部分家用路由器被修改 DNS 被篡改导致无法解析部分域名

[johnjiang85]

各位家用路由器用户，建议检查自己的路由器的 DNS 是否被修改为了类似以下 IP （包括但不限于以下 IP ），如果被改为了以下 IP ，不排除家用路由器被入侵的可能，建议升级路由器固件并修改 DNS 为运营商递归 DNS 或 119.29.29.29 等知名公共 DNS 。

• 122.9.187.125 上海华为云
• 118.31.55.110 浙江阿里云
• 47.102.126.197 上海阿里云
• 8.140.21.95 北京阿里云
• 101.37.71.80 浙江阿里云
• 47.113.115.236 广东阿里云
• 47.109.47.151 四川阿里云

这部分递归 DNS 典型特征如下图所示，

能解析的域名 ttl 改为了 86400 秒，即 1 天； 间歇性存在大量域名无法正常解析的问题，返回 NXDOMAIN+错误的 soa 记录：ns1.<请求的域名>; 使用 unbound-1.16.2 作为递归 dns ； 大约从 2024 年 5 月左右开始出现。

ttl

nxdomain

递归 dns

原文链接

DNSPod 官方公告： https://docs.dnspod.cn/notices/bu-fen-jia-yong-lu-you-qi-bei-xiu-gai-dns-wu-fa-jie-xi-wen-ti-pai-cha/

根据测试，大约 2024.8.6 23:45 左右导致本次故障大规模爆发的几个覆盖用户量比较大的域名在异常 DNS 服务器上恢复了，但受 TTL 及客户端本地缓存的影响，客户端的恢复时间会有一定的滞后性。虽然本次较大面积的持续故障目前看已经收敛，但该隐患是依然持续存在的，不排除后续继续爆发问题的可能，以及还有其他域名依然无法解析的可能，依然建议继续检查路由器配置并进行修复。

[flynaj]

openwrrt 直接上 smartdns

[yyzh]

hw 行动搞的?现在正常人申请不了 53 端口.干坏事一查你就逃不掉
https://help.aliyun.com/noticelist/articleid/1073494210.html

[52acca]

OP ，最近成都电信经常性用 dnspod 的 doh 、dot 和个人账户里面的 ipv6 地址解析都是超高延迟，不知道啥情况，最近出现的，alidns 没问题

[johnjiang85]

@52acca 我等转发给对应同事看看，不过最好能提供解析慢的域名等相关信息，如果分配的独立前缀不方面发出来的话（或者可以工单提供），也可以发下分配的 ipv4 地址和 ipv6 地址，找对应同学后台匹配下

[johnjiang85]

@flynaj 主要是一些传统路由器

[leido]

@52acca 阿里 dns v4 地址在成都就接入阿里云了，dnspod 上次测试还路由北上广

[johnjiang85]

@leido 对，我们的 anycast 目前没有成都节点

[52acca]

@leido 我指的超级慢是 200+甚至上千 ms 的延迟，阿里的 doh 和 dot 只有平均 5ms ，正常情况 dnspod 是 40ms 左右

[52acca]

@johnjiang85 哎，不敢发啊，怕被别人撸额度。就个人使用而且只用于解析腾讯系域名，上个月就超额度了，这个月个人账户都只敢用 v6 地址，不敢用 doh 和 dot 了。

[52acca]

@johnjiang85 阿里是免费 1000 万解析，你们 300 万，一个 doh 或 dot 查询就算 8 次，实在是不够用，能否至少跟阿里看齐一下呢？

[johnjiang85]

@52acca 这个我就控制不了，只能说解析慢的域名发下我找人看下

[sunnysab]

@yyzh 会不会有人假装开个权威域名服务器，审核通过后换成递归的。

[txydhr]

@yyzh 不是，感觉像是广告

[johnjiang85]

