Cloudflare 的一个节点疑似也被中间人

[Xiaomage2333]

RT，我刚在查找资料时进入了一个网站，结果提示连接不是私密连接。证书跟 GitHub pages 被劫持的证书一样。想到可能是受到 GitHub pages 被中间人的影响，这个网站可能用的是 GitHub pages 。 于是我就 nslookup 了一下，看看是不是 github 用的 fastly CDN. 看到 nslookup 结果我就傻了：

服务器:  pdns.dnspod.cn
Address:  119.29.29.29
非权威应答:
名称:    (被访问网站的域名)
Addresses:  2606:4700:3035::681b:ae1d
          2606:4700:3037::681b:af1d
          104.27.175.29
          104.27.174.29

104.27.175.29 不是 cloudflare 的节点吗？ ipip 查询结果也显示“美国 CloudFlare 公司 CDN 节点” CF 也被劫持了？ 我自己有个用 cf 的小站，我在 host 里指定 ip 为 104.27.175.29 ，也被劫持了。对 V2EX 进行同样操作，也被劫持。

我的网络环境是山东电信；山东移动 4G 提示连接超时。大家可以试一试。

[Xiaomage2333]

补一张图 https://i.loli.net/2020/03/26/pB2yUC8WbxT1Oda.png

[Cipool]

北京电信复现

[villivateur]

@d1540076394 v2ex?

[Xiaomage2333]

@villivateur V2EX 用的也是 cf 的 CDN

[justin2018]

curl -vvv https://v2ex.com 腾某云

* SSL connection using TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
* Server certificate:
* subject: CN=v2ex.com,O="CloudFlare, Inc.",L=San Francisco,ST=CA,C=US
* start date: Jun 20 00:00:00 2019 GMT
* expire date: Jun 19 12:00:00 2020 GMT
* common name: v2ex.com
* issuer: CN=CloudFlare Inc ECC CA-2,O="CloudFlare, Inc.",L=San Francisco,ST=CA,C=US
0 0 0 0 0 0 0 0 --:--:-- 0:00:01 --:--:-- 0> GET / HTTP/1.1
> User-Agent: curl/7.29.0
> Host: v2ex.com
> Accept: */*

[Xiaomage2333]

@justin2018 你的服务器改 host 了吗？直接访问 V2EX 是没问题的，改成那个特定的节点才会报错。刚才又试了一下，这一会我这里已经不能复现了，可能是暂时的，跟地区也有关，你可以再试试

[justin2018]

@d1540076394 原来如此 我看漏了 ~

[ZRS]

可能是所有路由经过那的 TLS 请求都被劫持了吧

[miaomiao888]

应该是蔷在测试新技术 ...
有说京东也受影响的但那人页面的 IP 显示美国，说明可能 DNS 解析到国外，需要经过 GFW 的都可能被劫持

[chotow]

https://phptherightway.com/ 也挂了

[loukky]

这是我很久以前测过的
https://photo.weibo.com/1811312013/wbphotos/large/mid/4401620093877011/pid/6bf66d8dgy1g5ns2b6xoug21hc0swu14

[dndx]

这个太牛逼了：

```
curl https://cloudflare.com/cdn-cgi/trace --resolve cloudflare.com:443:104.27.175.29 -vk
* Server certificate:
* subject: C=CN; ST=GD; L=SZ; O=COM; OU=NSP; CN=SERVER; emailAddress=[e-mail]
* start date: Sep 26 09:33:13 2019 GMT
* expire date: Sep 23 09:33:13 2029 GMT
* issuer: C=CN; ST=GD; L=SZ; O=COM; OU=NSP; CN=CA; emailAddress=[e-mail]
* SSL certificate verify result: self signed certificate in certificate chain (19), continuing anyway.

ip=自己的 IP 地址

CF 返回的 client IP 还是自己真实的 IP，所以劫持的人不仅控制了出国的路由，回国的也被控制了。这是三网全国出国骨干路由器都被控制了的节奏？