搜索

[7767] 2014-01-24_DNS污染事件跟踪：为什么.cn和.org域名逃过一劫

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2014-01-24_DNS污染事件跟踪：为什么.cn和.org域名逃过一劫 D N S 污 染 事 件 跟 踪 ： 为 什 么 . c n 和 . o r g 域 名 逃 过 一 劫 佐 拉   F r e e B u f   2 0 1 4 - 0 1 - 2 4 关 于 中 国 境 内 用 户 访 问 . c o m   和 . n e t   域 名 被 解 析 到 6 5 . 4 9 . 2 . 1 7 8   一 事 我 又 有 新 发 现 ， 我 发 现 了 为 什 么 . c n   和 . o r g   的 域 名 没 有 受 到 影 响 指 向 6 5 . 4 9 . 2 . 1 7 8 的 原 因 ， 证 明 此 事 事 故 与 根 域 名 服 务 器 无 关 。 在 上 一 篇 文 章 中 ， 我 查 到 了 6 5 . 4 9 . 2 . 1 7 8 这 个 I P 的 背 景 ， 验 证 了 根 域 名 服 务 器 在 中 国 有 镜 像 ， 驳 斥 了 各 大 媒 体 和 维 基 百 科 上 说 “ 根 域 名 服 务 器 只 有 1 3 台 ， 亚 洲 唯 一 的 一 台 在 日 本 ” 的 说 法 ， 猜 测 这 事 件 是 一 次 来 自 国 内 机 房 的 D N S 污 染 事 故 。 我 注 意 到     国 家 互 联 网 应 急 中 心 的 通 告 提 到 仅 有 “ . c o m ” 、 “ . n e t ” 等 结 尾 的 网 站 受 到 影 响 ， 而 . c n 结 尾 的 网 站 没 有 受 到 影 响 ， . o r g   结 尾 的 网 站 没 有 被 提 到 ， 也 应 该 是 没 有 受 到 影 响 ： 关 于 1 月 2 1 日 我 国 境 内 互 联 网 访 问 异 常 情 况 的 通 报 来 源 ： C N C E R T 　 时 间 ： 2 0 1 4 - 0 1 - 2 2 2 0 1 4 年 1 月 2 1 日 1 5 : 2 0 ， 中 国 境 内 大 量 互 联 网 用 户 无 法 正 常 访 问 域 名 以 “ . c o m ” 、 “ . n e t ” 等 结 尾 的 网 站 。 事 件 发 生 后 ， 国 家 互 联 网 应 急 中 心 第 一 时 间 启 动 应 急 响 应 机 制 ， 协 调 组 织 部 分 技 术 支 撑 单 位 进 行 调 查 和 应 急 处 置 ， 1 6 : 5 0 左 右 ， 用 户 访 问 基 本 恢 复 正 常 。 经 对 已 掌 握 的 数 据 进 行 分 析 ， 初 步 判 断 此 次 事 件 是 由 于 网 络 攻 击 导 致 我 国 境 内 互 联 网 用 户 通 过 国 际 顶 级 域 名 服 务 解 析 时 出 现 异 常 ， 攻 击 来 源 正 在 进 一 步 调 查 中 。 为 什 么 . c n   和   . o r g     结 尾 的 网 站 没 有 受 到 影 响 ？ 我 们 先 来 看 正 常 的 域 名 解 析 过 程 ：
第 一 步 ， D N S 会 返 回 “ 根 域 名 服 务 器 ” 地 址 和 I P ，   上 图 中 是 r o o t - s e r v e r s . n e t 结 尾 的 地 址 ;   第 二 步 ， 根 域 名 服 务 器 1 9 2 . 3 3 . 4 . 1 2 返 回 通 用 顶 级 域 名 （ g T L D ） 的 服 务 器 地 址 和 I P ;   第 三 步 ， g T L D 服 务 器 返 回 N S （ n a m e   s e r v e r ） 地 址 和 I P ， 上 图 中 是 n s 1 . d r e a m h o s t . c o m ;   第 四 步 ， N S 返 回 域 名 对 应 的 真 正 的 I P 地 址 ,   上 图 中 是 6 9 . 1 6 3 . 1 4 1 . 2 1 5 。 下 面 是 d i g   + t r a c e   z u o l a . c o m   和   d i g   + t r a c e   d b a n o t e s . n e t   的 结 果 ， 显 示 以 “ . c o m ” 、 “ . n e t ” 等 结 尾 的 域 名 在 第 二 步 返 回 的 都 是   g t l d - s e r v e r . n e t 结 尾 的 服 务 器 地 址 ;   而 以 “ . o r g ” 的 域 名 用 的 是 另 一 种 域 名 的 服 务 器 。

