电信宽带 DNS 劫持

https://v2ex.com/t/1250294 看看是不是这个类似的事件

@KagurazakaNyaa 应该是，这次轮到电信了....

前几天看到了一篇文章： https://www.karthihegde.dev/posts/dns_tampering

似乎和 .cc 域名有关？ itdog 试了几个 .cc 域名，都能解析这两个异常 IP ，其他顶级域没测试出来

- dict.cc
- nips.cc
- neurips.cc
- on.cc
- iclr.cc

加上 DNSSEC 试试看有没有缓解？

@Internet0User 国内运营商 DNS 大都不支持 DNSSEC

目前只有电信的 DNS 有异常

国内注册的 .cc 域名，NS 在国内阿里云。电信 DNS 也会劫持到 177.5.48.0/24

- modao[.]cc

@qwertooo 现在看是正常的。可能有人看到你发贴啦。

电信网络查询顶级域.cc 的权威 DNS 服务器 ac2.nstld.com （ 192.42.174.30 ）会被间歇性地劫持响应。个人环境测试的 DNS 劫持的特点如下：
1. 仅当查询域名中带有`.cc`时，且查询类型为 A 或 AAAA 时响应，否则不响应；不区分大小写。
2. 劫持响应的 A 记录均为 177.5.48.3 、177.5.48.9 、177.5.48.26 、177.5.48.37 ，TTL 为 86400 ；这些 IP 都是菠菜网站； AAAA 记录为空。
3. 仅响应 UDP 查询，不响应 TCP 查询。
4. 个人环境测试，正常响应和劫持响应对应的查询报文 TTL 均为 15 。
5. 劫持响应的 IP Identification 均为 1 ，IP TTL 恒定；正常响应的 Identification 不固定，TTL 比劫持响应大 2 或者小 1 。
6. 劫持响应通常>100ms ，正常响应通常>230ms 。
7. 劫持响应是间歇性的，被劫持与正常时均只响应一次查询报文。
8. 仅 ac2.nstld.com 的 IPv4 查询被劫持，ac1 、ac3 、ac4 和 IPv6 正常。
9. 192.42.174.30 同/24 网段的 IP 不会响应。
10. 个人环境测试，使用 ICMP 和 UDP53 进行路由跟踪，正常响应和劫持响应的第 12 跳均为 NTT 的 129.250.6.71 。

个人判断大概率不是电信或者墙的问题。

劫持响应：
```
$ dig @192.42.174.30 ab.ccdefg TYPE1 +norecurse +answer +authority +dnssec +comments

;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 16387
;; flags: qr aa; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;ab.ccdefg. IN A

;; ANSWER SECTION:
ab.ccdefg. 86400 IN A 177.5.48.3
ab.ccdefg. 86400 IN A 177.5.48.9
ab.ccdefg. 86400 IN A 177.5.48.26
ab.ccdefg. 86400 IN A 177.5.48.37

;; Query time: 111 msec
;; SERVER: 192.42.174.30#53(192.42.174.30) (UDP)
;; WHEN: Thu Nov 12 ;; MSG SIZE rcvd: 127
```

正常响应：
```
$ dig @192.42.174.30 modao.cc A +norecurse +answer +authority +dnssec +comments

;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 17738
;; flags: qr; QUERY: 1, ANSWER: 0, AUTHORITY: 4, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags: do; udp: 4096
; COOKIE: 188ebd4a6243d2a3010000006af4a94f0000000000000000 (good)
;; QUESTION SECTION:
;modao.cc. IN A

;; AUTHORITY SECTION:
modao.cc. 172800 IN NS vip3.alidns.com.
modao.cc. 172800 IN NS vip4.alidns.com.
modao.cc. 86400 IN DS 54931 13 2 CCD54DF33E84843BF22DA9EE2023B84730BF253307F8EE3B8C6B45D7 F5F96FED
modao.cc. 86400 IN RRSIG DS 13 2 86400 20261118040045 20261111040045 20223 cc. 0+tOPsLe9kB8MkjFbNJOopBtY6OSt8yP3zxtWygYc2mQZOH4p978Xcu0 cZJnM7ZlIY9xJ+91xzrpF0chwAbEWQ==

;; Query time: 264 msec
;; SERVER: 192.42.174.30#53(192.42.174.30) (UDP)
;; WHEN: Thu Nov 12 ;; MSG SIZE rcvd: 259
```

正常时的路由跟踪：
```
$ NextTrace -M --max-attempts 100 -f 7 -m 20 192.42.174.30
-> 192.42.174.30, 20 hops max, 28 byte packets, ICMP mode
7 202.97.82.58 AS4134 [CHINANET-BB] 中国 广东 广州 en.chinatelecom.com.cn 电信
19.26 ms / * ms / * ms
8 202.97.94.106 AS4134 [CHINANET-BB] 中国 广东 广州 en.chinatelecom.com.cn 电信
20.82 ms / 19.68 ms / 26.00 ms
9 203.215.237.130 * [CHINANET-FJ] 日本 东京都 东京 电信
171.33 ms / 172.77 ms / 174.33 ms
10 *
11 *
12 129.250.6.71 AS2914 [NTT-BACKBONE] 新加坡 gin.ntt.net
ae-46.a02.sngpsi07.sg.bb.gin.ntt.net 246.74 ms / 248.77 ms / 253.02 ms
13 116.51.17.21 AS2914 [NTT-GIN] 新加坡 gin.ntt.net
ae-0.verisign.sngpsi07.sg.bb.gin.ntt.net 240.33 ms / 238.01 ms / 239.56 ms
14 203.144.52.125 AS7342 荷兰 北荷兰省 阿姆斯特丹 verisign.com
gr-3-3-0.128.r1.vidn-fo.ams1.vrsn.net.52.144.203.in-addr.arpa 250.86 ms / 250.26 ms / 249.28 ms
15 192.42.174.30 AS396566 美国 弗吉尼亚州 雷斯顿 VeriSign Global Registry Services
ac2.nstld.com 267.27 ms / 266.81 ms / 266.07 ms
Trace Stopped: Destination Reached at Hop 15 (ICMP Echo Reply from 192.42.174.30)
```
```
$ NextTrace -M --max-attempts 50 -f 7 -m 17 -U -p 53 192.42.174.30
-> 192.42.174.30, 17 hops max, 28 byte packets, UDP mode
7 202.97.82.66 AS4134 [CHINANET-BB] 中国 广东 广州 en.chinatelecom.com.cn 电信
* ms / * ms / 21.78 ms
8 202.97.91.221 AS4134 [CHINANET-BB] 中国 广东 广州 en.chinatelecom.com.cn 电信
23.67 ms / 28.46 ms / 26.48 ms
9 203.215.237.154 * [CHINANET-FJ] 日本 东京都 东京 电信
169.46 ms / 170.86 ms / 168.67 ms
10 *
11 *
12 129.250.6.71 AS2914 [NTT-BACKBONE] 新加坡 gin.ntt.net
ae-46.a02.sngpsi07.sg.bb.gin.ntt.net 235.62 ms / 234.59 ms / 239.79 ms
13 116.51.17.21 AS2914 [NTT-GIN] 新加坡 gin.ntt.net
242.41 ms / 240.88 ms / 238.43 ms
14 *
15 *
16 *
17 *
Trace Stopped: Maximum Hops Reached at Hop 17 (No Destination Response)
```