About.Domains

在浏览器里，网址是判断自己在哪的依据；进了应用，它常常被藏起来。域名并没有消失，只是被界面盖住了。

地址栏里的小锁，说明你和网站之间的内容被加密了。它证明不了这个网站是好人：仿冒银行、电商的钓鱼站，同样挂得上小锁。

ICANN 对域名系统滥用有明确的合同定义，只包含五类：僵尸网络、恶意软件、域名欺骗、钓鱼，以及被用来投递前几类时的垃圾邮件。这个范围比日常说的"网上坏事"窄得多。

域名劫持是有人拿到了域名注册权的控制，改掉持有者信息、把域名转到别处。它和改解析不一样：改解析只是把流量指走，域名还在你名下；劫持是把域名本身拿走。

保护性解析服务是在公共解析器里内置一份恶意域名名单：查到名单上的域名就直接拦下，不把真实地址交出去。设备改一下解析设置就能用，不用装任何软件。

DoT 是把域名查询放进 TLS 加密通道里传输的做法，用固定的 853 端口。它和 DoH 的加密强度一样，区别在端口：853 一眼能认出是加密的域名查询，443 则混在普通网页流量里。

攻击者用伪造的源地址向大量开放解析器发查询，解析器把放大的应答发给被冒充的受害者。一次几十字节的请求能换来上千字节的回应，带宽成倍放大，源头却查不到。

响应策略区让递归解析器在返回结果前先查一份规则表，命中的域名可以被改成"不存在"、指向别处或者直接丢弃。规则表本身也是一份域名数据，靠区文件传送定期更新。

区文件传送是主名称服务器把整个区的数据复制给备用服务器的机制。它本身是正常操作，但如果没限制来源，任何人一条命令就能把整个区的记录拉走，包括从没公开过的内部主机名。

域名扣押是执法机构凭法院搜查令直接把域名收走，原持有人失去解析控制权，访问者看到的是查封公告。被扣的是域名，服务器通常还在，换个地址依旧能访问。

证书透明度是一套公开的证书登记日志，签发的每一张公开证书都要记进去。任何人都能查某个域名签过哪些证书，包括不是本人申请的那些。

子域名接管是一条指向外部服务的记录没跟着服务一起删掉，别人把那个服务上的同名资源重新注册，就能在属于你的子域名上放内容。

DNS 沉洞是把恶意域名的解析指向一个受控地址的做法，让被感染的设备连不上攻击者的服务器。它既切断通信，也能反过来统计出有多少设备中招，是应对僵尸网络的常用手段。

域名生成算法是恶意软件用来生成大量域名的一种方法，目的是让它和背后的控制服务器碰头。软件每天算出成千上万个候选域名，攻击者只需注册其中几个。这样即使某些域名被封，僵尸网络也不会断线。

DNS 隧道是把数据藏在域名系统查询里传输的方法。因为几乎所有的网络都允许 DNS 查询通过，攻击者可以把要外传的数据编码进域名，发给自己控制的服务器，防火墙往往看不出来。它常被用来在入侵后建立隐蔽通道。

登录