网络安全知识小讲堂 | 一条更近的路，通向的不是你要的网站

原创

武汉网络安全
武汉网络安全

武汉网络安全

2026年10月22日 17:51
湖北

去阅读

点击上方蓝字 关注武汉网络安全

从路由宣告到 DNS 应答，改动都发生在你看不见的地方。

据国家互联网应急中心（CNCERT）10 月 20 日消息，中国多个省份多次出现用户访问请求被异常跳转至博彩网站的事件。经分析，攻击者利用境外自治域 AS 402425，先发布虚假路由把境内部分流量引到自己身上，再改掉这段流量里的 DNS 解析数据。

全程不需要碰用户的电脑。

本文事实与数据引自国家互联网应急中心（CNCERT）《关于中国境外自治域 AS 402425 恶意篡改部分 DNS 解析数据的调查报告》（2026-10-20），出处见文末。

01

先宣告一条更短的假路

互联网由一个个自治域（AS）拼接而成，域与域之间靠 BGP 协议互相通告“我这里的 IP 前缀该怎么走”。同一前缀收到多条路径时，路由器默认取 AS\_PATH 最短的那条——经过的自治域越少，这条路越优先。

攻击者的第一步就落在这里：在互联网路由注册库注册虚假源地址前缀和虚假自治域集合，用其控制的自治域发布一条更短的假路径。邻近网络收到后按最短优先原则转发，本该发往别处的境内部分流量，就先经过它这里。

自治域之间的通告是相互信任的，收到就转发，不做身份验证。报告因此把对路由宣告进行校验放在运营商一侧，校验的正是宣告内容与注册库记录是否对得上。

这一步不接触任何终端。用户端看不出异常，最多觉得网页打开慢了一点。

选路只看路径长短，不验证这条路是不是真的存在。

02

再改答案，或者换掉给答案的服务器

流量到手之后，攻击者对其中的 DNS 解析数据下手，主要有两种手法：一是把 DNS 解析值直接改成博彩网站地址；二是把 DNS 解析值指向恶意 DNS 服务器地址，用户再向它请求域名解析时，拿回的仍是博彩网站地址。

两种手法能成立，是因为 DNS 应答报文在 UDP 53 端口上明文传递，路径上的任一环节都能改写内容。改一条 A 记录，用户就去了另一个 IP；改一条 NS 记录，用户之后的解析请求都会先经过攻击者控制的服务器。

DNS 处在访问链的最前端。域名到 IP 这一步被改掉，后面建立连接、传输数据都会跟着走向另一个目的地：攻击者动的是一个应答报文，受影响的是这段路径上的全部访问。

落到终端与平台侧，留下的是同一组痕迹：域名解析出的 IP 与权威记录不一致、递归 DNS 地址变成非本网配置的服务器、访问路径里多出一跳陌生自治域。

地址栏上的域名没错，拿到手的 IP 却已经不是它本来的地址。

03

发现它，要靠三处比对

报告给平台的建议里，把监测点写得很具体：核心业务域名解析 IP 变化、DNS 应答报文异常、路由路径异常变更。这三处正对着前两步改动留下的位置。

三处各管一段。解析 IP 变化看的是结果有没有被换，应答报文异常看的是报文有没有被动过，路由路径变更看的是流量有没有绕道。前两处比对数据，后一处比对路径。

比对得先有基准。把业务域名在权威记录上的解析结果定期留档，再拿它对实时解析出来的 IP，是成本最低的一种发现方式；报告所说的解析 IP 变化，比的就是这个差值。

网页能打开不等于没被劫持，解析结果对不对，要拿基准去比。

04

篡改落在哪里，是量出来的

报告称经技术测量确认，域名篡改发生在中国境外自治域 AS 402425 内，该自治域于 2026 年 4 月 9 日在美洲互联网号码注册管理机构 ARIN 注册。定位结论指向自治域本身，说明改动点在传递路径上，既不在域名权威服务器一侧，也不在用户本机。

报告另列出 19 个域名篡改后指向的恶意 IP 地址，清单见报告原文，不在此逐条罗列。

整条链收成四步：宣告虚假路由 → 劫持境内流量 → 篡改 DNS 解析 → 跳转恶意站点。

改动发生在链路中间，终端上装什么软件都拦不住。

05

防护建议

报告把建议分成机构侧与个人侧，按该谁动手落成三组。

网络运营者

1. 运营商在边界路由设备配置路由过滤策略，对路由宣告做校验，拒绝接收并删除包含 AS 402425 的恶意路由

2. 平台加强监测核心业务域名解析 IP 变化、DNS 应答报文异常、路由路径异常变更

3. 确认发生劫持后，及时向上游运营商申告，要求处置异常路由宣告，切断劫持链路

号码资源机构

4. 地区互联网注册机构、IP 地址交易平台等及时核查并注销 AS 402425 等恶意 AS 资源

个人用户

5. 使用经过验证的可信公共 DNS 服务，不用来源不明的 DNS 服务

6. 页面跳转到恶意网站时，不点击页面内任何按钮与链接、不下载页面提供的程序，立刻关闭网页并清理浏览器缓存

7. 保持终端操作系统与浏览器更新至最新版本，开启系统安全防护软件

机构侧的动作解决的是链路上的问题，个人侧能做的，是在跳转已经发生时尽快止损。

路由表上多一条更近的路，打开的网页就换了地方。

你手里的 DNS，是谁在给答案？

本文事实依据：
1. 国家互联网应急中心（CNCERT）：《关于中国境外自治域 AS 402425 恶意篡改部分 DNS 解析数据的调查报告》，2026-10-20，https://www.cert.org.cn/publish/main/11/2026/20261020214410947717866/20261020214410947717866\_.html
2. 国家互联网应急中心（CNCERT）：《关于中国境外自治域 AS 402425 恶意篡改部分 DNS 解析数据的调查报告》报告全文（含恶意 IP 清单），2026-10-20，https://www.cert.org.cn/publish/main/upload/File/AS%20402425-report.pdf

往期回顾 AI战队夺得攻击排名第一，2026黄鹤杯网络安全人才创新大赛圆满收官（附获奖名单） 明天开赛！2026黄鹤杯网络安全人才创新大赛决赛即将开赛 倒计时2天！2026黄鹤杯网络安全人才创新大赛决赛即将开赛