防 DNS 污染方案_历史上的今天的博客-CSDN博客
防 DNS 污染方案
历史上的今天
于 2016-10-28 19:44:45 发布
3310
收藏
文章标签：
请求
网络
方法
信息
服务器
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/byeweiyang/article/details/80126072
版权
作者简介： 陈宜龙，iOS开发工程师，现任职于LeanCloud，热爱开源与分享，GitHub 获得的Star数过万，其中 《iOS9适配系列教程》 一度成为该领域最有影响力的教程。 StackOverFlow 威望值高达4000。同时也是多个开源项目的维护者： CYLTabBarController、LeanCloud-iOS-SDK、ChatKit 、iOSInterviewQuestions、ParseSourceCodeStudy 等。
DNS出问题的概率其实比大家感觉的要大，首先是DNS被劫持或者失效，2015年初业内比较知名的就有 Apple 内部 DNS 问题导致 App Store、iTunes Connect 账户无法登录；京东因为 CDN 域名付费问题导致服务停摆。
另一个常见问题就是 DNS 解析慢或者失败，例如国内中国运营商网络的 DNS 就很慢，一次 DNS 查询的耗时甚至都能赶上一次连接的耗时，尤其 2G 网络情况下，DNS 解析失败是很常见的。因此如果直接使用 DNS，对于首次网络服务请求耗时和整体服务成功率都有非常大的影响。
DNS 劫持、污染一般是针对递归 DNS 服务器的 DNS 劫持攻击，
DNS 系统中有两种服务角色：递归 DNS 和授权 DNS。本质上来说，授权 DNS 控制网站的解析；递归 DNS 只起缓存的作用。所以跟广大站长关系比较大的是授权 DNS，也就是在域名注册商处填写的 DNS 地址。而网民使用的则是递归 DNS。 见：https://support.dnspod.cn/Kb/showarticle/tsid/186/
现实中的问题：
DNS解析时间过长 像 iOS 系统一般是24小时之后会过期，还有进入飞行模式再切回来，开关机，重置网络设置等也会导致DNS cache的清除。所以一般情况下用户在第二天打开你的app都会经历一次完整的DNS解析请求，网络情况差的时候会明显增加应用请求的总耗时。DNS劫持，不可以被信任的运营商，不可以被信任的 DNS 解析服务。 DNS 在设计之初是基于 UDP 的，显然这样的设计不能满足当今社会的准确性的需求，于是涌现了如 DNSPod 这样的基于 HTTP 的 DNS 解析服务。但是当时为什么这样设计，实际也很好理解，UDP 效率高，一来一回网络上传输的只有两个包，而 HTTP则需要三次握手三个包，再一拆包，就需要四个包。这是受限于当时整个社会的带宽水平较低，而现在没人会感激 UDP 所节省的流量，所有人都在诟病DNS污染问题。
图为360向大家们示范什么是 DNS 劫持:
运营商 DNS 劫持问题中，中国移动最为严重，
某些地区的中国移动还有个简单粗爆的域名检查系统，包含 av 字样的域名一率返回错误的 IP，
LeanCloud 之前叫做 AVOSCLoud，域名是：https://cn.avoscloud.com，嗯，我们很受伤。
后来我们改名了，域名也切换到了 api.leancloud.cn，我们用户的 DNS 问题已经大大的减少了。
鬼知道我们经历了什么。
虽然这个事件并不典型，但也足以说明，这个一个不可靠的服务，你无法掌控它的拦截规则。
而且黑产与各地运营商的一些“合作”也会导致 DNS 劫持。
原有的解决方法：简单粗暴投诉运营商。
传统的解决方法：投诉
诊断方法步骤：
iOS 用户推荐 iNetToolsAndroid 用户推荐 LanDroid ping 响应时间，100（单位默认为 ms）以下都是可以接受的，高于 100 ms 会感到缓慢 移动环境下，向中国移动打 10086 电话投诉，告之受影响的域名及 DNS 服务器的 IP，才能解决问题。 如果是在无线网络情况下， DNS 异常，则请通过路由器的 DHCP 设置，将默认的 DNS 修改为正常的 DNS（推荐 114.114.114.114），并重启路由器即可。
