、請求示例與風(fēng)險分級解讀)
排查“域名解析異常”“被運營商插廣告”這類問題時光查一條 DNS 記錄不夠需要對比多個解析源的返回結(jié)果。DNS 劫持檢測接口通過多家公共 DoH 并發(fā)查詢同一域名并比對結(jié)果給出風(fēng)險分級。本文從第一次調(diào)用講起。一、適用場景解析異常排查用戶反饋域名打不開判斷是本地污染還是服務(wù)端問題。安全巡檢對關(guān)鍵域名做定期檢測發(fā)現(xiàn)解析被篡改的跡象。CDN 與 GeoDNS 核查查看是否存在異常地域分流。終端 hosts 排查對比公共 DoH 結(jié)果輔助判斷本機解析是否被改。需要明確接口給出的是“基于多源對比的風(fēng)險判斷”不是對劫持行為的取證結(jié)論業(yè)務(wù)上應(yīng)作為排查線索而非最終裁決。二、接口能力邊界項目說明請求方法GET參數(shù)domain查詢源4 家公共 DoH 并發(fā)查詢記錄類型A AAAA 同時查詢IPv4 / IPv6附加信息CNAME 鏈路、TTL 匯總風(fēng)險分級safe / safe_with_geodns / suspicious / hijack_likely / unknown輸入兼容domain、https://domain、domain:port、domain/path 自動剝離參與對比的 DoH 服務(wù)器來源說明AliDNS阿里云中國DNSPod騰訊中國360 安全 DNS中國Cloudflare美國在中國大陸服務(wù)器側(cè)可能超時會被標(biāo)記為 timeout關(guān)鍵點Cloudflare 出現(xiàn)timeout是已知現(xiàn)象單看這一項超時不能直接判定為風(fēng)險要結(jié)合其余三家的結(jié)果與整體分級來看。三、請求參數(shù)與鑒權(quán)參數(shù)只有一個參數(shù)說明domain待檢測域名支持多種輸入格式自動剝離協(xié)議、端口與路徑鑒權(quán)方式與請求頭字段素材未給出以文檔為準(zhǔn)。這是GET請求參數(shù)放在查詢字符串中接入前請確認(rèn)是否需要攜帶 Key。四、最小請求示例下面是一個可復(fù)制的 curl 模板curl -X GET https://v1.apizero.cn/api/dns-check?domainexample.com帶協(xié)議頭的輸入也能直接傳接口會自動剝離curl -X GET https://v1.apizero.cn/api/dns-check?domainhttps://example.com對應(yīng)的 Python 調(diào)用示例import requests def check_dns_hijack(domain: str, api_key: str | None None) - dict: headers {} if api_key: headers[Authorization] fBearer {api_key} resp requests.get( https://v1.apizero.cn/api/dns-check, params{domain: domain}, headersheaders, timeout20, # 多源并發(fā)查詢超時給寬一些 ) resp.raise_for_status() return resp.json()超時建議比普通查詢放寬因為接口內(nèi)部要并發(fā)等待多家 DoH 返回。五、返回值解讀風(fēng)險分級是核心結(jié)果五檔含義如下具體判定規(guī)則以文檔為準(zhǔn)分級含義理解safe多家結(jié)果一致未發(fā)現(xiàn)異常safe_with_geodns結(jié)果差異可由正常 GeoDNS 分流解釋suspicious存在可疑差異需人工復(fù)核hijack_likely多源結(jié)果顯著不一致疑似劫持unknown數(shù)據(jù)不足或查詢源多數(shù)失敗無法判斷除分級外還應(yīng)關(guān)注 A/AAAA 記錄、CNAME 鏈路與 TTL 匯總。CNAME 鏈路能看出是否經(jīng)過 CDN 跳轉(zhuǎn)TTL 能輔助判斷緩存影響。