全國(guó)互聯(lián)網(wǎng)爆發(fā)大規(guī)模DNS服務(wù)器污染 疑國(guó)外黑客劫持
[導(dǎo)讀]據(jù)多家DNS服務(wù)商和大量用戶反饋，從昨天(21日)下午15點(diǎn)20分左右，全國(guó)出現(xiàn)了大范圍的DNS故障，全國(guó)所有通用頂級(jí)域的根出現(xiàn)異常，眾多知名網(wǎng)站的域名均被劫持到65.49.2.178這個(gè)錯(cuò)誤的IP地址上，導(dǎo)致部分國(guó)內(nèi)用戶無(wú)法訪
據(jù)多家DNS服務(wù)商和大量用戶反饋，從昨天(21日)下午15點(diǎn)20分左右，全國(guó)出現(xiàn)了大范圍的DNS故障，全國(guó)所有通用頂級(jí)域的根出現(xiàn)異常，眾多知名網(wǎng)站的域名均被劫持到65.49.2.178這個(gè)錯(cuò)誤的IP地址上，導(dǎo)致部分國(guó)內(nèi)用戶無(wú)法訪問(wèn).com或.cn等域名網(wǎng)站，至少有2/3的國(guó)內(nèi)網(wǎng)站受到影響。
根據(jù)360安全中心發(fā)布的緊急通報(bào)，此次DNS故障可能是國(guó)外節(jié)點(diǎn)遭受大規(guī)模攻擊或者技術(shù)故障導(dǎo)致的。
什么是DNS根服務(wù)器？
域名解析服務(wù)器（DNS）是互聯(lián)網(wǎng)的核心基礎(chǔ)設(shè)施，是Domain Name System的縮寫(xiě)。根服務(wù)器主要用來(lái)管理互聯(lián)網(wǎng)的主目錄，全世界只有13臺(tái)。其中有10個(gè)在美國(guó)，另外3個(gè)分別在瑞典、荷蘭和日本。如果DNS根服務(wù)器的訪問(wèn)被切斷，那么互聯(lián)網(wǎng)可能徹底癱瘓。
這13臺(tái)DNS根服務(wù)器負(fù)責(zé)所有的解析工作，例如用戶要訪問(wèn)微博.com的時(shí)候，本地的DNS需要向13臺(tái)DNS發(fā)一個(gè)請(qǐng)求，來(lái)告訴我微博.com的IP地址是多少，才能夠返回。但是我們發(fā)現(xiàn)13臺(tái)根服務(wù)器當(dāng)中有1、2臺(tái)返回的IP地址是錯(cuò)的，這就導(dǎo)致很多網(wǎng)民在上網(wǎng)的時(shí)候，想去看微博，但是返回的IP地址不是微博的IP地址，所以就導(dǎo)致網(wǎng)站根本打不開(kāi)。
神秘IP地址引發(fā)黑客疑云
這次事故的原因是根域名服務(wù)器被污染，域名解析請(qǐng)求都被指“65.49.2.178”這個(gè)IP地址。
測(cè)試發(fā)現(xiàn)，F(xiàn)acebook、Twitter等國(guó)外域名解析正常，只是國(guó)內(nèi)域名遭到污染。即便如此，受到影響的范圍也是空前的，包括百度、新浪、騰訊在內(nèi)的國(guó)內(nèi)絕大多數(shù)網(wǎng)站出現(xiàn)訪問(wèn)異常，根域名服務(wù)器故障持續(xù)將近1小時(shí)。
據(jù)粗略估算，受到影響的國(guó)內(nèi)用戶超過(guò)2億，平均受影響的時(shí)間約在3小時(shí)左右。截至21日晚間1點(diǎn)，全國(guó)仍有十余個(gè)地區(qū)受DNS估值影響，包括貴州電信、河南電信、香港新世界、江蘇電信、北京電信通等。
國(guó)內(nèi)漏洞報(bào)告平臺(tái)“烏云”稱，65.49.2.178這個(gè)IP位于國(guó)外，有證據(jù)表明該IP所處于的網(wǎng)絡(luò)有過(guò)發(fā)送垃圾郵件及其他有政治目的的黑客活動(dòng)，不排除此次攻擊為黑客所為。
金山的一位安全專家稱，經(jīng)查詢65.49.2.178的信息，發(fā)現(xiàn)該IP位于美國(guó)北卡羅萊納州卡里鎮(zhèn)Dynamic Internet Technology公司?！按罅恐袊?guó)知名IT公司的域名被解析到美國(guó)某公司，從目前看該事件極可能是黑客攻擊行為?！痹搶＜艺f(shuō)。
