DNS域名解析大規(guī)模污染 頭號(hào)可疑IP：65.49.2.178

注：1月21日下午15時(shí)10分左右，國(guó)內(nèi)互聯(lián)網(wǎng)根域名服務(wù)器發(fā)生故障，導(dǎo)致大量網(wǎng)站無(wú)法正常訪問(wèn)?；⑿嵋参茨苄颐猓幱诋惓顟B(tài)近30分鐘。

16時(shí)18分，國(guó)內(nèi)DNS解析服務(wù)商DNSPod 發(fā)布緊急通知，確認(rèn)了此次異常，并明確表示“技術(shù)人員已聯(lián)系相關(guān)機(jī)構(gòu)協(xié)調(diào)處理”。此時(shí)根服務(wù)器已恢復(fù)正常，但由于緩存原因，部分地區(qū)異常狀態(tài)可能仍會(huì)持續(xù)12小時(shí)。

與此同時(shí)，“中國(guó)網(wǎng)絡(luò)癱瘓，疑遭黑客攻擊”的消息在Twitter、新浪微博及各類媒體上迅速傳播、蔓延。隨后的幾小時(shí)內(nèi)，新聞標(biāo)題已經(jīng)升級(jí)為“互聯(lián)網(wǎng)安全專家表示，此次故障或與黑客攻擊有關(guān)”。

此次故障持續(xù)大約20分鐘，波及全國(guó)十余個(gè)省，要實(shí)施如此大范圍的攻擊，難度相當(dāng)大。

在官方對(duì)此故障發(fā)表正式公告之前，一切都只是猜測(cè)。可以確認(rèn)的是，這是一次大規(guī)模的DNS污染。

DNS（Domain Name System）中文稱作域名系統(tǒng)，是將數(shù)字IP地址與字符域名相互映射的互聯(lián)網(wǎng)服務(wù) 。DNS 污染，是指通過(guò)制造域名服務(wù)器數(shù)據(jù)包，把域名指往不正確的IP地址。相應(yīng)的行為被稱作DNS劫持。

以下這篇來(lái)自新浪科技張楠的報(bào)道，盡可能地對(duì)此次故障原因進(jìn)行了探訪與分析。

這次故障是怎么回事？

“所有連接在互聯(lián)網(wǎng)上的設(shè)備都必須有一個(gè)IP地址，就像每個(gè)房子都有地址一樣，這樣才能讓別人找到。”寇博（一家國(guó)內(nèi)流量排名前十的網(wǎng)站運(yùn)維負(fù)責(zé)人）向新浪科技解釋。“這個(gè)IP地址是一段數(shù)字，例如120.84.21.23，但是用戶上網(wǎng)要記這段數(shù)字，太麻煩了，所以有了域名。”

域名就是IP地址的另一種體現(xiàn)方法，而DNS就是將域名翻譯成IP地址的翻譯器。比如，用戶在瀏覽器中輸入Facebook.com，瀏覽器就會(huì)向用戶最近的DNS服務(wù)器詢問(wèn)，“Facebook.com對(duì)應(yīng)的IP地址是什么？”

這個(gè)最近的DNS服務(wù)器一般是當(dāng)?shù)仉娦胚\(yùn)營(yíng)商的服務(wù)器。如果這個(gè)服務(wù)器不知道，他就會(huì)向上一級(jí)請(qǐng)求，一般是運(yùn)營(yíng)商的全國(guó)性DNS服務(wù)器。如果這個(gè)全國(guó)性DNS還不知道會(huì)向全球DNS服務(wù)器查詢。

這一級(jí)一級(jí)的層級(jí)中，最高一級(jí)是全球的13臺(tái)根服務(wù)器，名字分別為“A”至“M”，其中10臺(tái)設(shè)置在美國(guó)，另外各有一臺(tái)設(shè)置于英國(guó)、瑞典和日本。

為了防止上述服務(wù)器出現(xiàn)故障造成全球性訪問(wèn)異常，目前世界上很多國(guó)家都設(shè)有鏡像。我們國(guó)家在全網(wǎng)的出口也設(shè)有頂級(jí)的域名服務(wù)器。“這次網(wǎng)絡(luò)出現(xiàn)異常是這個(gè)服務(wù)器出現(xiàn)了解析錯(cuò)誤。”寇博解釋說(shuō)。

為什么有的人正常，有的人異常？

這是因?yàn)闉榱思涌煊脩粼L問(wèn)速度，整個(gè)系統(tǒng)設(shè)有多級(jí)緩存，包括瀏覽器緩存、系統(tǒng)緩存、路由器緩存、DNS服務(wù)器緩存等等。

當(dāng)用戶訪問(wèn)一個(gè)網(wǎng)站時(shí)，其瀏覽器會(huì)自動(dòng)記錄域名對(duì)應(yīng)的IP一段時(shí)間，這樣用戶在第二次進(jìn)入該網(wǎng)站時(shí)，瀏覽器就不必向上一層級(jí)反復(fù)查詢，直接就可以告知用戶結(jié)果。同樣的，用戶的電腦、路由器和DNS服務(wù)器都會(huì)設(shè)置一定的緩存，當(dāng)然緩存是有時(shí)間限制的，到期就要向上級(jí)服務(wù)器查詢最新的記錄。

