登录
  • 人们都希望被别人需要 却往往事与愿违
  • 我的管理风格既不是美国的个人主义, 也不是日本的共识主义, 而是独特的达尔文主义(适者生存)!@比尔.盖茨

UDP 53免费上网、DNS隧道经验谈

IT那些事 Benny小土豆 13564次浏览 2758字 117个评论
文章目录[显示]
这篇文章在 2018年05月18日13:23:34 更新了哦~
郑重声明:
本文仅供研究学习技术交流,请勿用于商业及非法用途。如产生任何纠纷,与本人无关。

这是一篇回炉重炒的福利文

本文将介绍一种绕过Web认证来免费上网的姿势,不敢保证在所有网络环境下都好用,但是至少我已经享受一段时间免费的待遇了。

一. 原理简介

在连接到某个需要Web认证的热点之前,我们已经获得了一个内网IP,此时,如果我们访问某个HTTP网站,网关会对这个HTTP响应报文劫持并篡改,302重定向给我们一个web认证界面(所以点HTTPS的网站是不可能跳转到web认证页面的)。详细原理可以戳这里

我们看到了,网关(或者说交换机)都默认放行DHCP 和DNS报文,也就是UDP53与UDP 67。有些网关甚至不会报文进行检查,这也就意味着任何形式的数据包都可以顺畅通过。

既然如此,我们就可以在公网搞一台服务器,然后借此来免费上网,顺便还能防止网络审计——再一次画了删除线的"免费",其实只是把钱花在服务器上了。我们这次免费上网的主要突破点就是UDP 53,当然了,据一位朋友实践,UDP 67也可以绕过Web认证,甚至是那些UDP 53无法绕过的热点。当然啦,TCP 53也行,毕竟DNS也有TCP的。

二. 环境检测

废话不多说了,连上热点并且不要进行认证,打开cmd(或者GNU/Linux的终端),输入如下内容

nslookup www.baidu.com

这是我的结果

UDP 53免费上网、DNS隧道经验谈

我在没有进行Web认证的情况下成功查询到的IP地址,但是我们并无法确定网关是放行了UDP 53的所有数据包还是只放行了DNS报文。所以我们要进一步测试下!如果连这都过不了,那还是洗洗睡吧。好吧,说实话,脚本其实是测试TCP的53。

2016年9月10日更新:用我的这个小工具试试吧(此工具测试的其实是TCP53,但是如果允许TCP,那么UDP也肯定没问题)

项目地址
去Git仓库下载源码,之后Linux用户运行

python UDP53.py

Windows用户直接双击dist下的udp.exe吧!

下图是Windows下的运行结果UDP 53免费上网、DNS隧道经验谈

有人会问,为何你两次nslookup得到的IP不同呢?想都不用想,百度肯定是在全国各地都部署了内容分发节点,就近访问啊。

三. 实战:允许任何类型数据包通过的网关(提示congratulations)

遇到这种情况,那就是人生中最幸运的事情啦!想法很简单,既然允许任何类型是数据通过UDP 53,那我就在外网搭建一个UDP 53的服务,然后连接上就好了。

使用UDP 53的OpenVPN(UDP 67同理)

这种情况我选择搭建OpenVPN的UDP 53(或者也可以试试UDP 67),搭建方法我已经在半年前的博文《SoftEther VPN Server安装手记+福利》提到了,只需要最后开启UDP 53的OpenVPN即可。

UDP 53免费上网、DNS隧道经验谈

PS,APP Store大陆区早就封杀了OpenVPN,我来给你们提供一个美国住址来注册美区账号吧

5200 Zoo Dr,Los Angeles, CA 90027
(323) 668-0104

其实,如果是完全放行53(TCP、UDP),那么弄个Shadowsocks也行,开个全局呗。
如果此时抓包,咱能发现,wireshark会告诉咱DNS协议下那些都是malformed packet,必然呐……

四. 实战:仅允许DNS报文通过的网关(提示sad face)

这种情况下,我劝你还是放弃吧。但是并不是不可以免费上网,有一种技术叫做DNS隧道,还有Ping隧道→_→人们为了免费上网还真是什么方法都用上了啊。

据称在某些情况下DNS隧道效果也很好,我没有测试过

万能的SoftEther VPN Server同样提供了这个略显鸡肋的功能

加密与网络-VPN over ICMP / DNS 设置

UDP 53免费上网、DNS隧道经验谈

注意,需要使用SoftEther VPN Client 管理工具4.0以上,VPN over DNS不可以与OpenVPN with UDP 53共存。

之后在SoftEther VPN Client 管理工具中新建连接,填入相关信息即可。

这里我的测试不太多,我从国外论坛上找到这么一句话:

Softether client got it's TCP protocol on top of it's priority as it's the stable one, UDP on Nat-t comes next, then ICMP and then DNS. of all these protocol only the vpn over DNS did not work for me as it fails to retrieve the right ip and gateway.