去年8月25日凌晨，中國(guó).cn域名解析出現(xiàn)大規(guī)模解析故障。中國(guó)互聯(lián)網(wǎng)絡(luò)信息中心后來(lái)透露，當(dāng)日零時(shí)許，國(guó)家域名解析節(jié)點(diǎn)受到拒絕服務(wù)攻擊，經(jīng)處置，至2時(shí)許服務(wù)器恢復(fù)正常，這是有史以來(lái).cn域名遭受的最大規(guī)模拒絕服務(wù)攻擊。
不過(guò)，不少網(wǎng)絡(luò)安全專家都認(rèn)為，這次DNS污染事件影響之廣、范圍之大在國(guó)內(nèi)尚屬首例，遠(yuǎn)遠(yuǎn)超出一般黑客的能力范圍?！昂芸赡芘c主干網(wǎng)絡(luò)的設(shè)置調(diào)整有關(guān)?！鄙鲜鼍W(wǎng)絡(luò)安全專家說(shuō)。
驚魂一小時(shí)實(shí)況記錄
16：00 全國(guó)大量網(wǎng)站無(wú)法正常訪問(wèn)。有站長(zhǎng)發(fā)現(xiàn)其域名被劫持到一個(gè)美國(guó)IP 65.49.2.178。
16：41 網(wǎng)友發(fā)現(xiàn)百度是此次攻擊的對(duì)象之一，在百度的子域名n.baidu.com頁(yè)面下，黑客留下了一句話：Catch me if you can，充滿了濃重的挑釁意味。
16：55 目前網(wǎng)站的訪問(wèn)正在逐步恢復(fù)，Windows用戶可以嘗試 ipconfig /flushdns 刷新DNS緩存。解決方法：用戶可以打開(kāi)控制面板“網(wǎng)絡(luò)連接-屬性-Internet協(xié)議版本4”的DNS服務(wù)器地址修改為：（電 信）101.226.4.6 ，（聯(lián)通）123.125.81.6，（ 移動(dòng)）101.226.4.6，（ 鐵通）101.226.4.6?；蛘咴O(shè)置為：“8.8.8.8”?？蓵簳r(shí)緩解該問(wèn)題。
17：00 經(jīng)查詢65.49.2.178的信息，發(fā)現(xiàn)該IP位于美國(guó)北卡羅萊納州卡里鎮(zhèn)Dynamic Internet Technology公司。大量中國(guó)知名IT公司的域名被解析到美國(guó)某公司。金山毒霸安全專家認(rèn)為，從目前看該事件極可能是黑客攻擊行為。
為什么有的人正常，有的人異常？
這是因?yàn)闉榱思涌煊脩粼L問(wèn)速度，整個(gè)系統(tǒng)設(shè)有多級(jí)緩存，包括瀏覽器緩存、系統(tǒng)緩存、路由器緩存、DNS服務(wù)器緩存等等。
當(dāng)用戶訪問(wèn)一個(gè)網(wǎng)站時(shí)，其瀏覽器會(huì)自動(dòng)記錄域名對(duì)應(yīng)的IP一段時(shí)間，這樣用戶在第二次進(jìn)入該網(wǎng)站時(shí)，瀏覽器就不必向上一層級(jí)反復(fù)查詢，直接就可以告知用戶結(jié)果。同樣的，用戶的電腦、路由器和DNS服務(wù)器都會(huì)設(shè)置一定的緩存，當(dāng)然緩存是有時(shí)間限制的，到期就要向上級(jí)服務(wù)器查詢最新的記錄。
當(dāng)頂級(jí)根域名服務(wù)器出現(xiàn)故障時(shí)，用戶的訪問(wèn)不會(huì)馬上中斷，因?yàn)楦骷?jí)緩存還在。當(dāng)緩存時(shí)間到后，他們會(huì)向上一級(jí)重新查詢，這時(shí)根服務(wù)器的錯(cuò)誤反饋才會(huì)生效，導(dǎo)致用戶訪問(wèn)異常。然而這個(gè)緩存時(shí)間，因設(shè)置不同，差異很大。有的緩存時(shí)間只有30秒，有的緩存時(shí)間長(zhǎng)達(dá)12小時(shí)。
截至當(dāng)日下午4點(diǎn)，全國(guó)根服務(wù)器的解析陸續(xù)恢復(fù)正常。同樣的道理，出現(xiàn)異常的用戶也不會(huì)馬上恢復(fù)正常，因?yàn)殄e(cuò)誤的記錄仍然在緩存中，最長(zhǎng)可能需要等待24個(gè)小時(shí)，緩存到期后，正確的記錄才會(huì)生效。