投诉到中国移动后 48 小时问题仍未解决的话，依据中国相关法律法规规定，可以向工信部申诉，网址是 http://www.chinatcc.gov.cn:8080/cms/shensus/，这里最好是以邮件的方式申诉，将具体细节和截图写在邮件里发送给 accept@chinatcc.gov.cn，工信部的相关同学最早会在第 2 天回电话并催促中国移动。
申诉邮件的内容需要包括两个部分:
一是申诉者的姓名、身份证号码、通信地址、邮编、联系电话、申诉涉及到的电话号码、电子邮件、申诉日期 二是被申诉企业名称、申诉内容（详情）、是否向企业申诉过（一定要先向企业投诉，无效后工信部才能受理，直接找工信部的不受理），最后要承诺「我承诺申诉信息真实有的」
这样显然不是长久之计，下面就介绍下如何用技术手段去解决：
IP 直连在IPv6 环境下的可行性
首先：所有防 DNS 方案都是基于IP直连的方案，那么就要首先介绍 IP 直连这个方案的可行性。
从2016年6月1日起，iOS 应用必须支持 IPv6，否则审核将被拒。IPv6 规则出来后，网上有一种言论称：IP 直连不可行。
其实是 IP 直连，在 IPv6 环境下也是可行的，下面做下说明：
IP或域名在到达服务器前，经历了两个步骤往往会被我们所忽略：
如果你拿一个IPv4的IP或域名进行请求，有两个机制可以保证最终到达 Server 的是一个IPv6地址。
第一个机制是绿色部分，指的是 iOS系统级别的 IPv4 兼容方案，只要你使用了 NSURLSession 或 CFNetwork， 那么iOS系统会将帮你把它转为IPv6地址。
NSURLSession and CFNetwork automatically synthesize IPv6 addresses from IPv4 literals locally on devices operating on DNS64/NAT64 networks.（如果当前网络是 IPv6 网络，那么会在iOS系统层面转换成 IPv6.）
第二个机制是 DNS 服务的兼容方案，可以是运营商提供的服务，也可以是第三方 DNS 解析机构比如 DNSPod。如果 DNS 解析出来的域名是 IPv4 地址，也会转为 IPv6 地址。
综上所述，IPv6 政策的应对方案可以有下面几种：
使用高层API，比如 NSURLSession and CFNetwork。升级服务器，让服务端支持 IPv6。在 APP 中替换 IPv4 的地址。如果你的 APP 需要使用了更底层的 API 连接到仅支持 IPv4 的服务器，且不使用 DNS 域名解析，请在APP端使用 getaddrinfo 处理 IPv4 地址串( getaddrinfo 可通过传入一个IPv4或IPv6地址，得到一个 sockaddr 结构链表)。如果当前的网络接口不支持 IPv4，仅支持 IPv6，NAT64和DNS64，这样做可以得到一个合成的IPv6地址。
参考：《iOS支持IPv6 DNS64/NAT64网络》
在 HTTPS 业务场景下的防 DNS 污染方案
防止 DNS 污染的方式有多种：
实现方式大致有两种：
方案一：HTTP 场景 IP 直连
通过IP直接访问网站，可以解决 DNS 劫持问题。如果是 HTTP 请求，使用 ip 地址直接访问接口，配合 header 中 Host 字段带上原来的域名信息即可；
方案二：客户端维护一个 IP 列表
无效映射淘汰机制使用IP列表避免DNS解析失败或者劫持 (电信、移动、联通，域名异步地去获取)IP地址，请求成功就+1、失败就-1，然后得到优先级列表根据网络延迟选择服务端IP
参考： 《iOS网络请求优化之DNS映射》。
方案三：使用基于 HTTP 的 DNS 解析方案
对于服务器IP经常变的情况,可能需要使用第三方服务，比如DNSPod、httpDNS。
