腾讯云 DNSPod 监测到家用路由器 DNS 配置被篡改，服务器端现已恢复

近日，腾讯云 DNSPod 官方发布公告，称自2024年5月起，国内大量家用路由器的DNS解析配置遭到篡改，影响了用户对正常网站和App的访问。这一问题在8月5日达到高峰，并在8月7日得到部分缓解。

DNS 配置篡改影响解析过程

正常情况下，用户访问网站或App时，DNS服务器会将域名解析为IP地址，从而建立连接。但在DNS劫持攻击中，恶意服务器会提供错误的IP地址。

腾讯云官方自查方案

腾讯云提供了以下自查步骤，帮助用户确认是否受到影响：

1. 检查主DNS配置：确认路由器的DNS配置是否被修改为以下IP之一（列表不完全）：

   • 122.9.187.125

   • 8.140.21.95

   • 101.37.71.80

   • 47.102.126.197

   • 118.31.55.110

   • 47.109.22.11

   • 47.113.115.236

   • 47.109.47.151

   • 47.108.228.50

   • 39.106.3.116

   • 47.103.220.247

   • 139.196.219.223

   • 121.43.166.60

   • 106.15.3.137

2. 确认DNS劫持行为：如果主DNS配置不在上述列表中，可通过以下特征确认劫持：
   • 域名解析记录TTL被修改为86400秒，即域名解析记录会被缓存1天。
   • 间歇性存在域名无法正常解析的问题，返回错误的SOA记录。
   • DNS版本为unbound 1.16.2。
3. 使用命令检查：通过执行特定的dig命令，检查DNS服务器的响应是否正常。

通过这些措施，用户可以确保网络访问恢复正常，并防止未来的DNS劫持攻击。

如果您的路由器上配置的 DNS 服务器 IP 不在上方列表中，您可通过以下典型特征来确认其 DNS 劫持行为：

• 域名解析记录 TTL 被修改为 86400 秒，即域名解析记录都会被缓存 1 天。可以在一台能访问公网的终端（如 Mac 电脑或者 Linux 云服务器）中执行命令检查：dig @122.9.187.125 dnspod.cn。其中 122.9.187.125 为示例 IP 地址，您可将其替换为您的家用路由器 DNS 服务器的 IP 地址。

• 间歇性存在大量域名无法正常解析的问题，返回 NXDOMAIN+ 错误的 SOA 记录，而不是返回正常的 A 记录或者 CNAME 记录。可执行命令检查：dig @122.9.187.125 test.ip.dnspod.net。其中 122.9.187.125 为示例 IP 地址，您可将其替换为您的家用路由器 DNS 服务器的 IP 地址。

• DNS 版本为 unbound 1.16.2。可执行命令检查：dig @122.9.187.125 version.bind chaos txt。其中 122.9.187.125 为示例 IP 地址，您可将其替换为您的家用路由器 DNS 服务器的 IP 地址。

如果确认自己已遇到了上述情况，腾讯云建议家用路由器用户升级家用路由器固件，并修改 DNS 服务器为运营商递归 DNS 或 119.29.29.29 等知名公共 DNS，以确保能够正常解析。

解决方案

如果确认DNS配置被篡改，腾讯云建议：

• 升级家用路由器固件。
• 修改DNS服务器为运营商递归DNS或119.29.29.29等知名公共DNS。