而對(duì)于一個(gè)大型網(wǎng)站來(lái)說(shuō)，其內(nèi)容一般不是全都放置在同一域名下。比如圖片、數(shù)據(jù)庫(kù)一般都采取不同的域名，當(dāng)有的域名緩存正確，有的域名緩存錯(cuò)誤時(shí)，就會(huì)出現(xiàn)頁(yè)面加載出來(lái)，而圖片出不來(lái)，或者圖片出來(lái)，文字?jǐn)?shù)據(jù)錯(cuò)亂的情況。
根據(jù)360安全中心發(fā)布的緊急通報(bào)，此次DNS故障可能是國(guó)外節(jié)點(diǎn)遭受大規(guī)模攻擊或者技術(shù)故障導(dǎo)致的。
什么是DNS根服務(wù)器？
域名解析服務(wù)器（DNS）是互聯(lián)網(wǎng)的核心基礎(chǔ)設(shè)施，是Domain Name System的縮寫(xiě)。根服務(wù)器主要用來(lái)管理互聯(lián)網(wǎng)的主目錄，全世界只有13臺(tái)。其中有10個(gè)在美國(guó)，另外3個(gè)分別在瑞典、荷蘭和日本。如果DNS根服務(wù)器的訪問(wèn)被切斷，那么互聯(lián)網(wǎng)可能徹底癱瘓。
這13臺(tái)DNS根服務(wù)器負(fù)責(zé)所有的解析工作，例如用戶要訪問(wèn)微博.com的時(shí)候，本地的DNS需要向13臺(tái)DNS發(fā)一個(gè)請(qǐng)求，來(lái)告訴我微博.com的IP地址是多少，才能夠返回。但是我們發(fā)現(xiàn)13臺(tái)根服務(wù)器當(dāng)中有1、2臺(tái)返回的IP地址是錯(cuò)的，這就導(dǎo)致很多網(wǎng)民在上網(wǎng)的時(shí)候，想去看微博，但是返回的IP地址不是微博的IP地址，所以就導(dǎo)致網(wǎng)站根本打不開(kāi)。
神秘IP地址引發(fā)黑客疑云
這次事故的原因是根域名服務(wù)器被污染，域名解析請(qǐng)求都被指“65.49.2.178”這個(gè)IP地址。
測(cè)試發(fā)現(xiàn)，F(xiàn)acebook、Twitter等國(guó)外域名解析正常，只是國(guó)內(nèi)域名遭到污染。即便如此，受到影響的范圍也是空前的，包括百度、新浪、騰訊在內(nèi)的國(guó)內(nèi)絕大多數(shù)網(wǎng)站出現(xiàn)訪問(wèn)異常，根域名服務(wù)器故障持續(xù)將近1小時(shí)。
據(jù)粗略估算，受到影響的國(guó)內(nèi)用戶超過(guò)2億，平均受影響的時(shí)間約在3小時(shí)左右。截至21日晚間1點(diǎn)，全國(guó)仍有十余個(gè)地區(qū)受DNS估值影響，包括貴州電信、河南電信、香港新世界、江蘇電信、北京電信通等。
國(guó)內(nèi)漏洞報(bào)告平臺(tái)“烏云”稱，65.49.2.178這個(gè)IP位于國(guó)外，有證據(jù)表明該IP所處于的網(wǎng)絡(luò)有過(guò)發(fā)送垃圾郵件及其他有政治目的的黑客活動(dòng)，不排除此次攻擊為黑客所為。
金山的一位安全專家稱，經(jīng)查詢65.49.2.178的信息，發(fā)現(xiàn)該IP位于美國(guó)北卡羅萊納州卡里鎮(zhèn)Dynamic Internet Technology公司?！按罅恐袊?guó)知名IT公司的域名被解析到美國(guó)某公司，從目前看該事件極可能是黑客攻擊行為?！痹搶＜艺f(shuō)。
去年8月25日凌晨，中國(guó).cn域名解析出現(xiàn)大規(guī)模解析故障。中國(guó)互聯(lián)網(wǎng)絡(luò)信息中心后來(lái)透露，當(dāng)日零時(shí)許，國(guó)家域名解析節(jié)點(diǎn)受到拒絕服務(wù)攻擊，經(jīng)處置，至2時(shí)許服務(wù)器恢復(fù)正常，這是有史以來(lái).cn域名遭受的最大規(guī)模拒絕服務(wù)攻擊。