一個防御式解析示例字段名請按文檔實際返回替換LEVELS {safe, safe_with_geodns, suspicious, hijack_likely, unknown} def parse_check(payload: dict) - dict: level payload.get(level) or payload.get(risk) # 字段名以文檔為準(zhǔn) if level not in LEVELS: level unknown sources payload.get(sources) or {} timeouts [name for name, info in sources.items() if isinstance(info, dict) and info.get(status) timeout] return { level: level, timeout_sources: timeouts, need_manual_review: level in (suspicious, hijack_likely), }處理邏輯建議suspicious與hijack_likely進入人工復(fù)核隊列unknown先重試一次再判定safe_with_geodns不必告警。六、常見錯誤與排查現(xiàn)象可能原因排查方向參數(shù)錯誤domain為空或格式非法傳標(biāo)準(zhǔn)域名其余格式由接口剝離超時查詢源響應(yīng)慢Cloudflare 側(cè)可能超時放寬超時看是否為單源超時結(jié)果為 unknown多數(shù)查詢源失敗或數(shù)據(jù)不足稍后重試檢查域名是否可解析分級與預(yù)期不符GeoDNS 正常分流被誤判結(jié)合 CNAME 與 A 記錄人工復(fù)核鑒權(quán)失敗需要 Key 但未攜帶以文檔為準(zhǔn)補充請求頭注意單個來源timeout屬于正?，F(xiàn)象不要把它當(dāng)成劫持證據(jù)也不要在這種情況下直接告警。七、工程化注意事項超時設(shè)置多源并發(fā)查詢耗時更長客戶端超時應(yīng)顯著大于單次 DNS 查詢。分級映射本地維護五級枚舉未知值統(tǒng)一歸入unknown避免展示層崩潰。告警策略只對hijack_likely直接告警suspicious走人工復(fù)核unknown重試后再定。來源記錄保存各 DoH 的返回與超時情況便于復(fù)盤誤判。巡檢頻率域名安全巡檢按小時或按天做即可不宜高頻調(diào)用。結(jié)果展示把 CNAME 鏈路和 TTL 一并展示給排查人員比只給一個分級更有用。參考文檔接口文檔 DNS 劫持檢測接口接入教程：domain 參數(shù)、請求示例與風(fēng)險分級解讀
排查“域名解析異常”“被運營商插廣告”這類問題時光查一條 DNS 記錄不夠需要對比多個解析源的返回結(jié)果。DNS 劫持檢測接口通過多家公共 DoH 并發(fā)查詢同一域名并比對結(jié)果給出風(fēng)險分級。本文從第一次調(diào)用講起。一、適用場景解析異常排查用戶反饋域名打不開判斷是本地污染還是服務(wù)端問題。安全巡檢對關(guān)鍵域名做定期檢測發(fā)現(xiàn)解析被篡改的跡象。CDN 與 GeoDNS 核查查看是否存在異常地域分流。終端 hosts 排查對比公共 DoH 結(jié)果輔助判斷本機解析是否被改。需要明確接口給出的是“基于多源對比的風(fēng)險判斷”不是對劫持行為的取證結(jié)論業(yè)務(wù)上應(yīng)作為排查線索而非最終裁決。二、接口能力邊界項目說明請求方法GET參數(shù)domain查詢源4 家公共 DoH 并發(fā)查詢記錄類型A AAAA 同時查詢IPv4 / IPv6附加信息CNAME 鏈路、TTL 匯總風(fēng)險分級safe / safe_with_geodns / suspicious / hijack_likely / unknown輸入兼容domain、https://domain、domain:port、domain/path 自動剝離參與對比的 DoH 服務(wù)器來源說明AliDNS阿里云中國DNSPod騰訊中國360 安全 DNS中國Cloudflare美國在中國大陸服務(wù)器側(cè)可能超時會被標(biāo)記為 timeout關(guān)鍵點Cloudflare 出現(xiàn)timeout是已知現(xiàn)象單看這一項超時不能直接判定為風(fēng)險要結(jié)合其余三家的結(jié)果與整體分級來看。三、請求參數(shù)與鑒權(quán)參數(shù)只有一個參數(shù)說明domain待檢測域名支持多種輸入格式自動剝離協(xié)議、端口與路徑鑒權(quán)方式與請求頭字段素材未給出以文檔為準(zhǔn)。這是GET請求參數(shù)放在查詢字符串中接入前請確認(rèn)是否需要攜帶 Key。