干链路上注入伪造应答封锁境外域名 | 国家级尺度 |
说明：影响规模数据来自各事件公开报告（FBI/DCWG、Cisco Talos、Check Point、OONI等），部分为上/下界估计；本表用于归类与教学，非精确统计。
05 · 数据基础与可视化
本课题的数据底座可与学院"数据可视化"平台对接，形成：①按地域/运营商的劫持率热力；②按类别H-1~H-6的事件分布；③DNSSEC验证率趋势；④重点域名解析IP变更时间线。数据来源包括：自研测量网络、RIPE Atlas/OONI公开数据集、被动DNS（授权）、证书透明度日志。所有可视化遵循"聚合、匿名、不针对未授权目标"的合规底线（见第1页§8）。
与兄弟子课题的协同：本案例库中的"权威/注册被改"（H-4）事件，可直接输入"域名滥用治理"子课题做滥用归因；"解析IP突变"信号可输入"域名数据与威胁监测"子课题做实时告警——形成"检测→归因→监测"的数据闭环。
本节参考来源（第5页）
Niaki et al., "Quantitative Investigation of the DNS Injection Attack"（ACM IMC 2018，第一作者 Arian Akhavan Niaki，UChicago）：conferences.sigcomm.org/imc/2018（会议论文集入口）
OONI, "DNS Injection" 测试与各国观测：ooni.org/nettest/dns-injection
APNIC Labs, "Measuring DNSSEC"（验证解析器占比测量）：stats.labs.apnic.net/dnssec
ICANN, "Root Zone DNSSEC Signing"（2010-07-15）：icann.org/dnssec
RIPE Atlas（分布式测量探针平台）：atlas.ripe.net
Cisco Talos, Sea Turtle / DNSpionage 报告：blog.talosintelligence.com/seaturtle
Akamai, "State of the Internet" DNSSEC 验证测量（2024）：akamai.com（SOTI报告入口）