不過(guò)，不少網(wǎng)絡(luò)安全專家都認(rèn)為，這次DNS污染事件影響之廣、范圍之大在國(guó)內(nèi)尚屬首例，遠(yuǎn)遠(yuǎn)超出一般黑客的能力范圍?！昂芸赡芘c主干網(wǎng)絡(luò)的設(shè)置調(diào)整有關(guān)?！鄙鲜鼍W(wǎng)絡(luò)安全專家說(shuō)。
驚魂一小時(shí)實(shí)況記錄
16：00 全國(guó)大量網(wǎng)站無(wú)法正常訪問(wèn)。有站長(zhǎng)發(fā)現(xiàn)其域名被劫持到一個(gè)美國(guó)IP 65.49.2.178。
16：41 網(wǎng)友發(fā)現(xiàn)百度是此次攻擊的對(duì)象之一，在百度的子域名n.baidu.com頁(yè)面下，黑客留下了一句話：Catch me if you can，充滿了濃重的挑釁意味。
16：55 目前網(wǎng)站的訪問(wèn)正在逐步恢復(fù)，Windows用戶可以嘗試 ipconfig /flushdns 刷新DNS緩存。解決方法：用戶可以打開(kāi)控制面板“網(wǎng)絡(luò)連接-屬性-Internet協(xié)議版本4”的DNS服務(wù)器地址修改為：（電 信）101.226.4.6 ，（聯(lián)通）123.125.81.6，（ 移動(dòng)）101.226.4.6，（ 鐵通）101.226.4.6?；蛘咴O(shè)置為：“8.8.8.8”?？蓵簳r(shí)緩解該問(wèn)題。
17：00 經(jīng)查詢65.49.2.178的信息，發(fā)現(xiàn)該IP位于美國(guó)北卡羅萊納州卡里鎮(zhèn)Dynamic Internet Technology公司。大量中國(guó)知名IT公司的域名被解析到美國(guó)某公司。金山毒霸安全專家認(rèn)為，從目前看該事件極可能是黑客攻擊行為。
為什么有的人正常，有的人異常？
這是因?yàn)闉榱思涌煊脩粼L問(wèn)速度，整個(gè)系統(tǒng)設(shè)有多級(jí)緩存，包括瀏覽器緩存、系統(tǒng)緩存、路由器緩存、DNS服務(wù)器緩存等等。
當(dāng)用戶訪問(wèn)一個(gè)網(wǎng)站時(shí)，其瀏覽器會(huì)自動(dòng)記錄域名對(duì)應(yīng)的IP一段時(shí)間，這樣用戶在第二次進(jìn)入該網(wǎng)站時(shí)，瀏覽器就不必向上一層級(jí)反復(fù)查詢，直接就可以告知用戶結(jié)果。同樣的，用戶的電腦、路由器和DNS服務(wù)器都會(huì)設(shè)置一定的緩存，當(dāng)然緩存是有時(shí)間限制的，到期就要向上級(jí)服務(wù)器查詢最新的記錄。
當(dāng)頂級(jí)根域名服務(wù)器出現(xiàn)故障時(shí)，用戶的訪問(wèn)不會(huì)馬上中斷，因?yàn)楦骷?jí)緩存還在。當(dāng)緩存時(shí)間到后，他們會(huì)向上一級(jí)重新查詢，這時(shí)根服務(wù)器的錯(cuò)誤反饋才會(huì)生效，導(dǎo)致用戶訪問(wèn)異常。然而這個(gè)緩存時(shí)間，因設(shè)置不同，差異很大。有的緩存時(shí)間只有30秒，有的緩存時(shí)間長(zhǎng)達(dá)12小時(shí)。
截至當(dāng)日下午4點(diǎn)，全國(guó)根服務(wù)器的解析陸續(xù)恢復(fù)正常。同樣的道理，出現(xiàn)異常的用戶也不會(huì)馬上恢復(fù)正常，因?yàn)殄e(cuò)誤的記錄仍然在緩存中，最長(zhǎng)可能需要等待24個(gè)小時(shí)，緩存到期后，正確的記錄才會(huì)生效。
而對(duì)于一個(gè)大型網(wǎng)站來(lái)說(shuō)，其內(nèi)容一般不是全都放置在同一域名下。比如圖片、數(shù)據(jù)庫(kù)一般都采取不同的域名，當(dāng)有的域名緩存正確，有的域名緩存錯(cuò)誤時(shí)，就會(huì)出現(xiàn)頁(yè)面加載出來(lái)，而圖片出不來(lái)，或者圖片出來(lái)，文字?jǐn)?shù)據(jù)錯(cuò)亂的情況。
下載文檔
