见缝插针：DNS泛分析是如何被黑客攻破的
.png)
网络建立之初，所有访问都是通过IP地址实现的。由于web等协议和应用的兴起，有了域名，通过IP访问一方面不太好记，另一方面由于负载、CDN等原因，由于各种原因，单纯使用IP地址访问会带来一些问题。通过域名访问，中间设备只知道IP，所以最终解析到对应的IP地址进行访问。用于解析的协议称为DNS，其主要功能是将域名解析为对应的IP地址。DNS的创建是互联网高手的杰作，通过它广大互联网用户可以通过域名访问相应的网站。可以看到，DNS服务器执行查询后，找不到这样的结果。DNS泛分析还存在安全问题？DNS的泛解析结果肯定是被黑客恶意修改的。
* 原作者：飞鸟，本文属于FreeBuf原创打赏计划，转载时请注明出处来自FreeBuf.COM
网络建立之初，所有访问都是通过IP地址实现的。 由于web等协议和应用的兴起，有了域名，通过IP访问一方面不太好记，另一方面由于负载、CDN等原因，由于各种原因，单纯使用IP地址访问会带来一些问题。 这样，域名就生成了。 通过域名访问，中间设备只知道IP，所以最终解析到对应的IP地址进行访问。
用于解析的协议称为DNS，其主要功能是将域名解析为对应的IP地址。
DNS的创建是互联网高手的杰作，通过它广大互联网用户可以通过域名访问相应的网站。 这样你只需要记住域名，不需要记住复杂的IP地址。 正如我们经常访问的，它的DNS解析过程如下：
从上图可以看出，DNS的解析非常轻量级，采用UDP协议，一个DNS查询包，一个响应包，两个包，简单、轻量、高效。
但在实际过程中，我们经常会遇到一个问题：比如输入域名时，不小心多输入了一个w就变成了w。 这种情况下还能正常解析吗？ 我做了一个实验，在浏览器中输入w，浏览器直接报错“无法访问该网站”。
我们来看看DNS解析过程。 客户端进行DNS查询，DNS服务器查询后返回“NO such name A w”的结果。 可以看到，DNS服务器执行查询后，找不到这样的结果。
为什么无法解析对应的IP？
原因很简单。 DNS没有相应的配置，但现实中肯定经常会出现用户输入错误域名前缀的情况。 如果网站服务器认为足够人性化，完全可以配置一条DNS解析记录并配置默认解析结果。 在DNS的实现中，确实有这样一个机制，称为DNS泛解析。
既然有DNS泛解析这样的机制，那么现实生活中肯定会有相应的应用。 那我们就自己测试一下吧。 首先，以google为刀，随机输入一个子域名，看能否正常解析，但无法解析； 再试度娘，也解决不了。
两个寡头不支持泛分析，所以我继续寻找小网站。 公司的渗透专家不屑地扔给我一批启用了泛分析的域名。 测试一下就可以解析到主站IP了。
既然泛分析有这么人性化的应用，为什么谷歌和度娘不开放DNS泛分析呢？
这必须考虑到安全性和运行维护成本等方面。
DNS泛分析还存在安全问题？
它确实存在！ 上图中泛解析解析为主站的IP。 如果泛分析IP解析为其他IP，或者黑客的IP怎么办？
有这样的情况吗？
确实，这种情况在实际工作中也遇到过很多次。 前天发现，某政府门户网站通过度娘搜索子域名时，发现了30.1万个网站，其中不少子域名重定向到赌博网站。
通过ping测试发现主站解析为61.191.*.*，但是泛解析解析为23.105.65.113，这是美国的IP。 DNS的泛解析结果肯定是被黑客恶意修改的。
既然恶意IP经过DNS泛解析，解析记录又那么多，为什么用户还没有发现这个问题呢？ 这让我很困惑。 直到有一次在浏览器中随意输入一个子域名进行访问，居然跳转到了正常的主网站页面。
由于可以在游戏站点和普通主站点之间进行跳转，因此23.105.65.113页面上必须有一个判断条件。 当这些条件被触发时，会跳转到游戏网站，如果没有触发，则会跳转到正常页面。一般情况下都是通过JS来识别并跳转的，所以只需要过滤对应的JS即可脚本，直接分析23.105.65.113页面的源码，并进行过滤
