DNS域名解析流程和DNS劫持

DNS 即域名系统（Domain Name Server），其主要用于将域名解析为对应的 IP 地址。人们记住ip地址是很不方便的，所以需要域名来帮助记忆。

了解DNS服务器

DNS域名解析的过程

解析的过程就是寻找哪台机器上有你需要资源的过程。当你在浏览器中输入一个地址时，例如http://www.baidu.com，其实不是百度网站真正意义上的地址。互联网上每一台计算机的唯一标识是它的IP地址，但是IP地址并不方便记忆。

大致的DNS解析的流程

1. 查找 浏览器缓存
   因为浏览器一般会缓存DNS记录一段时间，不同浏览器的时间可能不一样，一般2-30分钟不等，浏览器去查找这些缓存，如果有缓存，直接返回IP，否则下一步。

2. 查找系统缓存
   浏览器缓存中找不到IP之后，浏览器会查看本地硬盘的 hosts 文件，看看其中有没有和这个域名对应的规则，如果有的话就直接使用 hosts 文件里面的 ip 地址。如果在本地的 hosts 文件没有能够找到对应的 ip 地址，浏览器会发出一个 DNS请求到本地DNS服务器

3. 主机A先去本地服务器进行递归查询;
   本地DNS服务器会首先查询它的缓存记录，如果缓存中有此条记录，就可以直接返回结果，此过程是递归的方式进行查询。如果没有，本地DNS服务器还要向DNS根服务器进行查询

4. 本地服务器采用迭代查询,向一个根域名服务器查查询;
   根DNS服务器没有记录具体的域名和IP地址的对应关系，而是告诉本地DNS服务器，你可以到域服务器上去继续查询，并给出域服务器的地址。这种过程是迭代的过程（ 根域名服务器告诉本地服务器,我这里查不到, 然后发给他下一步应该查询的顶级域名服务器的IP地址;）

5. 本地域名服务器再去顶级域名服务器查询
   顶级域名服务器告诉本地服务器,我这里也查不到,然后发给他下一步应该查询的权限域名服务器的IP地址;

6. 本地域名服务器向权限域名服务器查询;
   由于求的对象是.com域服务器。.com域服务器收到请求之后，也不会直接返回域名和IP地址的对应关系，而是告诉本地DNS服务器，你的域名的解析服务器的地址。

7. 权限域名服务器告诉本地服务器,所查询域名对应的IP

8. 本地域名服务器最后再把查询结果告诉主机A;

浏览器查询 DNS，获取域名对应的IP地址:具体过程包括浏览器搜索自身的DNS缓存、搜索操作系统的DNS缓存、读取本地的Host文件和向本地DNS服务器进行查询等。对于向本地DNS服务器进行查询，如果要查询的域名包含在本地配置区域资源中，则返回解析结果给客户机，完成域名解析(此解析具有权威性)；如果要查询的域名不由本地DNS服务器区域解析，但该服务器已缓存了此网址映射关系，则调用这个IP地址映射，完成域名解析（此解析不具有权威性）。如果本地域名服务器并未缓存该网址映射关系，那么将根据其设置发起递归查询或者迭代查询；

DNS查询的两种方式

现在使用的是两种方式的结合

递归查询

局部DNS服务器自己负责向其他DNS服务器进行查询，一般是先向该域名的根域服务器查询，再由根域名服务器一级级向下查询。最后得到的查询结果返回给局部DNS服务器，再由局部DNS服务器返回给客户端。
简单的说，就是你交给我一个任务，然后我去帮你搞定结果，最后我返回结果给你。别关心我里面如何不断的细化这个任务，不断的递归最后返回

如果是单纯的递归查询 负载过大，现在不使用了。

迭代查询

局部DNS服务器不是自己向其他DNS服务器进行查询，而是把能解析该域名的其他DNS服务器的IP地址返回给客户端DNS程序，客户端DNS程序再继续向这些DNS服务器进行查询，直到得到查询结果为止。也就是说，迭代解析只是帮你找到相关的服务器而已，而不会帮你去查。

解析流程以访问 y.abc.com为例
假定某客户机想获知域名为y.abc.com主机的IP地址，域名解析的过程(共使用8个UDP报文)如下:

①客户机向其本地域名服务器发出DNS请求报文。
②本地域名服务器收到请求后，查询本地缓存，若没有该记录，则以DNS客户的身份向根域名服务器发出解析请求。
③根域名服务器收到请求后，判断该域名属于.com域，将对应的顶级域名服务器dns.com的IP地址返回给本地域名服务器。
④本地域名服务器向顶级域名服务器dns.com发出解析请求报文。
⑤顶级域名服务器dns.com收到请求后，判断该域名属于abc.com域，因此将对应的授权域名服务器dns.abc.com的IP地址返回给本地域名服务器。
⑥本地域名服务器向授权域名服务器dns.abc.com发起解析请求报文。
⑦授权域名服务器dns.abc.com收到请求后，将查询结果返回给本地域名服务器。
⑧本地域名服务器将查询结果保存到本地缓存，同时返回给客户机。

DNS劫持

DNS 的域名解析基于 UDP 协议实现，极易发生 DNS 劫持。

如何解决 DNS 劫持

传统 DNS 解析域名的最大弊端就是易被劫持，直接降低互联网用户的使用体验。比如你想访问 www.baidu.com，结果发生 DNS 劫持，得到了一个诈骗网站的 IP 或者空的地址，使你无法使用正常的服务（比如百度是搜索服务）。
HTTPDNS 利用 HTTP 协议与 DNS 服务器交互，代替了传统的基于 UDP 协议的 DNS 交互，绕开了运营商的 Local DNS（本地 DNS 服务器），有效防止了域名劫持，提高域名解析效率。另外，由于 DNS 服务器端获取的是真实客户端 IP 而非 Local DNS 的 IP，能够精确定位客户端地理位置、运营商信息，从而有效改进调度精确性。

同时https也可以解决DNS劫持的问题。

由于我们在浏览器或webapp中与服务端的交互大多是通过协议+域名进行的，而对于域名映射到ip这个步骤要经过本机请求dns服务器的过程，因此除了受信任的dns根服务器，中间缓存的各种dns服务器都有可能被黑或者被运营商利用篡改。
比如www.baidu.com正常是映射到61.135.169.125这个公网ip，黑客或者恶意份子将dns服务器对于该域名的公网ip解析改成26.135.169.123，那么我们在某个地域访问www.baidu.com得到的结果就是26.135.169.123这台服务器返回的内容，并且在http协议访问的情况下毫无感知。

https的证书可以应对dns劫持
如test-h5.com被运营商或其他恶意份子将dns篡改至广告服务器地址F，浏览器使用https协议在与test-h5.com进行数据交互之前，需要获取域名对应证书，此时地址F的服务器返回一个假的证书，接着向CA或者本地跟证书验证对应域名证书合法性，浏览器必然会显示证书安全有问题，此时用户如果点击信任该证书并且继续浏览，则便进入了被劫持的h5页面
但是需要注意的是，如果，恶意份子直接伪造证书https还是无法解决DNS劫持问题。

https可否有效应对dns劫持、http内容劫持