CNCERT：近期的 DNS 劫持来自境外自治域虚假宣告路由劫持流量

[mytsing520]

报告原文：《关于中国境外自治域 AS 402425 恶意篡改部分 DNS 解析数据的调查报告》 https://mp.weixin.qq.com/s/CAZ90qRk6klmRu6Z9RbvMg

动态： 经查询，目前江苏移动（ AS56046 ）依然被 AS402425 宣告为下游网络。

[Coolsir]

AS402425 又来啊，7-8 月份就来了一次。

[xyz3210]

没看懂！理论上来说，DNS 不是速归查询吗？难不成上游的 DNS 被投毒了？

[ccoming077]

@xyz3210 用户到 Public DNS 的查询时递归查询，Public DNS 需要用迭代查询问权威域名服务器。AS402425 虚假宣告自己和移动直连（或者是更优路径），导致回程流量被路由到它的网络 + 直接修改 DNS 响应，实现投毒的效果。

[dream0689]

@ccoming077 似乎直接宣告了移动的 as9808 和河南移动都是它的下游，而实际上 as9808 的上游只有 as58453 和 as58807 。

[hxdyxd]

36.142.128.0/18 unicast [AS401414 - HOU-RTR-1-4 0000-00-00] * (?/-) [AS9808]
Type: BGP
BGP.as_path: 401414 62467 174 402425 9808
BGP.community: [AS174: Route is an AP internal or customer route] [AS174: Singapore]
BGP.large_community: (62467, 10, 1) (62467, 20, 174)

[crc8]

@ccoming077 这虚假的路由宣告单方面就可以成立而无需上下游的承认吗？

[yeyeye]

@crc8 #6

在局域网可以遏制

但是在互联网各种没办法。

举个例子：你知道 DDOS 基于什么吗？基于互联网可以伪造 ip ，各国互联网的节点不对来源 ip 进行验证，目标服务器根本就不知道真正的来源是哪里。

[dream0689]

@yeyeye 前阵子 cloudflare 香港和日新节点受影响好像也是差不多的原因，好像是 hgc 路由泄露了，错误宣告了自己为 cloudflare 的上游。

[qbqbqbqb]

真不是 GFW 的乌龙吗，DNS 污染功能污染到不该污染的网站了，用来污染的 IP 也没被路由黑洞