CNCERT：近期的 DNS 劫持来自境外自治域虚假宣告路由劫持流量

报告原文：《关于中国境外自治域 AS 402425 恶意篡改部分 DNS 解析数据的调查报告》 https://mp.weixin.qq.com/s/CAZ90qRk6klmRu6Z9RbvMg

动态：经查询，目前江苏移动（ AS56046 ）依然被 AS402425 宣告为下游网络。

DNS

劫持

路由

6 replies

Coolsir

18h 54m ago

AS402425 又来啊，7-8 月份就来了一次。

xyz3210

15h 16m ago

没看懂！理论上来说，DNS 不是速归查询吗？难不成上游的 DNS 被投毒了？

ccoming077

15h 5m ago

@xyz3210 用户到 Public DNS 的查询时递归查询，Public DNS 需要用迭代查询问权威域名服务器。AS402425 虚假宣告自己和移动直连（或者是更优路径），导致回程流量被路由到它的网络 + 直接修改 DNS 响应，实现投毒的效果。

dream0689

13h 59m ago via iPhone

@ccoming077 似乎直接宣告了移动的 as9808 和河南移动都是它的下游，而实际上 as9808 的上游只有 as58453 和 as58807 。

hxdyxd

5h 2m ago via Android

36.142.128.0/18 unicast [AS401414 - HOU-RTR-1-4 0000-00-00] * (?/-) [AS9808]
Type: BGP
BGP.as_path: 401414 62467 174 402425 9808
BGP.community: [AS174: Route is an AP internal or customer route] [AS174: Singapore]
BGP.large_community: (62467, 10, 1) (62467, 20, 174)

crc8

2h 29m ago

@ccoming077 这虚假的路由宣告单方面就可以成立而无需上下游的承认吗？