默认的 DNS 是基于 UDP，改用 HTTP 协议进行域名解析，代替现有基于 UDP 的 DNS 协议，域名解析请求直接发送到指定的第三方 DNS 解析服务器，从而绕过运营商的 Local DNS，能够避免 Local DNS 造成的域名劫持问题和调度不精准问题。
绕过运营商直接连可以信任的第三方服务。
那如果这些第三方解析商服务也挂掉了呢？这里有一个折中的方案，你可以两个服务都使用，其中一个作为失败重试的备选项，首选和备选的优先级可以调整。
参考：
《DNSPod接入指南》 《腾讯云DNSPod域名解析全面支持IPv6-only》
实现时的问题
发送 HTTPS 请求首先要进行 SSL/TLS 握手，握手过程大致如下：
客户端发起握手请求，携带随机数、支持算法列表等参数。服务端收到请求，选择合适的算法，下发公钥证书和随机数。客户端对服务端证书进行校验，并发送随机数信息，该信息使用公钥加密。服务端通过私钥获取随机数信息。
最后，双方根据以上交互的信息生成session ticket，用作该连接后续数据传输的加密密钥。
上述过程中，和我们的方案有关的是第3步，客户端需要验证服务端下发的证书，验证过程有以下两个要点：
客户端用本地保存的根证书解开证书链，确认服务端下发的证书是由可信任的机构颁发的。客户端需要检查证书的domain域和扩展域，看是否包含本次请求的host。
如果上述两点都校验通过，就证明当前的服务端是可信任的，否则就是不可信任，应当中断当前连接。
当客户端使用基于HTTP的第三方解析服务解析域名时，请求URL中的host会被替换成解析出来的IP，所以在证书验证的第2步，会出现domain不匹配的情况，导致SSL/TLS握手不成功。
解决方案：
https 请求，需要 Overriding TLS Chain Validation Correctly;
如果使用第三方网络库：curl， 中有一个 -resolve 方法可以实现使用指定 ip 访问 https 网站,iOS 中集成 curl 库，参考 curl文档 ；它也是支持 IPv6 环境的，只需要你在 build 时添加上 --enable-ipv6 即可。
如果使用AFN，则需要重写AFN里的一些方法，具体步骤是：hook 住 SSL 握手方法，也就是上图中的第2步，对应于下面的方法：
/*
* NSURLSession
*/
- (void)connection:(NSURLConnection *)connectionwillSendRequestForAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge
/*
* NSURLSession
*/
- (void)URLSession:(NSURLSession *)session task:(NSURLSessionTask *)task
didReceiveChallenge:(NSURLAuthenticationChallenge *)challenge
completionHandler:(void (^)(NSURLSessionAuthChallengeDisposition disposition, NSURLCredential * __nullable credential))completionHandler
然后将IP直接替换成原来的域名，再执行证书验证。
具体参考：
《如何使用ip直接访问https网站?》 《HTTPS业务场景解决方案》
了解最新移动开发、VR/AR 相关信息和技术，请关注 mobilehub 公众微信号（ID: mobilehub)。
历史上的今天
关注
关注
点赞
收藏
打赏
评论
防 DNS 污染方案
作者简介： 陈宜龙，iOS开发工程师，现任职于LeanCloud，热爱开源与分享，GitHub 获得的Star数过万，其中 《iOS9适配系列教程》 一度成为该领域最有影响力的教程。 StackOverFlow 威望值高达4000。同时也是多个开源项目的维护者： CYLTabBarController、LeanCloud-iOS-SDK、ChatKit 、iOSInterviewQuesti...
