教你对抗DNS污染

来源：http://zhangxin1989.blogspot.com/2010/10/dns.html

DNS污染是一种很无耻的行为，但是让人很无奈，连网站的正确IP地址都解析不出来，怎么访问呢？其实DNS污染也有它的弱点。目前绝大部分DNS查询都 是基于UDP协议的，对于这种无连接的协议，想去阻断连接是不可能的，因此GFW会伪造一个DNS查询结果，抢在正确结果到达之前发送给客户端。对于 UDP协议，没有区分数据包是否正确到达，如果两个数据包序号重复，会丢弃后来的那一个。我们可以手动把被丢弃的正确结果找回来。

我用Windows 7平台作介绍，需要网络抓包软件Wireshark，大家可以自己去下载。下面以encrypted.google.com这个域名为例，介绍如何对抗DNS污染。

首 先打开wireshark，并抓包，此时最好关闭不必要的程序，尤其是迅雷、QQ一类的需要联网的软件以减小干扰。然后在"命令与提示符"下使用DNS查 询命令查询境外DNS服务器，"nslookup encrypted.google.com 8.8.8.8"，8.8.8.8这个是Google提供的服务器，保证查询结果的公正。当然查询不到正确的结果了，我们此时停止wireshark的抓 包，然后在"filter toolbar"里面输入"dns"然后确认，过滤抓包结果，一般正确的DNS查询看起来都很"漂亮"，信息比较多，而GFW伪造的查询结果很"丑陋"， 只具备最简单的查询DNS信息，一眼就能看出来。此时就会显示dns查询的结果，我们可以看到正确的查询结果，把它加入hosts文件中去，然后重启浏览 器。