网上各种谣言纷飞啊，目睹整个过程必需来说说。
=================================================================
上面补充了一张图给不了解DNS工作原理的读者~~
15:20 接到一个CDN用户询问，只有一句话：节点挂了？我第一反应是curl测一下节点，咦连不上？再进行dig +trace，吓尿了……看图
w(ﾟДﾟ)w这是典型的墙啊……我就回了句卧槽你被墙照顾了？仔细一想，他就一个动漫论坛，不可能有这照顾啊，顺便下面放一张被墙照顾的域名的DNS跟踪图，像这样就肯定是墙干的好事了：
于是我联系了运维帮助协查，运维这一查艾玛吓尿了好吗，托管在我们DNS上的域名全部解析出来都是这鸟样……这不科学(╯‵□′)╯︵┻━┻难道我们被*照顾了？小心脏心跳速度骤增，这时候Q群消息变的多起来，咦百度打不开，QQ空间又挂了blablabla…
我再继续跟一下几个域名，我大概这辈子只能见到一次这样的trace图了：
百度和我自己的博客
我居然能和度娘在同机房！爽不爽！【群众：滚(╯—﹏—)╯（ ┷━━━┷
ovear君的截图，他使用的是TCP查询，TCP也被污染的话，你猜除了*还有谁能干？然后发现google家dns貌似是正常的~_~
与此同时运维也在各地的服务器上开始了跟踪查询，发现全国各地解析时间均为25ms左右。这时候结论就出来了。但是也许有人会说我的证据不够充分，那么我们再继续查查这个65.49.2.178是什么来头。
于是呢，我们在同C段的65.49.2.0/24查到了下面的网站：
关键词自己图里找
整理一下：
低延迟说明全国各地（至少在省内或者附近，不会南方跨到北方）直接返回被劫持的IP；
TCP查询同样中枪，排除黑阔采用全国发UDP包方式进行劫持；
同网段有那啥网站。
结论不写了。
================================================================
更新一下，有人问啥时候会恢复什么的。
劫持的影响大约只有15分钟。当时我查到的TTL是几万，也就是说，在电信运营商没对递归DNS手工刷新缓存的情况下，可能还需要间断受影响几个小时。不正常的可以试试更换DNS为8.8.8.8，或者等几小时再看看，后继影响略严重的样子=_=
via 细节的力量 http://ift.tt/1ecyN17
No comments:
Post a Comment