當(dāng)頂級(jí)根域名服務(wù)器出現(xiàn)故障時(shí)，用戶的訪問(wèn)不會(huì)馬上中斷，因?yàn)楦骷?jí)緩存還在。當(dāng)緩存時(shí)間到后，他們會(huì)向上一級(jí)重新查詢，這時(shí)根服務(wù)器的錯(cuò)誤反饋才會(huì)生效，導(dǎo)致用戶訪問(wèn)異常。然而這個(gè)緩存時(shí)間，因設(shè)置不同，差異很大。有的緩存時(shí)間只有30秒，有的緩存時(shí)間長(zhǎng)達(dá)12小時(shí)。

截至當(dāng)日下午4點(diǎn)，全國(guó)根服務(wù)器的解析陸續(xù)恢復(fù)正常。同樣的道理，出現(xiàn)異常的用戶也不會(huì)馬上恢復(fù)正常，因?yàn)殄e(cuò)誤的記錄仍然在緩存中，最長(zhǎng)可能需要等待24個(gè)小時(shí)，緩存到期后，正確的記錄才會(huì)生效。

而對(duì)于一個(gè)大型網(wǎng)站來(lái)說(shuō)，其內(nèi)容一般不是全都放置在同一域名下。比如圖片、數(shù)據(jù)庫(kù)一般都采取不同的域名，當(dāng)有的域名緩存正確，有的域名緩存錯(cuò)誤時(shí)，就會(huì)出現(xiàn)頁(yè)面加載出來(lái)，而圖片出不來(lái)，或者圖片出來(lái)，文字?jǐn)?shù)據(jù)錯(cuò)亂的情況。

神秘IP地址引發(fā)黑客疑云

劉碩（國(guó)內(nèi)最大的數(shù)據(jù)中心之一的北京機(jī)房負(fù)責(zé)人）向新浪科技介紹說(shuō)，這次事故的原因是根域名服務(wù)器被污染，域名解析請(qǐng)求都被指向“65.49.2.178”這個(gè)IP地址。

不過(guò)，據(jù)劉碩對(duì)多個(gè)域名的測(cè)試發(fā)現(xiàn)，F(xiàn)acebook、Twitter等國(guó)外域名解析正常，只是國(guó)內(nèi)域名遭到污染。即便如此，受到影響的范圍也是空前的，包括百度、新浪、騰訊在內(nèi)的國(guó)內(nèi)絕大多數(shù)網(wǎng)站出現(xiàn)訪問(wèn)異常，根域名服務(wù)器故障持續(xù)將近1小時(shí)。

據(jù)粗略估算，受到影響的國(guó)內(nèi)用戶超過(guò)2億，平均受影響的時(shí)間約在3小時(shí)左右。截至21日晚間1哦點(diǎn)，全國(guó)仍有十余個(gè)地區(qū)受DNS估值影響，包括貴州電信、河南電信、香港新世界、江蘇電信、北京電信通等。

國(guó)內(nèi)漏洞報(bào)告平臺(tái)“烏云”稱，65.49.2.178這個(gè)IP位于國(guó)外，有證據(jù)表明該IP所處于的網(wǎng)絡(luò)有過(guò)發(fā)送垃圾郵件及其他有政治目的的黑客活動(dòng)，不排除此次攻擊為黑客所為。

金山的一位安全專家稱，經(jīng)查詢65.49.2.178的信息，發(fā)現(xiàn)該IP位于美國(guó)北卡羅萊納州卡里鎮(zhèn)Dynamic Internet Technology公司。“大量中國(guó)知名IT公司的域名被解析到美國(guó)某公司，從目前看該事件極可能是黑客攻擊行為。”該專家說(shuō)。

去年8月25日凌晨，中國(guó).cn域名解析出現(xiàn)大規(guī)模解析故障。中國(guó)互聯(lián)網(wǎng)絡(luò)信息中心后來(lái)透露，當(dāng)日零時(shí)許，國(guó)家域名解析節(jié)點(diǎn)受到拒絕服務(wù)攻擊，經(jīng)處置，至2時(shí)許服務(wù)器恢復(fù)正常，這是有史以來(lái).cn域名遭受的最大規(guī)模拒絕服務(wù)攻擊。

不過(guò)，劉碩和另一位網(wǎng)絡(luò)安全專家都認(rèn)為，這次DNS污染事件影響之廣、范圍之大在國(guó)內(nèi)尚屬首例，遠(yuǎn)遠(yuǎn)超出一般黑客的能力范圍。“很可能與主干網(wǎng)絡(luò)的設(shè)置調(diào)整有關(guān)。”上述網(wǎng)絡(luò)安全專家說(shuō)。