部分家用路由器被修改 DNS 被篡改导致无法解析部分域名

[johnjiang85]

各位家用路由器用户，建议检查自己的路由器的 DNS 是否被修改为了类似以下 IP （包括但不限于以下 IP ），如果被改为了以下 IP ，不排除家用路由器被入侵的可能，建议升级路由器固件并修改 DNS 为运营商递归 DNS 或 119.29.29.29 等知名公共 DNS 。

• 122.9.187.125 上海华为云
• 118.31.55.110 浙江阿里云
• 47.102.126.197 上海阿里云
• 8.140.21.95 北京阿里云
• 101.37.71.80 浙江阿里云
• 47.113.115.236 广东阿里云
• 47.109.47.151 四川阿里云

这部分递归 DNS 典型特征如下图所示，

能解析的域名 ttl 改为了 86400 秒，即 1 天； 间歇性存在大量域名无法正常解析的问题，返回 NXDOMAIN+错误的 soa 记录：ns1.<请求的域名>; 使用 unbound-1.16.2 作为递归 dns ； 大约从 2024 年 5 月左右开始出现。

ttl

nxdomain

递归 dns

原文链接

[flynaj]

openwrrt 直接上 smartdns

[yyzh]

hw 行动搞的?现在正常人申请不了 53 端口.干坏事一查你就逃不掉
https://help.aliyun.com/noticelist/articleid/1073494210.html

[52acca]

OP ，最近成都电信经常性用 dnspod 的 doh 、dot 和个人账户里面的 ipv6 地址解析都是超高延迟，不知道啥情况，最近出现的，alidns 没问题

[johnjiang85]

@52acca 我等转发给对应同事看看，不过最好能提供解析慢的域名等相关信息，如果分配的独立前缀不方面发出来的话（或者可以工单提供），也可以发下分配的 ipv4 地址和 ipv6 地址，找对应同学后台匹配下

[johnjiang85]

@flynaj 主要是一些传统路由器

[leido]

@52acca 阿里 dns v4 地址在成都就接入阿里云了，dnspod 上次测试还路由北上广

[johnjiang85]

@leido 对，我们的 anycast 目前没有成都节点

[52acca]

@leido 我指的超级慢是 200+甚至上千 ms 的延迟，阿里的 doh 和 dot 只有平均 5ms ，正常情况 dnspod 是 40ms 左右

[52acca]

@johnjiang85 哎，不敢发啊，怕被别人撸额度。就个人使用而且只用于解析腾讯系域名，上个月就超额度了，这个月个人账户都只敢用 v6 地址，不敢用 doh 和 dot 了。

[52acca]

@johnjiang85 阿里是免费 1000 万解析，你们 300 万，一个 doh 或 dot 查询就算 8 次，实在是不够用，能否至少跟阿里看齐一下呢？

[johnjiang85]

@52acca 这个我就控制不了，只能说解析慢的域名发下我找人看下

[sunnysab]

@yyzh 会不会有人假装开个权威域名服务器，审核通过后换成递归的。

[txydhr]

@yyzh 不是，感觉像是广告

[johnjiang85]

