多省访问请求异常跳转至博彩网站：DNS 劫持调查-字节棱镜 (Byte Prism)

用户点开收藏夹中的正常网站，浏览器地址栏可能仍显示原域名，页面却落到了博彩网站。IT之家援引国家互联网应急中心的调查称，近期中国多个省份多次发生用户访问请求异常跳转，相关域名篡改被定位在中国境外自治域 AS 402425 内。

就此次调查结论而言，关键不在某个网站修改了跳转按钮，而在于攻击者先劫持部分流量，再篡改其中的 DNS 解析数据。因此，仅靠修改网站配置、清理浏览器缓存或更换本地 DNS，都不足以切断攻击链路。

虚假路由和 DNS 篡改是怎样串起来的

攻击者利用其控制的自治域发布虚假源地址前缀和虚假短路径，使原本应沿正常路径传输的流量被引向其控制的链路，从而劫持中国境内部分流量。

流量被劫持后，DNS 篡改主要有两种方式。第一种是直接修改 DNS 应答中的解析值，让原域名指向博彩网站地址；第二种是先把解析值改为恶意 DNS 服务器地址，用户继续查询时，再由恶意 DNS 服务器返回博彩网站地址。前者是在一次应答中直接“指错地址”，后者则增加了一层恶意解析节点。

技术测量确认，相关域名篡改发生在中国境外自治域 AS 402425 内。因此，网站源站及其后台可能仍然正常，异常只在部分运营商、地区或网络链路中显现。不能仅凭源站访问正常就立即排除风险，否则容易漏掉实际的劫持点。

哪些变化值得开发者立即排查

排查时应先寻找关联信号，而不是看到一次 IP 变化便认定遭到攻击。可以将自有域名替换到以下命令中，从不同网络环境分别执行：

dig example.com A +noall +answer
dig example.com AAAA +noall +answer
dig example.com CNAME +noall +answer
dig +trace example.com
sudo tcpdump -ni any 'port 53'

调查报告建议重点监测三类变化：核心业务域名解析 IP 发生变化、DNS 应答报文异常、路由路径异常变更；多地用户在同一时段出现跳转，也是重要线索。对开发者而言，不能只查看本地 dig 结果，还应比较多个递归解析器和多个地区探测节点，观察 TTL、CNAME、目标 IP 池及变化时间是否一致。

CDN 调度、负载均衡和正常业务迁移同样会改变解析结果，因此单次、单点变化不能证明发生了攻击。若异常同时出现在多个独立网络，并伴随 DNS 应答内容变化、路由路径异常和用户跳转报告，证据链才更完整。dig +trace 主要用于观察 DNS 委派过程，路由侧仍需结合运营商日志或路由监测数据核查。

确认发生劫持后，应保存异常时间、解析结果和报文信息，及时向上游运营商申告，要求处置异常路由宣告并切断劫持链路。