复制链接
扫一扫
DNS污染的解决方法
uiop_uiop_uiop的博客
01-31
4628
DNS污染
ettercap ARP攻击
weixin_49071539的博客
01-13
404
1. 在/etc/sysctl.conf的配置文件中,修改变量net.ipv4.ip_forward的值为 1，把前面的 # 去掉;若此变量没有,那就添加,
net.ipv4.ip_forward=1
2. 下载ettercap
apt-get install ettercap
使用图像界面ettercap -G
3. ettercap -G 启动
sniffing at startup 开启
primary interface 选择wlan0
点击右上角√
4. 开始ARP中间
参与评论
您还未登录，请先
登录
后发表或查看评论
什么是DNS污染？DNS污染的解决方法
hua520064的博客
12-17
5509
相信绝大部分的朋友没有听说过dns污染这个词语，其实dns污染就是dns劫持的一种，那么dns污染怎么办呢？下面56云就来跟您说说简单的dns污染解决方法，希望对大家有帮助。
什么是DNS污染？
按照百度百科的解释就是：某些网络运营商为了某些目的，对DNS进行了某些操作，导致使用ISP的正常上网设置无法通过域名取得正确的IP地址。某些国家或地区为出于某些目的防止某网站被访问，而且其又掌握部分国际DNS根目录服务器或镜像，也可以利用此方法进行屏蔽。
和某些流氓运营商利用DNS劫持域名发些小广告不同，DNS污染
关于DNS污染问题的通用解决方案
Zeriter的博客
09-13
1554
什么是DNS污染？
百度百科给出的解释是：某些网络运营商为了某些目的，对DNS进行了某些操作，导致使用ISP的正常上网设置无法通过域名取得正确的IP地址。某些国家或地区为出于某些目的防止某网站被访问，而且其又掌握部分国际DNS根目录服务器或镜像，也可以利用此方法进行屏蔽。
和某些流氓运营商利用DNS劫持域名发些小广告不同，DNS污染则让域名直接无法访问了，非得修改DNS服务器不可
什么是GWF
“金盾”工程，实质上就是公安通信网络与计算机信息系统建设工程。是国家电子政务建设的12个重要业务系统之一。2003
彻底解决DNS劫持污染，如何彻底解决DNS劫持污染，方法介绍
Anran
10-10
7912
DNS劫持污染介绍
DNS污染——指的是用户访问一个地址，国内的服务器(非DNS)监控到用户访问的已经被标记地址时，服务器伪装成DNS服务器向用户发回错误的地址的行为。范例，访问油管、脸书之类网站等出现的状况。
你使用一个不存在的 IP （肯定不是 DNS ）作为 DNS 去解析某个域名的时候，理应没有任何返回，但是却能返回一个错误 IP。为了证明是污染不是劫持，你再用这个不存在的 IP 去解析不存在的域名，这个时候你会发现没有任何返回，这就说明这个不存在的域名没有被污染。
下面就来教你如...
DNS防污染和广告拦截好用工具: AdGuard Home
最新发布
weixin_45444133的博客
06-08
2953
AdGuard Home 是一款用于拦截广告和跟踪的全网络软件。设置后，它将覆盖您的所有家庭设备，您不需要任何客户端软件。
它作为 DNS 服务器运行，将跟踪域重新路由到“黑洞”，从而阻止您的设备连接到这些服务器。它基于我们用于公共服务器的软件——两者共享许多通用代码....
如何解决DNS污染
w8y56f的专栏
09-10
1253
如何解决DNS污染
背景
比如公司网络或者某些软件会进度DNS污染导致无法访问。
这是因为DNS污染后没法将访问的域名转为IP。
那很简单，就是在正常的电脑上ping这个链接的域名，得到IP(就算ping不通，域名对应的IP也会显示出来)
然后在被DNS污染的机器上配置hosts映射。
上面的是如何解决自己的机器的，就自己一台机器而且还是自己的，那就很方便解决了。如果是域名被广泛污染导致一个片区的人的访问受阻，这时候可能就没什么好方法，只能投诉下当地的服务接入商了(就是提供网络服务这些运营商，电信/联通/
DNS解析污染原理——要么修改包，要么直接丢弃你的网络包
djph26741的博客
09-01
224
DNS/域名解析
可以看到dns解析是最初的一步，也是最重要的一步。比如访问亲友，要知道他的正确的住址，才能正确地上门拜访。
dns有两种协议，一种是UDP（默认），一种是TCP。
udp 方式，先回应的数据包被当做有效数据
在linux下可以用dig来检测dns。国内的DNS服务器通常不会返回正常的结果。下面以google的8.8.8.8 dns服务器来做测试，并用wiresh...
DNS污染解决方法
tskyer的专栏
01-24
2万+
DNS污染解决方法-非政策性下"墙"需要的工具火狐浏览器window 7 系统 网络配置刷新DNS缓存命令,CMD操作意图说明
需要的工具
window 7 系统,火狐浏览器,cmd。
火狐浏览器
更新至最新版本火狐,在地址栏输入 about:config ,回车后同意风险,在配置列表中搜索 network.proxy.socks_remote_dns 选项,将其值改为true.然后关闭火狐 浏览...
