DNS污染漏洞怎么发现？

以下是发现和验证DNS污染漏洞的详细步骤和方法，分为普通用户视角和安全研究人员/运维人员视角。

一、 普通用户快速自查方法（简单直观）

这些方法适合怀疑自己网络被污染的非技术人员。

1、使用nslookup或dig命令进行对比查询：

原理在不同的网络环境（如国内网络 vs. 国外VPN网络）和不同的DNS服务器（如国内公共DNS vs. 国外公共DNS）下查询同一个域名，对比结果。

操作步骤

在本地网络查询

* 打开命令提示符（CMD）或PowerShell。

* 输入nslookup 被墙的域名.com（例如nslookup google.com）。

* 记录返回的IP地址。

使用国外公共DNS查询

* 输入nslookup 被墙的域名.com 8.8.8.8（使用Google DNS）。

* 输入nslookup 被墙的域名.com 1.1.1.1（使用Cloudflare DNS）。

* 记录返回的IP地址。

判断如果本地查询返回的IP与使用8.8.8.8 或1.1.1.1 查询返回的IP完全不同，并且本地返回的IP是一个明显不相关、通常是国内的IP地址，那么极有可能遭遇了DNS污染。

2、使用在线DNS查询工具：

* 访问诸如[https://www.dnscheck.tools/](https://www.dnscheck.tools/)、[https://toolbox.googleapps.com/apps/dig/](https://toolbox.googleapps.com/apps/dig/) 等网站。

* 在这些网站上输入你怀疑的域名，选择全球各地的DNS服务器进行查询。

判断如果来自全球大部分地区的解析结果一致，而唯独你所在地区或运营商的解析结果异常，则可能存在污染。

3、尝试访问HTTPS网站：

* DNS污染通常只篡改IP地址，但无法伪造SSL证书。

* 如果你的浏览器访问https://某个被污染的域名.com 时出现SSL证书错误警告（例如提示证书与域名不匹配），而访问其真实IP（通过国外DNS查到的）却正常，这强烈表明你收到的IP是被伪造的。

二、 安全研究人员/运维人员深入分析方法（专业准确）

这些方法用于精确验证和取证，适合需要写报告或深入分析的安全人员。

1、使用dig命令追踪解析全过程：

dig 命令是网络诊断的瑞士军刀，功能比nslookup 更强大。

查询权威DNS记录

        dig +trace 被怀疑的域名.com

这条命令会显示DNS解析的完整迭代过程，从根域名服务器一直到权威域名服务器，如果在这个过程中，某一步返回的IP与最终权威服务器给出的IP不一致，就能定位污染发生的环节。

指定不同的DNS服务器进行对比

        dig @8.8.8.8 被怀疑的域名.com
        dig @208.67.222.222 被怀疑的域名.com # OpenDNS
        dig @114.114.114.114 被怀疑的域名.com # 国内DNS

对比不同公共DNS的返回结果。

2、分析TTL值异常：

* DNS记录都有一个TTL（Time to Live）值，表示该记录可以缓存的时间。

* 攻击者实施的DNS污染，为了使其效果持久，可能会返回一个非常长的TTL值（例如几万秒）。

你可以通过dig 命令查看TTL

        dig 被怀疑的域名.com | grep -E "IN\s+A"

如果返回的TTL异常地大，而你知道该域名的真实TTL应该很小（例如CDN的TTL通常很短），这是一个可疑信号。

3、使用TCP DNS查询：

* 传统的DNS查询使用UDP协议，UDP是无连接的，易于伪造，而TCP协议需要三次握手，伪造起来困难得多。

* 大多数DNS污染攻击只针对UDP查询，因此可以尝试强制使用TCP进行DNS查询。

        dig +tcp 被怀疑的域名.com @8.8.8.8

判断如果UDP查询返回错误IP，而TCP查询返回正确IP，则可以100%确认存在DNS污染（并且是针对UDP的污染）。

4、捕获并分析DNS流量（最高级方法）：

* 使用Wireshark 或tcpdump 工具直接抓取网络上的DNS请求和响应数据包。

操作步骤

1. 打开Wireshark，开始捕获流量。

2. 在命令行执行nslookup 被怀疑的域名.com。

3. 停止捕获，使用过滤器dns。

分析查看DNS响应包（Response），重点关注：

Transaction ID 请求和响应的ID是否匹配？不匹配则是伪造的响应。

Source IP 响应包的源IP地址是否是你要查询的DNS服务器的IP？如果不是，则是伪造的响应。

Answer Section 里面的IP地址是否为虚假IP？

三、 针对网络环境的检测

如果你想检测的不是某个特定域名，而是你所在的整个网络是否存在DNS污染漏洞（例如路由器被黑），可以尝试：

查询一个绝对不存在的域名

    nslookup 一个随机的不存在的域名123456abc.com

正常的DNS服务器应该返回NXDOMAIN（表示域名不存在）。

如果返回了一个虚假的IP地址（比如指向一个广告页面或恶意网站），说明你使用的DNS服务器（很可能是运营商默认的或路由器DNS）被劫持了。

综合建议：对于大多数用户，方法一（对比查询） 和HTTPS证书验证 就足以做出判断，对于安全研究人员，TCP/UDP对比 和流量分析 是确凿的证据。

如果确认存在DNS污染，解决方案通常是：

1、更换为可信的、不受污染的DNS服务器，如8.8.8.8,1.1.1.1，但注意，在某些网络环境下，这些DNS的UDP流量也可能被劫持。

2、使用DNSSEC：一种可以验证DNS响应真实性的安全扩展，但需要递归DNS服务器和权威服务器都支持，普及度有限。

3、使用加密的DNS，如DNS over HTTPS (DoH) 或DNS over TLS (DoT)，这是目前最有效的解决方案，因为加密后的DNS请求和响应无法被中间节点识别和篡改，现代浏览器和操作系统都已支持。

文章摘自：https://idc.huochengrm.cn/dns/16196.html