域名劫持的检测方法

先看回的 ip 对不对

域名劫持的检测方法。先别翻后台。 从几个地方各问一次。看回的 ip。 我这台回了什么。别人那台回了什么。 两边一样。先别怀疑。两边不一样。再往下查。

我一开始只查了本机

我一开始只看本机。改了 hosts。还是老样子。 试了半天才发现。问题在出口那一侧。 这里我记一下。本机干净也不代表没事。

四个地方各问一次

本机问一次。换一家 dns 再问一次。 外地机器问一次。手机流量再问一次。 四个答案摆一起。有分歧就有线索。

看回的是哪个段

180.101.49.44 是南京电信。180.101.51.73 也是南京电信。 183.2.172.177 是广州电信。124.237.178.212 是保定电信。 183.240.99.224 是广州移动。223.109.82.212 是南京移动。 那么回的段眼熟不眼熟。陌生的段先记下来。

用宝塔拨测的网站测速。多地区跑一轮。看各地回的 ip 是不是同一批。

这次的数据

24 个节点跑一轮。另一轮 22 个。 江苏宿迁电信 7075ms。第二轮 7657ms。 福建厦门联通 4004ms。山东日照日照联通 158ms。广西河池移动 136ms。 那么 ip 都对得上。这两轮没看到被换。 慢是慢。慢不等于劫持。

再看几个旁证

证书 issuer 变没变。变了先记一笔。 页面标题对不对。有没有跳走。这算一条。 ttl 从一小时变六十秒。也算一条。 那么几条一起看。单看一条容易误判。

结论怎么记

时间。地点。网络。回的 ip。四样写一行。 然后两次记录摆一起。才看得出动没动。

域名被换过。ip 会变。页面会跳。证书也会变。三样一起动。基本能定。