DNS抢答劫持检测

最近发现改了 DNS 之后还会被劫持，所以简单分析了一下。

114DNS检测命令

nslookup whether.114dns.com 114.114.114.114

如果返回结果是127.0.0.1，那么肯定是抢答或者劫持

如果返回其他结果，比如58.217.249.139，那么基本可以保证是正常的。

本地异网DNS检测多线网站如百度，如果结果返回的是同样的IP并且是同一运营商，那么也可以确定是抢答

以沈阳为例，沈阳三大运营商DNS为

#沈阳联通DNS
202.96.64.68
202.96.69.38
#沈阳电信DNS
219.148.204.66
219.149.6.99
#沈阳移动dns
211.137.32.178
211.140.197.58

所以，执行如下命令

nslookup www.baidu.com 202.96.64.68
nslookup www.baidu.com 202.96.69.38
nslookup www.baidu.com 219.148.204.66
nslookup www.baidu.com 219.149.6.99
nslookup www.baidu.com 211.137.32.178
nslookup www.baidu.com 211.140.197.58

如果返回同一结果，基本是抢答/劫持没跑了，如果返回的是不同结果，看看不是是对应运营商下的，如果是，那么基本就是没劫持。

目前移动是在全国范围内都抢答。中国移动研究人员发表了一篇论文叫《基于旁路抢答机制的异网DNS管控实践》。有兴趣的可以看看。

解决方案

技术方案：DoT 、DoH、DNSCrypt

客户端方案：红鱼DNS

路由器方案：磊科路由器自身抢答

局域网方案：自建局域网DNS服务器用自己的DNS服务器先抢答

抢答实验环境搭建

1.Panabit专业版 DNS请求牵引