想问下dns清洗原理是啥

撸一炮

网站被污染，找了一家清洗的，清洗了百分之八十左右。到底怎么做到的

G.K.D

DNS 污染，本质上就是如楼上所说的 DNS 抢答。
因为常规 UDP 协议的明文 DNS 是不验证结果是否正确的，只会无脑接收第一个回答（即错误的 DNS 解析结果），后续收到的正确结果都会被抛弃。
所以只需要再全国各个地区加个旁路 DNS 服务器，检测明文的 DNS 请求，抢先返回错误的 DNS 解析结果，因此你收到被污染的 DNS 解析结果时，真正的 DNS 请求还在路上跑呢。。。

G.K.D

呆呆的游客 发表于 2022-8-2 18:59
谢谢大佬科普。

有个无法理解的地方，我明明请求的8.8..8.8，没往其他地方请求啊，他怎么污染的啊？难道 ...

我前面不都解释了吗？？
你的设备只认第一个返回的 DNS 解析结果，因此只需要在半路上设个卡，检测到了 指定域名 的 DNS 解析请求，就会伪造一份假的发给你，因为是半路提前发的，所以会比正确结果更快到你家。

而为了保证 DNS 污染率，负责污染的设备要离你、离全国网民足够近，那还有什么比运营商更好的选择呢？

国内运营商都是国企，本身就是墙的组成部分，包括国内的各大互联网公司都参与了。

除了墙以外，各地运营商也有自己的黑名单，比如移动的墙中墙很出名。另外，反诈劫持也是由地方相关部门将域名提交给当地运营商来劫持的。因此哪怕没有墙，运营商也一直都在干 DNS 污染/劫持/抢答 这行为。

G.K.D

呆呆的游客 发表于 2022-8-2 15:13
用8.8，8，8也会被污染吗、？

在国内用国外的明文 UDP 协议 DNS 是没有意义的，甚至还不如用国内的 DNS。

对于明文的 UDP 协议 DNS，不管用国内的还是国外的 ，都会被 DNS 污染/劫持/抢答。

而且国外的 DNS 延迟/稳定性显然不如国内 DNS，解析结果也不如国内 DNS（国内如视频类网站的分发 CDN 非常依赖国内 DNS 来分地区 精细化解析，得到的解析 IP 才能离你更近，速度更快，国外 DNS 我遇到过解析国内网站，结果分配到国外 IP 的情况。。。

如果你用的是加密 DNS，那么就不建议使用国内的加密 DNS 了。
因为这些国内 DNS 虽然加密了，但是因为国情，这些国内公共 DNS 提供商必须主动污染自己的源头，因此哪怕加密 DNS 杜绝了 DNS 污染/劫持/抢答 问题，但依然被迫污染源头，用户得到的依然是错误 IP。
注意，这些国内加密 DNS 的源头污染是根据 IP 判断的，国内用户使用就会返回污染 IP，国外用户则是正确 IP。

DaShi

sanxian 发表于 2022-8-2 13:33
dns污染原理是啥

抢答

DaShi

抢答，和DNS污染原理相同

DaShi

sanxian 发表于 2022-8-2 13:35
原来是这个意思 抢先返回假的ip地址吗

对

attis

我还以为大师抢答是在说自己

mjjok

G.K.D 发表于 2022-8-2 14:15
DNS 污染，本质上就是如楼上所说的 DNS 抢答。
因为常规 UDP 协议的明文 DNS 是不验证结果是否正确的，只会 ...

以后有没有办法做到，dns自己判断正确的应答？

给dns一个指定的判断标准，只要不符合的全抛弃，直到正确为止，然后返回正确的结果？

G.K.D

mjjok 发表于 2022-8-2 14:39
以后有没有办法做到，dns自己判断正确的应答？

给dns一个指定的判断标准，只要不符合的全抛弃，直到正确 ...

现在就能做到（或者说是类似的），那就是加密 DNS 呀。
DoT、DoH、DoQ、DNSCrypt 等等。

安卓和 Win11 都已经原生支持其中一部分了。