DNS污染该如何解决
a20405010505的博客
09-05
2256
　　DNS污染，又称为域名服务器缓存污染(DNS cache pollution)或者域名服务器快照侵害(DNS cache poisoning)。　　DNS污染是指一些刻意制造或无意中制造出来的域名服务器分组，把域名指往不正确的IP地址。　　iis7网站监控　　网站打开速度查询、DNS污染、地区电信劫持等问题检测。　　一般来说，网站在互联网上一般都有可信赖的域名服务器，但为减免网络上的...
一分钟快速搭建Windows防污染DNS服务器——Pcap_DNSProxy
热门推荐
lvshaorong的博客
10-11
8万+
最近在G+上无意发现一个一个好东西——Pcap_DNSProxy，这是一个运行在Windows上的DNS服务程序，主要功能是防止DNS污染。以前我都是在linux系统上使用Pdnsd搭建防污染的DNS服务器，现在家用的Windows电脑单也可以轻松实现了，而且比Pdnsd搭建更为方便（Pdnsd搭建的方式可以看我的上一篇博客《Ubuntu16.04用Pdnsd替换dnsmasq防止DNS污染》）更...
国内DNS劫持与污染状况分析
charleslei的专栏
11-30
3万+
在G+上碰到了出现DNS相关问题的网友，于是今天又测试了一下DNS的现状。整个过程很简单，只需一个命令即可：nslookup
在Windows的命令提示符下测试，基本的格式为：
1nslookup DOMAIN DNS_IP而国内的DNS问题基本分两种：一、DNS记录劫持DNS记录劫持是指DNS服务器上的DNS记录被恶意设定为不正确的内容。DNS劫持是长期的，不经手动更改不会修复。
DNS被污染后怎么才能解决？
cenbu4734的博客
09-02
4705
　　对于DNS污染，一般除了使用代理服务器之外，并没有什么其它办法。但是利用我们对DNS污染的了解，还是可以做到不用代理服务器就能解决DNS污染的问题，从而在不使用代理服务器的情况下访问原本访问不了的一些网站。　　当然这无法解决所有问题，当一些无法访问的网站本身并不是由DNS污染问题导致的时候，还是需要使用代理服务器才能访问的。　　DNS污染的数据包并不是在网络数据包经过的路由器上，而是在其旁路产...
DNS 劫持和DNS 污染
Katios
06-26
1万+
DNS 是domain name server 的简称。当然如果你搜索到这篇文章，那么我猜测你可能对DNS也有一定的了解了。所以对DNS的基本知识我就不在介绍了。。DNS 劫持举个例子，说到劫持，我们可能联想到一个坏蛋劫持了DNS服务器，拿着刀架在脖子上。这时候你问DNS服务器，博主帅吗？（发出请求）。
DNS服务器听到了，他心里的答案是，好帅哦（返回正确ip地址）。
由于坏蛋控制了他，并且对他
解决本机DNS污染问题
懒虫一个V
09-01
4517
命令行中执行如下命令：
ipconfig /flushdns
DNS污染的问题解决
qq_42671834的博客
08-30
2628
点击这里解决DNS污染
DNS污染，又称为域名服务器缓存污染(DNS cache pollution)或者域名服务器快照侵害(DNS cache poisoning)。
DNS污染是指一些刻意制造或无意中制造出来的域名服务器分组，把域名指往不正确的IP地址。
一般来说，网站在互联网上一般都有可信赖的域名服务器，但为减免网络上的交通，一般的域名都会把外间的域名服务器数据暂存起来，待下次有其他机...
dns污染怎么快速清除解决
dilu2941的博客
09-20
5614
　　如果有条件，自已DNS还是非常必要的，至少有一亩三分地的净土。 但是DNS污染是无处不在的,特别是 Forwarding的记录。　　那如何检测DNS污染的问题？　　IIS7网站监控　　检测网站是否被劫持、域名是否被墙、DNS污染等信息。　　一旦 IPv6 Tunnel连接失败，DNS Server 瞬间就被污染，那我们该做点什么呢？　　第一步，当然是让 IPv6 Tunnel恢复连...