@52acca 从成都的 2402:4e00:1701:c000::1 测试 2402:4e00::，基本都是没有缓存，总体在正常范围内吧，应该主要还是用 ipv6 的太少了，缓存命中率太低的原因，且没有支持乐观 dns

```

[root@blog ~]# dig @2402:4e00:0::2ae4:2e8d www.lovelyping.com

; <<>> DiG 9.18.0 <<>> @2402:4e00:0::2ae4:2e8d www.lovelyping.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 23442
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; COOKIE: d5dd7fc35a32c667 (echoed)
;; QUESTION SECTION:
;www.lovelyping.com. IN A

;; ANSWER SECTION:
www.lovelyping.com. 600 IN A 42.193.40.3

;; Query time: 102 msec
;; SERVER: 2402:4e00::2ae4:2e8d#53(2402:4e00:0::2ae4:2e8d) (UDP)
;; WHEN: Tue Aug 06 14:01:42 CST 2024
;; MSG SIZE rcvd: 75

[root@blog ~]# dig @2402:4e00:0::2ae4:2e8d www.qq.com

; <<>> DiG 9.18.0 <<>> @2402:4e00:0::2ae4:2e8d www.qq.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 42918
;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; COOKIE: 8ce1025a22679f2c (echoed)
;; QUESTION SECTION:
;www.qq.com. IN A

;; ANSWER SECTION:
www.qq.com. 300 IN CNAME ins-r23tsuuf.ias.tencent-cloud.net.
ins-r23tsuuf.ias.tencent-cloud.net. 120 IN A 109.244.211.81
ins-r23tsuuf.ias.tencent-cloud.net. 120 IN A 109.244.211.100

;; Query time: 174 msec
;; SERVER: 2402:4e00::2ae4:2e8d#53(2402:4e00:0::2ae4:2e8d) (UDP)
;; WHEN: Tue Aug 06 14:01:49 CST 2024
;; MSG SIZE rcvd: 131

[root@blog ~]# dig @2402:4e00:0::2ae4:2e8d www.baidu.com

; <<>> DiG 9.18.0 <<>> @2402:4e00:0::2ae4:2e8d www.baidu.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 1396
;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; COOKIE: 672f6cf8ff8c1704 (echoed)
;; QUESTION SECTION:
;www.baidu.com. IN A

;; ANSWER SECTION:
www.baidu.com. 1200 IN CNAME www.a.shifen.com.
www.a.shifen.com. 120 IN A 183.2.172.42
www.a.shifen.com. 120 IN A 183.2.172.185

;; Query time: 137 msec
;; SERVER: 2402:4e00::2ae4:2e8d#53(2402:4e00:0::2ae4:2e8d) (UDP)
;; WHEN: Tue Aug 06 14:01:55 CST 2024
;; MSG SIZE rcvd: 113

[root@blog ~]# dig @2402:4e00:0::2ae4:2e8d www.sina.com.cn

; <<>> DiG 9.18.0 <<>> @2402:4e00:0::2ae4:2e8d www.sina.com.cn
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 5085
;; flags: qr rd ra; QUERY: 1, ANSWER: 10, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; COOKIE: 1bd50e8d1afefdcc (echoed)
;; QUESTION SECTION:
;www.sina.com.cn. IN A

;; ANSWER SECTION:
www.sina.com.cn. 60 IN CNAME spool.grid.sinaedge.com.
spool.grid.sinaedge.com. 60 IN CNAME ww1.sinaimg.cn.w.alikunlun.com.
ww1.sinaimg.cn.w.alikunlun.com. 60 IN A 110.185.116.236
ww1.sinaimg.cn.w.alikunlun.com. 60 IN A 110.185.116.231
ww1.sinaimg.cn.w.alikunlun.com. 60 IN A 110.185.116.232
ww1.sinaimg.cn.w.alikunlun.com. 60 IN A 110.185.116.229
ww1.sinaimg.cn.w.alikunlun.com. 60 IN A 110.185.116.230
ww1.sinaimg.cn.w.alikunlun.com. 60 IN A 110.185.116.233
ww1.sinaimg.cn.w.alikunlun.com. 60 IN A 110.185.116.234
ww1.sinaimg.cn.w.alikunlun.com. 60 IN A 110.185.116.235

;; Query time: 137 msec
;; SERVER: 2402:4e00::2ae4:2e8d#53(2402:4e00:0::2ae4:2e8d) (UDP)
;; WHEN: Tue Aug 06 14:02:02 CST 2024
;; MSG SIZE rcvd: 262

[root@blog ~]# dig @2402:4e00:0::2ae4:2e8d www.taobao.com

; <<>> DiG 9.18.0 <<>> @2402:4e00:0::2ae4:2e8d www.taobao.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 19397
;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; COOKIE: 2c2d03db44bbdec6 (echoed)
;; QUESTION SECTION:
;www.taobao.com. IN A

;; ANSWER SECTION:
www.taobao.com. 579 IN CNAME www.taobao.com.danuoyi.tbcache.com.
www.taobao.com.danuoyi.tbcache.com. 60 IN A 163.177.180.107
www.taobao.com.danuoyi.tbcache.com. 60 IN A 163.177.180.108

;; Query time: 33 msec
;; SERVER: 2402:4e00::2ae4:2e8d#53(2402:4e00:0::2ae4:2e8d) (UDP)
;; WHEN: Tue Aug 06 14:02:12 CST 2024
;; MSG SIZE rcvd: 132

[root@blog ~]# dig @2402:4e00:0::2ae4:2e8d www.jd.com

; <<>> DiG 9.18.0 <<>> @2402:4e00:0::2ae4:2e8d www.jd.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 63704
;; flags: qr rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; COOKIE: 8e1a619943fb5cdc (echoed)
;; QUESTION SECTION:
;www.jd.com. IN A

;; ANSWER SECTION:
www.jd.com. 120 IN CNAME www.jd.com.gslb.qianxun.com.
www.jd.com.gslb.qianxun.com. 60 IN CNAME www.jd.com.s.galileo.jcloud-cdn.com.
www.jd.com.s.galileo.jcloud-cdn.com. 60 IN CNAME wwwv6.jcloudimg.com.
wwwv6.jcloudimg.com. 60 IN A 117.72.225.3

;; Query time: 370 msec
;; SERVER: 2402:4e00::2ae4:2e8d#53(2402:4e00:0::2ae4:2e8d) (UDP)
;; WHEN: Tue Aug 06 14:02:16 CST 2024
;; MSG SIZE rcvd: 181

[root@blog ~]# dig @2402:4e00:0::2ae4:2e8d www.pinduoduo.com

; <<>> DiG 9.18.0 <<>> @2402:4e00:0::2ae4:2e8d www.pinduoduo.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 23905
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; COOKIE: 5c77ebe23d32511f (echoed)
;; QUESTION SECTION:
;www.pinduoduo.com. IN A

;; ANSWER SECTION:
www.pinduoduo.com. 60 IN A 150.158.224.195

;; Query time: 70 msec
;; SERVER: 2402:4e00::2ae4:2e8d#53(2402:4e00:0::2ae4:2e8d) (UDP)
;; WHEN: Tue Aug 06 14:02:27 CST 2024
;; MSG SIZE rcvd: 74
```

[biglee0304]

和 dnspod 有关系吗，用户反馈有点多，查到一个 ip 之前被 dnspod 的域名解析出来过
opendns.ip.dnspod.net 曾经解析出过 121.43.166.60 这个劫持 dns

[johnjiang85]

@biglee0304 和 dnspod 没啥关系，应该是有个阿里云和华为云的租户，租用了阿里和华为的资源搭建了递归 dns ；然后不知道通过什么手段修改了用户路由器上的 dns ；然后这个 dns 经常解析各种域名有问题。

[52acca]

@johnjiang85 昨天到今天是正常的，我的 adguardhome 上显示两个 ipv6 地址的平均延迟是 40 多 ms ，dot.pub 和 doh.pub 也差不多，前几天基本上持续性都有问题

[bclerdx]

@johnjiang85 那都有哪些节点？

[johnjiang85]

@bclerdx 可以通过全球 ping 找到。119.29.29.29 目前应该是北京、上海、广州、香港、新加坡、孟买、硅谷、法兰克福

[microluo061]

还发现类似情况的 IP:
47.115.150.255 广东阿里云