这次 GitHub 中间人攻击，个人分析并不是七层精准劫持，而只是在第四层做了攻击。

[villivateur]

我先获取 GitHub 的 ip：

> nslookup github.com 8.8.8.8
Server:  dns.google
Address:  8.8.8.8

Name:    github.com
Address:  13.229.188.59

这个 ip 是没问题的，位于新加坡的 Amazon，应该是个 CDN

然后测试证书：

$ openssl s_client -showcerts -servername github.com -connect 13.229.188.59:443
CONNECTED(00000005)
depth=1 C = CN, ST = GD, L = SZ, O = COM, OU = NSP, CN = CA, emailAddress = [e-mail]
verify error:num=19:self signed certificate in certificate chain
---
Certificate chain
 0 s:C = CN, ST = GD, L = SZ, O = COM, OU = NSP, CN = SERVER, emailAddress = [e-mail]
   i:C = CN, ST = GD, L = SZ, O = COM, OU = NSP, CN = CA, emailAddress = [e-mail]
   
省略……

就是那个诡异的 QQ 号证书。

我再找个 cloudflare 的 ip 试试（ GitHub 没有使用 cloudflare 的 CDN ）

$ host v2ex.com
v2ex.com has address 104.20.9.218
v2ex.com has address 104.20.10.218
v2ex.com has IPv6 address 2606:4700:10::6814:ada
v2ex.com has IPv6 address 2606:4700:10::6814:9da

同样测试证书，SNI 为 github.com ，没有被劫持：

$ openssl s_client -showcerts -servername github.com -connect 104.20.9.218:443
CONNECTED(00000005)
depth=2 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = COMODO ECC Certification Authority
verify return:1
depth=1 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = COMODO ECC Domain Validation Secure Server CA 2
verify return:1
depth=0 CN = ssl509603.cloudflaressl.com
verify return:1
---
Certificate chain
 0 s:CN = ssl509603.cloudflaressl.com
   i:C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = COMODO ECC Domain Validation Secure Server CA 2
-----BEGIN CERTIFICATE-----

省略……

各位怎么看？

[TrustTheBoy]

此事必有蹊跷

[westjt]

嗯, 看来就是针对固定目标 ip 的一个固定的劫持.

[7654]

我在想 V2+TLS+WS 还安全吗，毕竟拿 GitHub 做文章

[fuchunliu]

为啥访问速度变快了

[pdfgo]

哎 被迫学习网络知识 心累

[imn1]

昨晚 rime.im 也是这个证书，加个梯子就正常了，现在恢复了

[MeteorCat]

现在访问 github 显示超时

[ZRS]

@imn1 托管在 github pages 上的都被攻击了 包括 cython.org 等

[AoTmmy]

你普通走 53 到 8.8.8.8 的 dns 应该是被劫持的，起码找个 doh 的测试吧

[chengyecc]

@fuchunliu 我感觉也是……

[wysnylc]

@7654 #3 无影响,跟 cf 又没关系

[Hpp19]

clone 感觉快了

[villivateur]

@AoTmmy 不是啊，IP 是没问题的

[tulongtou]

@7654 你想出来了嘛？

[yason]

IP 没问题，返回结果却是另一台服务上的假数据。这貌似是 BGP 劫持吧？

[7654]

@wysnylc #11
@tulongtou #14 就是给大家看看，wo 可以做到什么程度 doge

[AoTmmy]

@villivateur 但是你试过国外解析出来的 IP 吗，你这虽然用的是 8.8.8.8，但这是国内劫持出来的 ip，控制变量法🐶

[mason961125]

RFC 5575 - Dissemination of Flow Specification Rules https://tools.ietf.org/pdf/rfc5575.pdf

[shansing]

说不定只是对特定 IP 的七层劫持呢？你应该用 13.229.188.59:443 发送非 github SNI 排除一下。

[villivateur]

@shansing 确实。但是现在恢复了，测不了了