各种疑似DGA域名大全

在网络流量检测中，经常有疑似DGA域名或者域名长度异常等的告警。后来分析，一般都是中文域名经过编码之后变得奇奇怪怪。现在收集几种域名编码，并且记下解码的方式。

1、斜杠数字域名。

www.\230\156\186\230\158\132\228\191\161\230\129\175\229\143\152\230\155\180\231\148\179\232\175\183.com www.\230\156\186\230\158\132\228\191\161\230\129\175\229\143\152\230\155\180\231\148\179\232\175\183.edu www.\230\156\186\230\158\132\228\191\161\230\129\175\229\143\152\230\155\180\231\148\179\232\175\183.net www.\230\156\186\230\158\132\228\191\161\230\129\175\229\143\152\230\155\180\231\148\179\232\175\183.org

此类域名是经过utf-8转换之后的中文？目前似乎没有现成的在线转换工具，需要手动转码

方法详见：https://blog.youkuaiyun.com/caimo/article/details/10960285。是将每个数字转换为8进制,再转换为16进制。

然而，上面的网址里有8和9，明显不是8进制的。其实这是url解码的一种变形，直接转换成16进制就可以了。

转完成为%XX的形式，再使用url转码工具，可破。

2、xn--域名

www.xn--fhqzhq0gsrd57ikzfx0dc2l89jf12d65ctw2cshaq74n.edu
www.xn--fhqzhq0gsrd57ikzfx0dc2l89jf12d65ctw2cshaq74n.com
www.xn--fhqzhq0gsrd57ikzfx0dc2l89jf12d65ctw2cshaq74n.org
www.xn--fhqzhq0gsrd57ikzfx0dc2l89jf12d65ctw2cshaq74n.net
这实际上是一种叫punnycode的编码，也是为了中文域名能够正常使用而开发的，同时也支持各种非ascii字符。解码网站在这里：http://tools.jb51.net/punycode/

3、待续……