下 面 是 d i g   + t r a c e   1 k g . o r g   这 个 域 名 的 结 果 ， 同 样 需 要 向 D N S 发 起 第 一 步 查 询 ， 返 回 的 结 果 是 相 同 的 根 域 名 服 务 器 地 址 ， 第 二 步 返 回 的 却 不 是 以   g t l d - s e r v e r . n e t 结 尾 的 服 务 器 地 址 ， 是 o r g . a f i l i a s - n s t . o r g   和   o r g . a f i l i a s - n s t . i n f o   结 尾 的 地 址 下 面 是 d i g   + t r a c e   h i g h t e c h l o w l i f e . c n   这 个 域 名 的 结 果 ， . c n   和   . o r g   的 域 名 同 样 需 要 向 D N S 发 起 第 一 步 查 询 ， 得 到 了 正 确 的 根 域 名 服 务 器 地 址 ;   第 二 步 返 回 的 却 不 是   以 g t l d - s e r v e r . n e t 结 尾 的 服 务 器 地 址 ， 也 不 是 以 o r g . a f i l i a s - n s t . o r g   和   o r g . a f i l i a s - n s t . i n f o   结 尾 的 地 址 ， 是 以 d n s . c n 结 尾 的 地 址 ：
好 了 ， . c n   和   . o r g   的 域 名 同 样 需 要 向 D N S 发 起 第 一 步 查 询 , 也 都 得 到 与 . c o m   跟 . n e t   域 名 相 同 的 “ 根 域 名 服 务 器 ” 查 询 结 果 了 ， 仅 有 第 二 步 返 回 的 结 果 不 同 。 这 证 明 此 次 事 件 与 “ 根 域 名 服 务 器 ” 完 全 没 有 关 系 。 这 样 一 区 分 ， 也 许 能 解 释 为 什 么 . c n   和 . o r g   的 域 名 没 有 受 到 影 响 了 。 下 图 来 自 D N S P o d 的 B L O G ， 证 实 2 0 1 4 年 1 月 2 1 日 访 问 . c o m   域 名 会 得 到 6 5 . 4 9 . 2 . 1 7 8 这 个 I P ： 没 有 返 回 返 回 通 用 顶 级 域 名 （ g T L D ） 的 服 务 器 地 址 和 I P ， 也 没 有 返 回 n a m e   s e r v e r   地 址 。
没 有 返 回 返 回 通 用 顶 级 域 名 （ g T L D ） 的 服 务 器 地 址 和 I P ， 也 没 有 返 回 n a m e   s e r v e r   地 址 。 我 再 贴 一 张 2 0 1 4 年 1 月 2 2 日 在 中 国 境 内 用 d i g 追 踪 t w i t t e r . c o m   域 名 解 析 过 程 的 图 片 ： 图 片 由 陈 少 举 提 供 T w i t t e r . c o m 的 域 名 被 劫 持 到 2 0 3 . 9 8 . 7 . 6 5 这 个 I P 了 ， 从   h t t p : / / w h o i s . w e b h o s t i n g . i n f o / 2 0 3 . 9 8 . 7 . 6 5   来 看 ， 这 个 I P 不 是 t w i t t e r 的 I P ， 表 现 和 2 0 1 4 年 1 月 2 1 日 的 劫 持 域 名 到 6 5 . 4 9 . 2 . 1 7 8 完 全 一 样 ： 没 有 返 回 返 回 通 用 顶 级 域 名 （ g T L D ） 的 服 务 器 地 址 和 I P ， 也 没 有 返 回 n a m e   s e r v e r   地 址 。 完 整 无 误 的 解 析 应 该 是 如 下 图 一 样 分 四 次 返 回 数 据 ：
图 片 由 陈 少 举 提 供 结 论 ： 结 论 ： 我 国 境 内 互 联 网 用 户 通 过 国 际 顶 级 域 名 服 务 解 析 时 出 现 异 常 ， “ . c o m ” 、 “ . n e t ” 域 名 被 解 析 到   6 5 . 4 9 . 2 . 1 7 8 是 一 次 D N S 污 染 行 为 ， 和 G F W 污 染 T w i t t e r . c o m   、 F a c e b o o k . c o m   Y o u t u b e . c o m   、   Z u o l a . c o m   等 域 名 的 表 现 是 一 致 的 ， 与 根 域 名 服 务 器 完 全 无 关 。 . c n   和   . o r g     结 尾 的 网 站 没 有 受 到 影 响 则 证 明 ， 可 能 是 此 次 G F W 不 小 心 把 g t l d - s e r v e r s . n e t   加 入 污 染 域 名 的 列 表 了 ， 下 次 遇 到 同 样 的 部 分 域 名 受 影 响 的 话 用 用 d i g   + t r a c e   g t l d - s e r v e r s . n e t 来 排 查 吧 。 以 上 观 点 不 一 定 绝 对 正 确 ， 欢 迎 补 充 可 能 性 和 证 据 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理