1. 明明是一块MCU，怎么就被拿去当DNS服务器了

1.1 一块开发板逆袭成“假路由器”的底气

有朋友问我：你拿ESP32搞过那么多花活，有没有试过把它当成一台真正的“服务器”？我指的服务器不是网页点个灯那种小打小闹，而是——DNS服务器。我第一次想到这个方向也愣了一下，毕竟在绝大多数人认知里，DNS是跑在机房Linux机器上的基础设施，和一块几十块钱的开发板扯不上关系。但你把DNS拆开看，它的本质就是一台监听UDP 53端口、收到查询后回一条记录包的程序。只要设备自带网络协议栈和收发UDP的能力，理论上都能干。

ESP32能成为这个“歪门邪道”的最佳载体，核心原因是它有一个完整的WiFi协议栈加lwIP协议栈，同时还能开softAP（软AP）。这意味着ESP32不只是自己能收DNS请求，它还能把自己伪装成一个无线路由器，把整个AP内所有设备的DHCP和DNS流量全部接管过来。再加上几十块钱的硬件成本、硬币大小的体积、电池就能供电，它甚至能被塞进一个普通充电宝外壳里。你在实验室里演示时，不用扛着笔记本去找测试点，口袋里揣一块开发板就够了。

1.2 这个场景能干嘛：授权测试的典型玩法

这套玩法在无线安全领域非常典型。最常见的场景有三种。

第一种是钓鱼热点演示。把ESP32配置成一个开放热点，名字叫“FreeWiFi”或者商户名，手机连上后系统误判为“网络可以正常访问”，然后用户打开任意HTTP页面时，都会被替换成钓鱼页面。这就是标题里“NCSI欺骗 + DNS劫持”的组合拳。

第二种是网络教学演示。让学生直观理解DNS协议栈长什么样、系统是怎么判断“网络通不通”的。与其对着Wireshark包讲半天，不如让他们自己抓一个ESP32的DNS应答包，看一眼就有了肌肉记忆。

第三种是红队或IoT测试里的近源攻击验证。在授权范围内，把设备放在目标办公区域附近，模拟一个恶意热点，看终端设备有没有防范机制。

这里必须反复强调一个前提：所有这些场景都必须发生在你自己家里、实验室里，或者获得了明确授权的测试项目里。未经授权在公共场所搭这个玩意儿，性质就完全变了。后面我会专门说边界。

2. NCSI到底在检测什么：系统连上WiFi后那几秒钟的“小动作”

2.1 Windows的NCSI探测：一个txt文件定生死

在开始写欺骗逻辑之前，先弄明白系统凭什么判断“这个网络能上网”。Windows从Vista开始就有了NCSI（Network Connectivity Status Indicator，网络连接状态指示器）。你每连上一个WiFi，系统都会在后台偷偷访问一个固定的URL，判断返回内容是不是预期值。Vista到Windows 8用的是 http://www.msftncsi.com/ncsi.txt，期望返回纯文本Microsoft NCSI；Windows 10之后换成了 http://www.msftconnecttest.com/connecttest.txt，期望返回Microsoft Connect Test。如果请求超时、内容不匹配、返回302跳转，系统就在任务栏给你来个“无Internet访问”的黄色感叹号。

Windows还藏了一个特别容易忽略的DNS探测：系统会尝试解析 dns.msftncsi.com，期望的A记录是 131.107.255.255。如果你把整个DNS都劫持到本地，把这个域名也解析成192.168.4.1，Windows会认为DNS被污染或异常，同样判定网络不可用。所以做欺骗的时候，不能只处理HTTP探测，DNS探测的坑也得一并填上。

2.2 Android与iOS的探测逻辑：204还是Success

安卓从4.0开始引入Captive Portal检测机制，默认请求 http://connectivitycheck.gstatic.com/generate_204，服务器必须返回204 No Content且body为空，系统才认为“可以访问互联网”。如果返回200带页面，系统就认为这是个强制门户，会弹出“需要登录”的通知。苹果系的逻辑类似，iOS和macOS请求 http://captive.apple.com/hotspot-detect.html，期望HTTP 200且body里包含Success这个字符串。

这三个系统的检测URL和期望值完全不同，网上很多教程只提Windows，拿那套方案直接用在安卓和苹果上，结果表现为“有的手机能骗过，有的手机骗不过”。你以为是自己代码写错了，其实是没搞清楚NCSI分平台。另外，这类探测不是只在连接瞬间发生一次，系统会在网络切换、信号变化、休眠唤醒时反复触发，所以你的HTTP服务必须一直在线，不能只在开机那一刻响应。

2.3 探测失败的代价：永不消失的“无互联网”提示

为什么NCSI欺骗这么重要？因为探测失败后，系统不仅仅是在状态栏显示一个“已连接，无互联网”，它还会改变整个网络的行为策略。安卓在判定网络不可用后，会暂停大部分后台流量，应用商店直接显示无网络，很多APP的数据同步全部挂起。最关键的是，用户看到“需要登录”的提示，第一反应是换个WiFi。你的钓鱼热点搭得再精致，用户不上钩，一切都是白搭。

所以NCSI欺骗不是附加功能，而是整套方案能不能成立的前置条件。你必须先让手机相信“这个网络是通的”，手机里的APP们才愿意产生网络请求，你的DNS劫持才有机会发挥作用。搞清楚了这层逻辑，接下来就是纯实现问题。