直连 cloudflare pages 被劫持到黄网(持续时间 17 点 45 到 20 点 49)

[VforVendetta]

今天观察到这种情况，做个记录。

[proxytoworld]

域名都没有，可信度不高

[Dart]

的确。毫无依据，请不要污蔑

[flyqie]

你确定不是本地运营商干的？

[esile]

一般是页面引用第三方 js 导致

[Aurorataro]

你怎么不说 V2EX 首页被劫持黄网。。好歹露出域名

[Binlabs]

@flyqie 本地运营商劫持到黄网？你这那脑洞够大

[JK2333]

大概率是用了某个油猴插件或者扩展导致的吧····

[ppllss]

求复现方法

[j16ZgMV9cs6ZB23n]

cloudflare pages 不是自带免费的 ssl 证书吗？怎么会允许劫持呢

```
* Server certificate:
* subject: CN=<domain_name>
* start date: Dec 5 03:12:03 2023 GMT
* expire date: Mar 4 03:12:02 2024 GMT
* subjectAltName: host "<domain_name>" matched cert's "<domain_name>"
* issuer: C=US; O=Let's Encrypt; CN=E1
* SSL certificate verify ok.
```

[ugpu]

@Binlabs
这很正常 深圳 广州 多少城中村 第三方承包宽带那种.

[Binlabs]

@ugpu 你说的这种是宽带二道贩子，不是运营商。

[ShuA1]

dns

[ncepuzs]

你这什么信息也没有啊
什么域名（ pages 默认域名还是自定义域名）、什么地方、什么宽带、什么 DNS 等等

[sycxyc]

DNS 抢答，测试有 20%概率抢答成功，能污染缓存 2 小时。
```
$ dig @8.8.8.8 pages.dev

; <<>> DiG ****** <<>> @8.8.8.8 pages.dev
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 21629
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;pages.dev. IN A

;; ANSWER SECTION:
pages.dev. 7200 IN A 156.251.239.*

;; Query time: ** msec
;; SERVER: 8.8.8.8#53(8.8.8.8) (UDP)
;; WHEN: ******
;; MSG SIZE rcvd: **
```

2023-12-11 已经观察到浏览器提示 pages.dev 的 HTTPS 证书不匹配，
查了下 DNS 日志，最早 2023-11-02 就有*.pages.dev 污染到 156.251.239.*段的行为。

推测：
在 ddos 某 isp ；
制造封锁依据，然后走流程；

相关信息：
https://www.v2ex.com/t/1000642
https://hostloc.com/thread-1244424-1-1.html

[flyqie]

@Binlabs #6

这不是脑洞，以前就有啊。

跳菠菜黄网，本地运营商内部人干的，你不知道？