如何防止DNS被修改
小贝壳的技术空间
11-03
2207
如何防止DNS被修改
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\Tcpip\Parameters\Interfaces\{264B7CDC-2783-4B45-A6C6-4879662C7ACF}
"NameServer"="202.106.46.151 202.106.0.20" 中的数据清空，OK。
DNS污染
beautifulsarah的博客
01-13
1462

DNS污染，又称为域名服务器缓存污染（DNScache
pollution）或者域名服务器快照侵害（DNS cache poisoning）。DNS污染是指一些刻意制造或无意中制造出来的域名服务器分组，把域名指往不正确的IP地址。一般来说，网站在互联网上一般都有可信赖的域名服务器，但为减免网络上的交通，一般的域名都会把外间的域名服务器数据暂存起来，待下次有其他机器要求解析域名时，可
“相关推荐”对你有帮助么？
非常没帮助
没帮助
一般
有帮助
非常有帮助
提交
©️2022 CSDN
皮肤主题：大白
设计师：CSDN官方博客
返回首页
历史上的今天
CSDN认证博客专家
CSDN认证企业博客
码龄10年
暂无认证
695
原创
186
周排名
404
总排名
375万+
访问
等级
2万+
积分
3万+
粉丝
5064
获赞
2465
评论
4480
收藏
私信
关注
热门文章
苹果终于入伙 WebRTC，新一代移动 Web 应用爆发路上还有哪些坑？
70023
实时视频传输的关键技术 H.264 全解析
64031
iOS 与 Android 系统十年之战，究竟谁是赢家？
60666
Gerrit代码Review入门实战
54338
【历史上的今天】2 月 14 日：第一台通用计算机面世；IBM 诞生；Julia 公开发布
51612
分类专栏
历史上的今天
479篇
Android开发
7篇
移动开发
9篇
互联网
1篇
最新评论
【历史上的今天】12 月 23 日：Python 起源；TCP/IP 协议发明者出生；设计第一台 PC 的人诞生
weixin_47804666:
这篇作品写的技能知识鼓励很多人学习进步！
【历史上的今天】12 月 21 日：Ruby 语言问世；玛雅预言世界末日；计算机先驱诞生日
万猫学社:
大佬一如既往的高质量好文，收获颇丰，期待大佬也给我指点一二。
【历史上的今天】12 月 21 日：Ruby 语言问世；玛雅预言世界末日；计算机先驱诞生日
Jiangxl~:
文章内容丰富，条理清晰，值得一波关注，如沐春风，配图也很有趣，希望作者也指点我一番！
【历史上的今天】12 月 21 日：Ruby 语言问世；玛雅预言世界末日；计算机先驱诞生日
zhouluobo:
无敌赞，简直太优秀，快坐下吧
【历史上的今天】12 月 21 日：Ruby 语言问世；玛雅预言世界末日；计算机先驱诞生日
¿¿¿¡¡¡:
确实，今天再发了一遍
您愿意向朋友推荐“博客详情页”吗？
强烈不推荐
不推荐
一般般
推荐
强烈推荐
提交
最新文章
【历史上的今天】12 月 23 日：Python 起源；TCP/IP 协议发明者出生；设计第一台 PC 的人诞生
【历史上的今天】12 月 22 日：世界上第一封电子邮件发出；我国研制亿次计算机；第一台可编程计算机的发明者出生
【历史上的今天】12 月 21 日：Ruby 语言问世；玛雅预言世界末日；计算机先驱诞生日
2022
12月
19篇
11月
23篇
10月
30篇
09月
29篇
08月
29篇
07月
31篇
06月
30篇
05月
31篇
04月
30篇
03月
31篇
02月
28篇
01月
31篇
2021年137篇
2018年1篇
2017年106篇
2016年110篇
目录
目录
分类专栏
历史上的今天
479篇
Android开发
7篇
移动开发
9篇
互联网
1篇
目录
评论
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
查看更多评论
打赏作者
历史上的今天
你的鼓励将是我创作的最大动力
¥2
¥4
¥6
¥10
¥20
输入1-500的整数
余额支付
(余额：-- )
扫码支付
扫码支付：¥2
获取中
扫码支付
您的余额不足，请更换扫码支付或充值
打赏作者
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额
抵扣说明：
1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。 2.余额无法直接购买下载，可以购买VIP、C币套餐、付费专栏及课程。
余额充值