有人排查家里宽带网络异常，抓包发现运营商正在 53 端口上明目张胆地劫持所有未加密的 DNS 解析。 原理非常粗暴：运营商在骨干链路直接挂旁路分光设备，只要… · @fishjar · TwKit

@fishjar

有人排查家里宽带网络异常，抓包发现运营商正在 53 端口上明目张胆地劫持所有未加密的 DNS 解析。 原理非常粗暴：运营商在骨干链路直接挂旁路分光设备，只要检测到发往公共 DNS（比如 8.8.8.8 或 1.1.1.1）的标准 UDP 53 请求，立刻伪造一个带污染 IP 的应答包抢先返回。因为 UDP 无握手验证，本地客户端直接采纳了最快到达的伪造响应，把正规响应静默丢弃。 这种把戏只对明文 UDP 有效。一旦路由网关强行开启基于 TLS 的 DoH（DNS-over-HTTPS）或者 DoT，旁路设备看不懂 SNI 报文就只能原样放行，虚假抢答当场失效。 只要出口协议还是裸奔的明文，你的本地网关就不是你自己的。 完整分析：https://www.karthihegde.dev/posts/dns_tampering

曝光 12 · 评论 1 · 点赞 1 · 书签 0