关于域名污染的解决方案

什么是域名污染/DNS污染

域名污染也称为DNS污染，是指一些刻意制造或无意中制造出来的域名服务器分组，把域名指往不正确的IP地址。

某些网络运营商为了某些目的，对DNS进行了某些操作，导致使用ISP的正常上网设置无法通过域名取得正确的IP地址。某些国家或地区为出于某些目的防止某网站被访问，而且其又掌握部分国际DNS根目录服务器或镜像，也可以利用此方法进行屏蔽。

域名污染/DNS污染的工作方式

由于通常的DNS查询没有任何认证机制，而且DNS查询通常基于的UDP是无连接不可靠的协议，因此DNS的查询非常容易被篡改，通过对UDP端口53上的DNS查询进行入侵检测，一经发现与关键词相匹配的请求则立即伪装成目标域名的解析服务器（NS，Name Server）给查询者返回虚假结果。

怎么验证是否遭遇DNS污染？

1、点“开始”-“运行”-输入CMD，再输入 ipconfig /all 然后在“DNS SERVER（中文名：DNS 服务器）”里找到你使用的DNS服务器地址。

2、再输入：nslookup trustauth.cn

注：trustauth.cn是你的DNS服务器，来查看是否能解析。

3、再输入：nslookup trustauth.cn 8.8.8.8

注：8.8.8.8是Google DNS服务器，可以验证一下。

域名解析被污染怎么办

1、使用各种SSH加密代理，在加密代理里进行远程DNS解析，或者使用VPN上网。

2、修改hosts文件，操作系统中Hosts文件的权限优先级高于DNS服务器，操作系统在访问某个域名时，会先检测HOSTS文件，然后再查询DNS服务器。可以在hosts添加受到污染的DNS地址来解决DNS污染和DNS劫持。

3、通过一些软件编程处理，可以直接忽略返回结果是虚假IP地址的数据包，直接解决DNS污染的问题。

4、如果你是Firefox only用户，并且只用Firefox，又懒得折腾，直接打开Firefox的远程DNS解析就行了。在地址栏中输入：

about:config

找到network.proxy.socks_remote_dns一项改成true。

5、使用DNSCrypt软件，此软件与使用的OpenDNS直接建立相对安全的TCP连接并加密请求数据，从而不会被污染。

---

GDCA一直以“构建网络信任体系，服务现代数字生活”的宗旨，致力于提供全球化的数字证书认证服务。其自主品牌——信鉴易®TrustAUTH® SSL证书系列，为涉足互联网的企业打造更安全的生态环境，建立更具公信力的企业网站形象。