通知因为网址出现劫持

昨天下午三点十七分，通知我收到第三条用户投诉：输入我们官网域名，网址跳转到了一个博彩页面。出现手机端、劫持联通网络、通知河南郑州。网址前两条是出现PC端、电信、劫持广东和浙江。通知三个不同省份、网址不同运营商、出现不同设备，劫持结果一样——DNS被劫持了。通知

这不是网址我们第一次遇到。去年十一月也出过一次，出现当时只持续了四十分钟，排查后发现是域名注册商的DNS解析服务器被攻击。这次不一样，从三点到现在，已经快二十个小时，问题还在。

劫持是怎么发生的

用户输入网址，浏览器先问DNS服务器：“这个域名对应的IP是多少？”正常情况下，DNS返回我们服务器的真实IP，浏览器访问，页面加载。劫持就是有人在这个环节撒了谎，返回了一个假IP。用户浏览器访问假IP，看到的就是别人的页面。

我们查了权威DNS记录，没问题。问题出在递归DNS这一层——用户本地运营商那端的DNS缓存被污染了。说得直白点，有人在用户和我们的服务器之间，把路标换了。

具体怎么换的？两种可能。一种是运营商内部DNS服务器被入侵，缓存记录被恶意篡改。另一种是攻击者在网络链路上做中间人攻击，拦截DNS查询请求，返回伪造响应。从这次波及范围看，后者的可能性更大——三个省份同时中招，运营商内部被入侵不太可能这么同步。

为什么这次特别麻烦

上次四十分钟能解决，是因为攻击者只改了域名注册商那边的NS记录，我们改回来就行。这次污染的是运营商递归DNS的缓存，我们控制不了。缓存有TTL，一般几小时到一天，但攻击者可以持续投毒，TTL到期前再次污染，用户就一直被导向假IP。

更麻烦的是HTTPS。我们站点全站HTTPS，假IP没有我们的证书，浏览器应该报错才对。但攻击者用了Let‘s Encrypt的免费证书，申请了一个跟我们域名相似的证书，浏览器不报错，用户根本看不出来。我让同事截了图，假页面做得跟我们官网首页几乎一样，只是顶部多了一个“在线客服”弹窗，点进去就是博彩注册链接。

我们做了什么

第一时间联系了三个省份的运营商，提交了工单。同时启用备用域名，在官方社交媒体发通知，让用户暂时用备用地址访问。技术团队联系了DNSPod和阿里云DNS，请他们协助清理公共DNS缓存。截至发稿，广东和浙江已经恢复，河南还在处理中。

另外，我们向CNNIC和工信部反诈中心提交了举报材料，包括劫持截图、DNS查询日志、假IP地址。假IP指向香港一个云服务商，已经发邮件投诉，还没收到回复。

普通用户能做什么

如果你访问某个网站发现页面不对，先别急着输入账号密码。手动改一下DNS，换成114.114.114.114或者223.5.5.5，再刷新试试。如果还不行，用手机流量访问，别用WiFi。企业用户可以考虑上DNSSEC，虽然部署麻烦，但能防住大部分缓存投毒。

这次事件让我意识到一个问题：我们对HTTPS太信任了，以为有了小绿锁就安全。但证书只能证明“你访问的服务器持有这个域名的证书”，不能证明“你访问的IP就是域名真实解析的IP”。中间人攻击配合假证书，小绿锁照样亮。

现在凌晨一点二十，河南那边还没恢复。我盯着监控面板，流量在缓慢回升，但离正常水平还差得远。技术群里有人发了张图，假页面还在，博彩广告还在转。我回了句：“继续盯，天亮前必须搞定。”

很赞哦!（48）