SoftEther VPN Client先尝试TCP协议,然后尝试UDP on Nat-t,然后再Ping隧道和DNS隧道。

下图是勉强成功建立DNS隧道的截图。

UDP 53免费上网、DNS隧道经验谈

五. 注意事项

1.速度

允许所有数据包通过UDP 53的情况下,速度主要取决于你的服务器的出网带宽热点本身的网速

2.IP问题

服务器在外地,所以淘宝支付宝之类的需要验证码之类的。以后如果申诉也要记得把登陆地区选上服务器所在地。

3.安全问题

某些热点是公开的、没有密码保护的,所以可以很轻松的搞中间人攻击——甚至是root的Android手机都可以做到。而OpenVPN可以防止中间人攻击(配置文件里有服务器的证书),同时我使用了AES-128-CBC加密,搞定网络审计简直是轻轻松松的。

六. 服务器的选购

国内VPS价格普遍离谱,恰巧我还是学生党,也算捡到了大便宜→_→不是学生党谁想着免费上网的心思啊?

其实大部分人最关心的问题还是速度吧!

UDP 53的OpenVPN速度主要限制就在热点本身的速度和服务器的出口带宽速度。腾讯云学生版带宽都是1Mbps,所以限制基本就是服务器出口带宽了……

所以下面给大家贴出来我在腾讯云和阿里云撕逼的经验(传说七牛今年也会推出云主机,我很期待啊

腾讯云:

策略是,每个月赠送"满65元减64元"优惠券,包年包月1核1G内存1Mbps恰巧是65元。至于你怎么凑满那65元,是没有限制的。但说实话,要是选择按流量计费,那流量是很不耐用的...!

阿里云:

价格要比腾讯云稍微贵一点点(接近十块钱),但是可以在购买界面直接选择其他数值的峰值带宽,并且每月赠送15G出网流量。

但是,他丫的要签到!自己看去……

UDP 53免费上网、DNS隧道经验谈

国内学生云服务器优惠也就这两个马家了……

七.买不起服务器、不会搭建、网速太慢

这你叫我咋办。

八. 最后

给大家看看百度的广告,或者是"推广"吧。

TMD整个第一屏都是广告,没有一个字和学生二字贴边。

UDP 53免费上网、DNS隧道经验谈

 


文章版权归原作者所有丨本站默认采用CC-BY-NC-SA 4.0协议进行授权|
转载必须包含本声明,并以超链接形式注明原作者和本文原始地址:
https://www.bennythink.com/udp53.html
喜欢 (49)
分享:-)
Benny小土豆
关于作者:
If you have any further questions, feel free to contact me in English or Chinese.
发表我的评论(代码和日志请使用Pastebin或Gist)
取消评论

                     

去你妹的实名制!

  • 昵称 (必填)
  • 邮箱 (必填,不要邮件提醒可以随便写)
  • 网址 (选填)
(117)个小伙伴在吐槽
  1. 大神,冒昧打扰您。 我nslookup可以通,openvpn udp53端口连不上,67 68都可以连上但是速度极慢,用的是内网的一台服务器,我们内网也需要认证。 dns隧道我试过也是连不上,请大神指示。
    小烂毛2018-09-26 18:14 回复
    • Benny小土豆
      67 68连到的是内网的需要认证的服务器?那有什么用嘛……
      Benny小土豆2018-09-27 12:01 回复
      • 你好,那台电脑是不需要认证的,而我在的宿舍是需要认证的,表达有误, :mrgreen:
        小烂毛2018-09-27 12:03 回复
        • Benny小土豆
          那这么说来,如果未认证时你和内网的服务器是通的话,任意端口的openVPN都是可以的;如果不通的话,那就只能尝试特殊端口了,比如53 67 68 等……
          Benny小土豆2018-09-27 12:08
  2. 博主,请问下vpn over dns和openpvn with udp53不能兼容是指我在softether的配置客户端里将udp端口设置成53后会打不开vpn over dns因为这样53就被占用了是嘛? 但是如果我单纯打开vpn over dns然后把端口设置成默认的1194好像并没有办法绕过校园网验证啊
    x1nc3nt2018-09-22 05:10 回复
    • Benny小土豆
      试试67 68
      Benny小土豆2018-09-22 10:00 回复
  3. 嗯嗯不过不知道会不会被学校顺着网线来找我的呀,怕学校会留后门什么的
    lay2018-09-09 14:24 回复
1 2