四、最小請求示例下面是一個可復(fù)制的 curl 模板curl -X GET https://v1.apizero.cn/api/dns-check?domainexample.com帶協(xié)議頭的輸入也能直接傳接口會自動剝離curl -X GET https://v1.apizero.cn/api/dns-check?domainhttps://example.com對應(yīng)的 Python 調(diào)用示例import requests def check_dns_hijack(domain: str, api_key: str | None None) - dict: headers {} if api_key: headers[Authorization] fBearer {api_key} resp requests.get( https://v1.apizero.cn/api/dns-check, params{domain: domain}, headersheaders, timeout20, # 多源并發(fā)查詢超時給寬一些 ) resp.raise_for_status() return resp.json()超時建議比普通查詢放寬因為接口內(nèi)部要并發(fā)等待多家 DoH 返回。五、返回值解讀風(fēng)險分級是核心結(jié)果五檔含義如下具體判定規(guī)則以文檔為準(zhǔn)分級含義理解safe多家結(jié)果一致未發(fā)現(xiàn)異常safe_with_geodns結(jié)果差異可由正常 GeoDNS 分流解釋suspicious存在可疑差異需人工復(fù)核hijack_likely多源結(jié)果顯著不一致疑似劫持unknown數(shù)據(jù)不足或查詢源多數(shù)失敗無法判斷除分級外還應(yīng)關(guān)注 A/AAAA 記錄、CNAME 鏈路與 TTL 匯總。CNAME 鏈路能看出是否經(jīng)過 CDN 跳轉(zhuǎn)TTL 能輔助判斷緩存影響。一個防御式解析示例字段名請按文檔實際返回替換LEVELS {safe, safe_with_geodns, suspicious, hijack_likely, unknown} def parse_check(payload: dict) - dict: level payload.get(level) or payload.get(risk) # 字段名以文檔為準(zhǔn) if level not in LEVELS: level unknown sources payload.get(sources) or {} timeouts [name for name, info in sources.items() if isinstance(info, dict) and info.get(status) timeout] return { level: level, timeout_sources: timeouts, need_manual_review: level in (suspicious, hijack_likely), }處理邏輯建議suspicious與hijack_likely進入人工復(fù)核隊列unknown先重試一次再判定safe_with_geodns不必告警。六、常見錯誤與排查現(xiàn)象可能原因排查方向參數(shù)錯誤domain為空或格式非法傳標(biāo)準(zhǔn)域名其余格式由接口剝離超時查詢源響應(yīng)慢Cloudflare 側(cè)可能超時放寬超時看是否為單源超時結(jié)果為 unknown多數(shù)查詢源失敗或數(shù)據(jù)不足稍后重試檢查域名是否可解析分級與預(yù)期不符GeoDNS 正常分流被誤判結(jié)合 CNAME 與 A 記錄人工復(fù)核鑒權(quán)失敗需要 Key 但未攜帶以文檔為準(zhǔn)補充請求頭注意單個來源timeout屬于正?，F(xiàn)象不要把它當(dāng)成劫持證據(jù)也不要在這種情況下直接告警。七、工程化注意事項超時設(shè)置多源并發(fā)查詢耗時更長客戶端超時應(yīng)顯著大于單次 DNS 查詢。分級映射本地維護五級枚舉未知值統(tǒng)一歸入unknown避免展示層崩潰。告警策略只對hijack_likely直接告警suspicious走人工復(fù)核unknown重試后再定。來源記錄保存各 DoH 的返回與超時情況便于復(fù)盤誤判。巡檢頻率域名安全巡檢按小時或按天做即可不宜高頻調(diào)用。結(jié)果展示把 CNAME 鏈路和 TTL 一并展示給排查人員比只給一個分級更有用。參考文檔接口文檔