浙江移动劫持 aliDNS 的解决方法之一

[KCheshireCat]

发现有劫持之后就开始抓包,发现抢答的回应非常像正常的回应,很难找到什么特点来过滤.
但是反过来发现 aliDNS 自己的回应很有特点:没有填写校验和,UDP 的校验和是可选的.
那么接下来的工作就简单了,我就做了点微小的工作

把 aliDNS 地址回应的包有校验和的包全部丢弃.

iptables -A INPUT -s 223.5.5.5 -p udp --sport 53 -m u32 ! --u32 "0x0>>0x16&0x3c@4&0xFFFF=0" -j DROP
iptables -A INPUT -s 223.6.6.6 -p udp --sport 53 -m u32 ! --u32 "0x0>>0x16&0x3c@4&0xFFFF=0" -j DROP
iptables -A FORWARD -s 223.5.5.5 -p udp --sport 53 -m u32 ! --u32 "0x0>>0x16&0x3c@4&0xFFFF=0" -j DROP
iptables -A FORWARD -s 223.6.6.6 -p udp --sport 53 -m u32 ! --u32 "0x0>>0x16&0x3c@4&0xFFFF=0" -j DROP

[roist]

然后铁通系统升级了

[JackyBao]

好奇问下， dns 劫持表现出来是什么样子的？完全没概念呢，谢谢！

[KCheshireCat]

@JackyBao

最明显的就是访问不存在的域名会被导向"错误页"

网页轮回跳转什么的

[lslqtz]

建议将地址走 VPS 隧道而不是直接丢弃。

[KCheshireCat]

@lslqtz

把伪造的包就没什么问题了啊,正常的包也会到达

如果走隧道查询,CDN 是个问题啊

[KCheshireCat]

@lslqtz

"把伪造的包丢弃就没什么问题了啊" 漏字了

[etc0]

今天晚上杭州移动的的缓存服务器貌似炸了吧，淘宝 天猫 百度啥的全都打不开，然后路由器设置了下让所有 dns 查询走 vpn 就正常了= = 然后再分享一个炸掉了的移动缓存服务器 ip 111.0.93.187 。

[KCheshireCat]

@etc0 移动的缓存服务器一直都很烂,我是前几天发现直播一直看不了,
然后发现移动用 DNS 把 crossdomain.xml 文件的域名解析劫持了,缓存又坏的.

[redsonic]

没填校验和说明不是国家队干的，投诉也解决不了

[lslqtz]

@KCheshireCat 直接丢弃感觉提示不太对 如果正常包被劫持到他们的缓存话...

[KCheshireCat]

@redsonic

没有校验和是好事啊,aliDNS 的正确的包没有校验和,UDP 没有校验和也是可以的

有校验和的反而是劫持的包...

[KCheshireCat]

@lslqtz

你理解错了,没有人会用这样的缓存服务,只有运营商会这样搞.

aliDNS 正常的响应都是没有校验和的,有校验和的都是伪造的包,而且应答的劫持地址还连不上.

[redsonic]

@KCheshireCat 我看错了。 另外如果是劫持的，然后还没有校验和的，一般都不是运营商的官方行为，有也是内鬼。

[lslqtz]

@KCheshireCat 你也说了 只有运营商会这么搞
要是运营商劫持你设定的 dns 并返回他们的缓存
那么你丢掉后 dns 整个就坏掉了...

[KCheshireCat]

@lslqtz

做劫持的通常是一个旁路设备,参考某国家级防火墙.这些设备通常不会直接拦截或者修改包,应为开销很大.

也就有后门的路由器或者公司内网的上网行为审计这样的设备才会做得很彻底.

我是做了抓包发现劫持包之后会有正确的包到达才会这么做的.有的时候正确的包还比劫持包快...

[Fulminit]

浙江移动 换了 AliDNS 之后某些网站打开巨慢...（或者根本就打不开）

[anubu]

windows 上能解决这个问题不能，路由器没刷机。被浙江移动劫持的不行不行的，稍微冷一点的域名第一次都打不开。

[bigw]

这些运营商恶心得一逼啊 我的 app 有个自动更新的功能 结果用户下载下来都是些乱七八糟的 app

[sorcerer]

好方法，我是用 unbound 采取 tcp 形式发送 dns 请求

[sorcerer]

@etc0 原来是缓存服务器炸了，它炸了才让我发现了移动的 dns 劫持