@52acca 从成都的 2402:4e00:1701:c000::1 测试 2402:4e00::，基本都是没有缓存，总体在正常范围内吧，应该主要还是用 ipv6 的太少了，缓存命中率太低的原因，且没有支持乐观 dns

```

[root@blog ~]# dig @2402:4e00:0::2ae4:2e8d www.lovelyping.com

; <<>> DiG 9.18.0 <<>> @2402:4e00:0::2ae4:2e8d www.lovelyping.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 23442
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; COOKIE: d5dd7fc35a32c667 (echoed)
;; QUESTION SECTION:
;www.lovelyping.com. IN A

;; ANSWER SECTION:
www.lovelyping.com. 600 IN A 42.193.40.3

;; Query time: 102 msec
;; SERVER: 2402:4e00::2ae4:2e8d#53(2402:4e00:0::2ae4:2e8d) (UDP)
;; WHEN: Tue Aug 06 14:01:42 CST 2024
;; MSG SIZE rcvd: 75

[root@blog ~]# dig @2402:4e00:0::2ae4:2e8d www.qq.com

; <<>> DiG 9.18.0 <<>> @2402:4e00:0::2ae4:2e8d www.qq.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 42918
;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; COOKIE: 8ce1025a22679f2c (echoed)
;; QUESTION SECTION:
;www.qq.com. IN A

;; ANSWER SECTION:
www.qq.com. 300 IN CNAME ins-r23tsuuf.ias.tencent-cloud.net.
ins-r23tsuuf.ias.tencent-cloud.net. 120 IN A 109.244.211.81
ins-r23tsuuf.ias.tencent-cloud.net. 120 IN A 109.244.211.100

;; Query time: 174 msec
;; SERVER: 2402:4e00::2ae4:2e8d#53(2402:4e00:0::2ae4:2e8d) (UDP)
;; WHEN: Tue Aug 06 14:01:49 CST 2024
;; MSG SIZE rcvd: 131

[root@blog ~]# dig @2402:4e00:0::2ae4:2e8d www.baidu.com

; <<>> DiG 9.18.0 <<>> @2402:4e00:0::2ae4:2e8d www.baidu.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 1396
;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; COOKIE: 672f6cf8ff8c1704 (echoed)
;; QUESTION SECTION:
;www.baidu.com. IN A

;; ANSWER SECTION:
www.baidu.com. 1200 IN CNAME www.a.shifen.com.
www.a.shifen.com. 120 IN A 183.2.172.42
www.a.shifen.com. 120 IN A 183.2.172.185

;; Query time: 137 msec
;; SERVER: 2402:4e00::2ae4:2e8d#53(2402:4e00:0::2ae4:2e8d) (UDP)
;; WHEN: Tue Aug 06 14:01:55 CST 2024
;; MSG SIZE rcvd: 113

[root@blog ~]# dig @2402:4e00:0::2ae4:2e8d www.sina.com.cn

; <<>> DiG 9.18.0 <<>> @2402:4e00:0::2ae4:2e8d www.sina.com.cn
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 5085
;; flags: qr rd ra; QUERY: 1, ANSWER: 10, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; COOKIE: 1bd50e8d1afefdcc (echoed)
;; QUESTION SECTION:
;www.sina.com.cn. IN A

;; ANSWER SECTION:
www.sina.com.cn. 60 IN CNAME spool.grid.sinaedge.com.
spool.grid.sinaedge.com. 60 IN CNAME ww1.sinaimg.cn.w.alikunlun.com.
ww1.sinaimg.cn.w.alikunlun.com. 60 IN A 110.185.116.236
ww1.sinaimg.cn.w.alikunlun.com. 60 IN A 110.185.116.231
ww1.sinaimg.cn.w.alikunlun.com. 60 IN A 110.185.116.232
ww1.sinaimg.cn.w.alikunlun.com. 60 IN A 110.185.116.229
ww1.sinaimg.cn.w.alikunlun.com. 60 IN A 110.185.116.230
ww1.sinaimg.cn.w.alikunlun.com. 60 IN A 110.185.116.233
ww1.sinaimg.cn.w.alikunlun.com. 60 IN A 110.185.116.234
ww1.sinaimg.cn.w.alikunlun.com. 60 IN A 110.185.116.235

;; Query time: 137 msec
;; SERVER: 2402:4e00::2ae4:2e8d#53(2402:4e00:0::2ae4:2e8d) (UDP)
;; WHEN: Tue Aug 06 14:02:02 CST 2024
;; MSG SIZE rcvd: 262

[root@blog ~]# dig @2402:4e00:0::2ae4:2e8d www.taobao.com

; <<>> DiG 9.18.0 <<>> @2402:4e00:0::2ae4:2e8d www.taobao.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 19397
;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; COOKIE: 2c2d03db44bbdec6 (echoed)
;; QUESTION SECTION:
;www.taobao.com. IN A

;; ANSWER SECTION:
www.taobao.com. 579 IN CNAME www.taobao.com.danuoyi.tbcache.com.
www.taobao.com.danuoyi.tbcache.com. 60 IN A 163.177.180.107
www.taobao.com.danuoyi.tbcache.com. 60 IN A 163.177.180.108

;; Query time: 33 msec
;; SERVER: 2402:4e00::2ae4:2e8d#53(2402:4e00:0::2ae4:2e8d) (UDP)
;; WHEN: Tue Aug 06 14:02:12 CST 2024
;; MSG SIZE rcvd: 132

[root@blog ~]# dig @2402:4e00:0::2ae4:2e8d www.jd.com

; <<>> DiG 9.18.0 <<>> @2402:4e00:0::2ae4:2e8d www.jd.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 63704
;; flags: qr rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; COOKIE: 8e1a619943fb5cdc (echoed)
;; QUESTION SECTION:
;www.jd.com. IN A

;; ANSWER SECTION:
www.jd.com. 120 IN CNAME www.jd.com.gslb.qianxun.com.
www.jd.com.gslb.qianxun.com. 60 IN CNAME www.jd.com.s.galileo.jcloud-cdn.com.
www.jd.com.s.galileo.jcloud-cdn.com. 60 IN CNAME wwwv6.jcloudimg.com.
wwwv6.jcloudimg.com. 60 IN A 117.72.225.3

;; Query time: 370 msec
;; SERVER: 2402:4e00::2ae4:2e8d#53(2402:4e00:0::2ae4:2e8d) (UDP)
;; WHEN: Tue Aug 06 14:02:16 CST 2024
;; MSG SIZE rcvd: 181

[root@blog ~]# dig @2402:4e00:0::2ae4:2e8d www.pinduoduo.com

; <<>> DiG 9.18.0 <<>> @2402:4e00:0::2ae4:2e8d www.pinduoduo.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 23905
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; COOKIE: 5c77ebe23d32511f (echoed)
;; QUESTION SECTION:
;www.pinduoduo.com. IN A

;; ANSWER SECTION:
www.pinduoduo.com. 60 IN A 150.158.224.195

;; Query time: 70 msec
;; SERVER: 2402:4e00::2ae4:2e8d#53(2402:4e00:0::2ae4:2e8d) (UDP)
;; WHEN: Tue Aug 06 14:02:27 CST 2024
;; MSG SIZE rcvd: 74
```

