456主机测评
最近DGA检出了一堆阿里高防的域名，例如：u3mbyv2siyaw2tnm.gfnormal09aq.com，然后专门查找了下相关文档。
例如 8264.com 这个网站启用了aliyun的高防ddos。
dig 8264.com 可以看到：
; <<>> DiG 9.10.3-P4-Ubuntu <<>> 8264.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 2432
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 0
;; QUESTION SECTION:
;8264.com. IN A
;; ANSWER SECTION:
8264.com. 120 IN CNAME qaz2d84guo7uz5q2.gfnormal01at.com.
qaz2d84guo7uz5q2.gfnormal01at.com. 120 IN A 116.211.174.228
;; Query time: 152 msec
;; SERVER: 223.6.6.6#53(223.6.6.6)
;; WHEN: Thu Mar 29 19:10:53 CST 2018
;; MSG SIZE rcvd: 86
然后将真实机器的源IP藏到了aliyun的高防IP之下，也就是116.211.174.228。
看了下阿里云的高防DDoS文档，见：https://help.aliyun.com/document_detail/35165.html?spm=a2c4g.11186623.6.573.T16zuM
本质上高防DDoS就是代理机器，所有对源站的请求都会先到高防IP的机器上，经过DDoS清洗，再将清洗后的流量发给源站。
修改DNS解析，使所有用户的访问都先经过DDoS高防再回到源站（相当于将所有流量长牵引到高防IP）。
各个DNS解析提供商的配置原理相同，具体配置步骤可能有细微差别，本文以万网配置为例。
注意：如果您的域名解析不支持或者无法配置CNAME解析（例如，已配置MX记录的域名会提示@主机记录和MX记录冲突），可以使用A记录进行域名解析。配置方法与普通A记录配置方法相同。
推荐按照以下方式进行A记录解析配置：
注意：请务必确保把所有业务都切换到DDoS高防，不然恶意攻击者还是能够通过未解析到DDoS高防的业务找到源站服务器IP地址，从而绕过DDoS高防直接攻击源站。
- 海报
