### [某园区网DNS劫持证明](https://www.jiyueip.com/topic/1860)

**Published:** 2026-03-05T11:20:56

**Author:** 斑斓

**Excerpt:** 通过自建 Unbound 递归 DNS 与 DNSSEC 验证分析园区网络中的 DNS 响应异常，说明运营商递…

默认情况下，终端通常不直接执行域名迭代查询，递归查询任务交给运营商的 DNS 服务器，由于递归过程对客户端透明，攻击者易通过路径劫持或缓存投毒篡改响应结果。为了判断DNS是否被劫持，我使用unbound作为自建DNS服务器，直接向根服务器发起查询。域名系统安全扩展（DNSSEC）可以让我们初步判断DNS是否被修改

电信家宽：

![](https://img.jiyueip.com/wp-content/uploads/2026/03/20260305192019835.png)

验验证了 Unbound 作为本地递归服务器可正常工作，所有迭代请求均由本地公网出口 IP 直接发起，解析路径具有完整控制权

![](https://img.jiyueip.com/wp-content/uploads/2026/03/20260305192032720.png)

某学校校园网：

即便配置 Unbound 直连根域，测试结果显示存在非预期的解析器 IP。这证明网络中存在 DNS 透明代理。同时，由于中间设备可能剥离了 DNSSEC 相关资源记录，导致信任链断裂，DNSSEC 校验被阻断。

![](https://img.jiyueip.com/wp-content/uploads/2026/03/20260305192047662.png)

![](https://img.jiyueip.com/wp-content/uploads/2026/03/20260305192055244.png)



---