用本地DNS 代理防止DNS 缓存投毒攻击

2012年7月26日 | 分类: 翻墙相关 | 标签: , ,

由于众所周知的原因, 某些域名遭受着持续的DNS 缓存投毒攻击, 通过UDP 协议进行DNS 查询时, 会收到来自旁路的干扰结果, 而通过TCP 进行DNS 查询则不会, 原理详见此文: < 为何我们不能正常使用Google加密搜索> .

在< 不Google，毋宁死 – 实时生成的Google hosts文件> 一文中我给出了一个实时生成的hosts 文件用于防止DNS 缓存投毒攻击, 但是hosts 有比较大的局限性.

现在我找到了另一个解决方案: 在本地开设DNS 代理服务器. 本地DNS 服务器与上游DNS 服务器之间通过TCP 协议进行查询, 将结果通过UDP 协议返回给本机客户端, 这样就不会被旁路干扰.
使用方法:
1. 安装好python 后打开Tcp-DNS-proxy , 下载tcpdns.py 运行;
2. 在命令行下运行 netstat -an 检查是否存在 UDP 127.0.0.1:53 结果
3. 修改网络设置, 将DNS 服务器改成 127.0.0.1
4. 在命令行下运行nslookup www.Twitter.com , 应该能得到正确的结果
服务器: UnKnown
Address: 127.0.0.1

非权威应答:
名称: Twitter.com
Addresses: 199.59.149.230
199.59.150.7
199.59.148.82
Aliases: www.twitter.com

注. 如果Windows 用户不想 安装python, 可以下载我打包好的exe 程序包, 运行tcpdns.exe

来源：http://opengg.me/815/tcp-dns-proxy-avoid-dns-poisoning/

发表评论
  1. AD_SPE
    2012年7月28日18:37
    回复 | 引用 | #1

    站点换新的背景了么。

  2. anchonggen
    2012年7月27日18:09
    回复 | 引用 | #4

    iGFW :mac号过不了路由器，网站一般不可能检查到，除非你安装了其软件，其通过软件获得。

    哦 也就是说vpn+tor是很安全的

    • iGFW
      2012年7月27日18:38
      回复 | 引用 | #5

      一般来说是这样，tor还有个更安全的方法就是 https://tails.boum.org/

      • anchonggen
        2012年7月27日20:39
        回复 | 引用 | #6

        请问这个怎么使用啊 英文网站看不太懂 能简单介绍一下吗

        • iGFW
          2012年7月27日23:10
          回复 | 引用 | #7

          那英语我也看不懂，你可以谷歌翻译下。

        • Mr.Koala
          2012年7月28日23:28
          回复 | 引用 | #8

          　　那是个 GNU/Linux（Debian）的 Live 镜像操作系统，被设置成所有网络通信都强制走 Tor 。可是 Tor 本身被 GFW 阻断还是白搭啊。

          • Mr.Koala
            2012年7月28日23:30
            引用 | #9

            另外它还有所有文件默认加密等功能。这些跟 GFW 关系不大了，但是敏感人士可能用得到。

  3. anchonggen
    2012年7月27日11:43
    回复 | 引用 | #10

    请问用vpn+tor上网能隐藏真实的ip和mac地址吗

    • iGFW
      2012年7月27日16:38
      回复 | 引用 | #11

      IP可以，建议tor使用官方的那个tor浏览器套件就是包含firefox浏览器那个，mac地址应该不能吧。

      • anchonggen
        2012年7月27日17:30
        回复 | 引用 | #12

        通过tor发帖 网站记录的mac地址是本机的mac地址还是tor节点的mac地址 如果是本机的岂不是很容易被查到

        • iGFW
          2012年7月27日17:36
          回复 | 引用 | #13

          网站还会记录mac地址，有这么厉害，求详情……

          • anchonggen
            2012年7月27日17:44
            引用 | #14

            我也是听说的 不知道真假

          • iGFW
            2012年7月27日17:54
            引用 | #15

            mac号过不了路由器，网站一般不可能检查到，除非你安装了其软件，其通过软件获得。

  4. W.We
    2012年7月26日20:24
    回复 | 引用 | #16

    测试手机UC浏览器不翻墙也能用加密版（HTTPS）的谷歌搜索（测试谷歌香港域名可用）。

    • iGFW
      2012年7月26日21:10
      回复 | 引用 | #17

      呵呵，我这电脑上也能直接打开

  5. BB
    2012年7月26日15:13
    回复 | 引用 | #18

    dnsforwarder和这个比起那个更好呢，，

    • iGFW
      2012年7月26日15:35
      回复 | 引用 | #19

      两者道理是一样的，效果没测试，呵呵

  6. AS
    2012年7月26日14:46
    回复 | 引用 | #20

    26.07.2012 New.ver.:UltraSurf 12.02
    http://wujieliulan.com/download.htm
    wujieliulan.com/download/u1202.zip

    2012年7月26日

  7. 晕啊
    2012年7月26日11:00
    回复 | 引用 | #21

    本来我的VPN位置上旧金山的。刚才换成洛杉矶后。与几个网站都不能访问。这个是为什么啊。难道是DNS吗？YOUTUBE可以看。http://www.ip-adress.com/ip_tracer/这个网站打不开。。在旧金山的时候可以打开

    • iGFW
      2012年7月26日15:34
      回复 | 引用 | #22

      这个可能是VPN服务器限制或者ip-adress.com网站限制，不应该是GFW干的。