域名居然可以被人免费试用半年之久

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

DNS 参考资料

› List of DNS Record Types

› dig 使用说明

› djbdns

› DNS Parameters

› dnslib for Python

这是一个创建于 1305 天前的主题，其中的信息可能已经有所发展或是发生改变。

具体是这样的：半年前我在 nameslio 上注册了一个域名，然后将 dns 改成 dnspod 的域名后就没管它，今天来使用绑定在 dnspod 时候提示被人使用中，需要修改一个 txt 记录取回，当我取回后发现提示该域名在 dnspod 上有违规被封禁，完蛋，新域名就死于胎中，

发现 dnspod 有个漏洞，如果别人将域名 dns 改成 dnspod，dnspod 的任意账户都可以接入

dnspod

域名

DNS

取回

31 条回复 • 2020-09-21 12:34:51 +08:00

Lentin

2020-09-20 17:04:53 +08:00

这个不是 dnspod 的漏洞，是你没有认领导致的、、

Ptu2sha

2020-09-20 17:05:50 +08:00

上次我记得有个小哥发过类似的系统控制别人的域名

herozzm

2020-09-20 17:06:30 +08:00

@Lentin 我不认领并不代表我不要啊，也不能给别人啊

just1

2020-09-20 17:08:36 +08:00

dns 都改了不就代表确认了吗，请问还有什么方式可以确认是你
你在哪家都这样

herozzm

2020-09-20 17:09:36 +08:00

@just1 我觉得可以在原 dns 上加一条 txt 记录和你的 dnspod 对应，验证成功方可接入，和取回原理一直

chinvo

2020-09-20 17:12:26 +08:00

@herozzm #5 有一些服务商自己不提供 dns，这种时候该咋“加一条记录”

而注册局端的 NS 记录，是可以设置为空的，如果自己决定要久悬不用，为啥不设为空值

所以这个不是 DNS 服务商的漏洞，而是域名持有者个人疏忽

herozzm

2020-09-20 17:14:17 +08:00

@chinvo
@just1
如果我修改了 dns 的地址，结果在 dnspod 上有人之前一步绑定，我没抢赢怎么办

just1

2020-09-20 17:15:41 +08:00

@herozzm #7 就像你这样办

herozzm

2020-09-20 17:16:21 +08:00

凉拌了，换域名

Rhinecho

2020-09-20 17:19:44 +08:00 via iPhone

dnspod 上有违规又不影响你用 alidns nsone route53 constellix cloudflare dnsmadeeasy azuredns cloudns misakaio
换个 dns 提供商就行了

herozzm

2020-09-20 17:21:17 +08:00

@Rhinecho 估计被人用成黑历史了，对自己网站估计有影响，不敢用了，只能换新

Rhinecho

2020-09-20 17:22:58 +08:00 via iPhone

@herozzm 是指搜索引擎的收录吗，那应该是有的...

herozzm

2020-09-20 17:27:20 +08:00

@Rhinecho 嗯是的，因为不确定它是怎么违规的，估计是黑产

opengps

2020-09-20 17:47:35 +08:00 via Android

算不上漏洞。但是能被人成功接管走，确实需要反思下是不是泄露了什么数据

imdong

2020-09-20 17:51:57 +08:00

黑灰产惯用手法，这个基本上正确做法是先在 DNS 添加域名，然后在修改注册商这边的 DNS 。

在群里和官方反馈过，基本无解。他们也只能监控异常账户进行封禁。

laoyur

2020-09-20 18:25:23 +08:00

以前有个老哥来这卖这个方案的，刷 CF 的接入

Maskeney

2020-09-20 18:28:56 +08:00

“NS 指向 DNSPOD 之后就没管它”

sheeta

2020-09-20 18:47:51 +08:00

所有这个时候 cloudflare 的优点就体现出来了

zsdroid

2020-09-20 19:28:37 +08:00

注册了就没管它？？土豪还缺朋友吗？

masker

2020-09-20 19:31:09 +08:00 via Android

遇事不决网站漏洞？

chinvo

2020-09-20 19:36:33 +08:00

@opengps #14 已注册的域名都是能查 whois 的，有一些人就脚本刷这种“漏洞”域名

hatebugs

2020-09-20 20:10:45 +08:00 via Android

你自己买的域名后修改下 ns 呀，不然有这种可能

mschultz

2020-09-20 20:15:18 +08:00

Cloudflare 优点体现出来了 +1

What's the story behind the names of CloudFlare's name servers?

https://blog.cloudflare.com/whats-the-story-behind-the-names-of-cloudflares-name-servers/

iburu

2020-09-20 20:21:30 +08:00 via Android

mcone

2020-09-20 21:42:36 +08:00

大概几年前我见过有一个老哥在 V 站“卖”自己的 AdSense 域名群的，域名数量巨大，收益明显不够域名的成本，被人追问遮遮掩掩，十有八九是薅你这种人羊毛的……
你要是能找到那个帖子联系到楼主，搞不好还能在 list 里面见到自己的域名……哈哈

anguiao

2020-09-20 22:25:59 +08:00

确实是，我以前也碰过类似的情况

2020-09-20 23:44:18 +08:00

这就好比把自己家钥匙插门上不管它，大概率是有可能会进贼的。

jiangzm

2020-09-21 00:25:08 +08:00

是都可以添加，但是能验证成功的只有 owner，这叫哪门子漏洞?

nbweb

2020-09-21 09:06:50 +08:00

买来的域名，第一时间改 ns 。

tankeji

2020-09-21 10:13:41 +08:00

我一直觉得这个接入不对

misty8873

2020-09-21 12:34:51 +08:00

因为你之前别人也有用过这个域名，到期了人家也没有删除罢了。。。