[biglee0304]

和 dnspod 有关系吗，用户反馈有点多，查到一个 ip 之前被 dnspod 的域名解析出来过
opendns.ip.dnspod.net 曾经解析出过 121.43.166.60 这个劫持 dns

[johnjiang85]

@biglee0304 和 dnspod 没啥关系，应该是有个阿里云和华为云的租户，租用了阿里和华为的资源搭建了递归 dns ；然后不知道通过什么手段修改了用户路由器上的 dns ；然后这个 dns 经常解析各种域名有问题。

[52acca]

@johnjiang85 昨天到今天是正常的，我的 adguardhome 上显示两个 ipv6 地址的平均延迟是 40 多 ms ，dot.pub 和 doh.pub 也差不多，前几天基本上持续性都有问题

[bclerdx]

@johnjiang85 那都有哪些节点？

[johnjiang85]

@bclerdx 可以通过全球 ping 找到。119.29.29.29 目前应该是北京、上海、广州、香港、新加坡、孟买、硅谷、法兰克福

[microluo061]

还发现类似情况的 IP:
47.115.150.255 广东阿里云

[microluo061]

DNSPod 官方公告怎么 404 了？

[qrjgb]

dnspod 有些地区省份没有 anycast 节点，为什么不增加几个

[johnjiang85]

@microluo061 暂时恢复了，就先下掉了，但是隐患还是存在的。

[johnjiang85]

@microluo061 有问题的 IP 其实很多，只公告了很少一部分，更多的 IP 也可以参考这个吧： https://mp.weixin.qq.com/s/6r4KxS3rtj6k1T4yCNV2Dw

[johnjiang85]

他们掌握的 IP 可能比我们更全，毕竟我们不是搞安全的。

[microka]

今天频繁遇到上面的情况（访问之前没解析过的域名会出现上面的提示，约 2 秒后能正确解析访问，中途没有手动刷新页面）

我是 ImmortalWrt 21.02.7 ，wan1 自动获取电信 DNS 1: 202.96.134.133, DNS 2: 202.96.128.166 ，wan2 自动获取移动 DNS 1: 211.136.192.6, DNS 2: 120.196.165.24 。wan1 DNS 权重 10 ，wan2 DNS 权重 20 （请问这里 DNS 权重是数值越大越优先选用吗？我的理解是和网关跃点一样数值越小越优先，不知是否理解错了）。

/tmp/resolv.conf 内容为：
search lan
nameserver 127.0.0.1
nameserver ::1

/tmp/resolv.conf.d/resolv.conf.auto 内容为：
# Interface wan_6
nameserver 240e:1f:1::1
# Interface wan_cmcc_6
nameserver 2409:8057:2000:2::8
nameserver 2409:8057:2000:6::8
# Interface wan
nameserver 202.96.134.133
nameserver 202.96.128.166
# Interface wan_cmcc
nameserver 211.136.192.6
nameserver 120.196.165.24

路由器上执行 dig @[DNS IP] version.bind chaos txt 返回结果均为超时
https://paste.debian.net/plain/1325953

路由器上执行 dig @[DNS IP] www.pinduoduo.com / www.lovelyping.com 也没发现 ttl 异常情况
https://paste.debian.net/plain/1325954

请问我这个是哪里出了问题吗？