【PConline 雜談】你是否也遇到過這樣的情況，就是當(dāng)我們想訪問一個網(wǎng)站時，頁面顯示的確是“無法訪問此網(wǎng)站”，這是怎么回事？如果檢查發(fā)現(xiàn)ping不通了，這可能就與DNS有關(guān)了。那么，啥是DNS？常聽到的DNS劫持指的又是什么？

所謂DNS，其實是Domain Name System的縮寫，翻譯過來就是域名系統(tǒng)。作為將域名和IP地址相互映射的一個分布式數(shù)據(jù)庫，其最主要的作用就是將域名翻譯成IP地址，從而使我們更方便地訪問互聯(lián)網(wǎng)。

IP地址應(yīng)該不用多說了吧？它是IP協(xié)議提供的一種統(tǒng)一的地址格式，為互聯(lián)網(wǎng)上的每一個網(wǎng)絡(luò)和每一臺主機分配一個邏輯地址，以此來屏蔽物理地址的差異。最常見的，就是每臺聯(lián)網(wǎng)的PC上都需要有IP地址，才能正常通信。IP地址是一個32位的二進(jìn)制數(shù)，通常被分割為4個“8位二進(jìn)制數(shù)”（即4個字節(jié)），用“點分十進(jìn)制”表示成（a.b.c.d）的形式。例如192.168.100.1。

域名可以說是一個IP地址的代稱，目的是為了方便我們記憶IP地址。例如，wikipedia.org是一個域名，與其對應(yīng)的IP地址就是208.80.152.2。我們可以直接訪問wikipedia.org來代替IP地址，然后域名系統(tǒng)（DNS）就會將它轉(zhuǎn)化成便于機器識別的IP地址。而有了DNS，我們不需要記住每一個網(wǎng)站的多個IP地址，而只需知道該網(wǎng)站的域名就可以了。

換言之，當(dāng)我們訪問網(wǎng)站的時候輸入域名，是DNS在幫你解析并訪問具體的IP地址。但是你知道嗎？如此重要的DNS一旦被污染或者被劫持，將導(dǎo)致網(wǎng)站無法正常訪問。某些網(wǎng)絡(luò)運營商，為了某些目的，可能會限制某些用戶訪問某些特定的網(wǎng)站，而限制手段最常用的就是DNS污染和DNS劫持。

先來說說DNS污染，又稱域名服務(wù)器緩存投毒，指那些刻意制造或無意中制造出來的域名服務(wù)器數(shù)據(jù)包，把域名指向不正確的IP地址。通常，DNS查詢沒有任何認(rèn)證機制，且DNS查詢通?；诘腢DP，是個無連接不可靠的協(xié)議，導(dǎo)致DNS查詢非常容易被篡改，通過對UDP端口53上的DNS查詢進(jìn)行入侵檢測，一經(jīng)發(fā)現(xiàn)與關(guān)鍵詞相匹配的請求，便立即偽裝成目標(biāo)域名的解析服務(wù)器（NS）給查詢者返回虛假結(jié)果。

一旦相關(guān)網(wǎng)域的局域域名服務(wù)器的緩存受到污染，就會把網(wǎng)域內(nèi)的電腦導(dǎo)引往錯誤的服務(wù)器或服務(wù)器的網(wǎng)址。因此，簡單點說，DNS污染指的就是把自己偽裝成DNS服務(wù)器，在檢查到用戶訪問某些網(wǎng)站后，使域名解析到錯誤的IP地址。

說完DNS污染，DNS劫持又是什么呢？實際上，DNS劫持是指在劫持的網(wǎng)絡(luò)范圍內(nèi)攔截域名解析的請求，分析請求的域名并把審查范圍以外的請求放行，否則返回假的IP地址或者什么都不做使請求失去響應(yīng)，其效果就是對特定的網(wǎng)絡(luò)不能訪問或訪問的是假網(wǎng)址。換言之，DNS劫持就是通過非法手段，獲取DNS服務(wù)器的權(quán)限，然后把DNS配置進(jìn)行修改，使域名解析到錯誤的IP地址。

這樣看來，兩者看上去似乎有些相似，其區(qū)別在何處呢？首先，DNS劫持是劫持DNS服務(wù)器，進(jìn)而修改其解析結(jié)果；DNS污染是國內(nèi)某些服務(wù)器對DNS查詢進(jìn)行入侵檢測，發(fā)現(xiàn)與黑名單上匹配的請求，該服務(wù)器就偽裝成DNS服務(wù)器，給查詢者返回虛假結(jié)果。它利用了UDP協(xié)議是無連接不可靠性。也就是說，一個是劫持DNS服務(wù)器，一個是偽裝成DNS服務(wù)器，造成的結(jié)果都是返回錯誤的IP地址。

看到這里，大家都清楚了嗎~