AS402425 BGP路由劫持与DNS投毒事件分析
2026 年 10 月 20 日，国家互联网应急中心发布调查报告，披露近期多个省份用户访问网页时异常跳转至博彩网站的事件。根据报告，攻击者利用境外自治系统 AS402425，通过宣告虚假 BGP 路由劫持部分网络流量，并进一步篡改 DNS 解析数据，实现恶意网站跳转。
一、什么是 DNS 递归查询与迭代查询？
当我们在浏览器输入一个域名时，电脑需要通过 DNS 查询该域名对应的 IP 地址。
递归查询（Recursive Query）：用户向公共 DNS（Public DNS）发起请求，要求它返回最终解析结果。例如，电脑向 1.1.1.1 或 8.8.8.8 查询域名，公共 DNS 负责完成后续解析并返回结果。
迭代查询（Iterative Query）：公共 DNS 如果没有缓存记录，就会逐级查询其他 DNS 服务器。例如，先询问根 DNS 服务器，再询问顶级域名服务器，最后向权威 DNS 服务器获取域名对应的 IP 地址。
简单来说，用户向公共 DNS 查询通常是递归查询，而公共 DNS 向其他 DNS 服务器逐级查询通常是迭代查询。
二、AS402425 是如何劫持流量的？
这次事件的关键在于 BGP 路由劫持。
BGP 是不同自治系统（AS）之间交换路由信息的协议，决定 IP 数据包可以经过哪些网络到达目的地。
正常情况下，用户通过公共 DNS 查询域名，公共 DNS 获得正确的解析结果后，再将响应返回给用户。
但如果某个自治系统通过 BGP 发布虚假路由，声称自己能够到达其他网络的某些 IP 地址段，就可能导致部分流量偏离正常路径，进入攻击者控制的网络。
根据国家互联网应急中心于 2026 年 10 月 20 日发布的调查报告，攻击者利用境外自治系统 AS402425 发布虚假路由，牵引部分网络流量，并进一步实施 DNS 数据篡改。
需要注意，BGP 选路不仅取决于路径长度，还受到运营商路由策略等因素影响，并不是宣告一条更短的路径就一定会被所有网络采用。
三、流量被劫持后，如何实现 DNS 投毒？
可以用一个简单的例子来理解。
假设用户正在查询 www.example.com，公共 DNS 已经获得了正确的 IP 地址。
正常情况下：
www.example.com → 正常网站 IP
但如果 DNS 响应在返回用户的途中经过攻击者控制的网络，攻击者就可能修改未受加密保护的 DNS 数据，将原本正确的 IP 地址替换为恶意网站的 IP。
篡改后：
www.example.com → 恶意网站 IP
用户收到错误的解析结果后，浏览器就可能连接到博彩网站或其他恶意网站。
另一种方式是将解析结果指向攻击者控制的 DNS 服务器，由其继续返回错误的解析结果。
这意味着，攻击者不一定需要入侵用户电脑，也不一定需要直接攻破公共 DNS 服务器。只要能够劫持相关流量，并成功篡改 DNS 数据，就可能让用户访问错误的网站。
四、BGP 劫持与 DNS 投毒有什么区别？
两者属于不同层面的问题：
- BGP 劫持： 改变网络流量的转发路径，让数据包经过攻击者控制的网络。
- DNS 投毒： 让用户或 DNS 解析器获得错误的域名解析结果。
可以把它们理解为两个相互配合的环节：BGP 劫持负责改变流量走向，DNS 篡改负责改变域名对应的 IP 地址。
需要注意，这次事件中的 DNS 响应篡改，不应简单等同于传统的 DNS 缓存投毒。攻击者可以直接修改传输中的 DNS 响应，或者将解析结果指向恶意 DNS 服务器，并不一定需要污染公共 DNS 的缓存。
五、如何降低此类攻击的风险？
- 使用 DoH 或 DoT： 加密客户端与公共 DNS 之间的通信，降低中间人直接篡改 DNS 数据的风险。
- 使用 DNSSEC： 对受签名保护的 DNS 数据进行真实性和完整性验证。
- 加强 BGP 路由安全： 通过 RPKI/ROA、路由过滤及异常路由监测等措施，降低虚假路由宣告带来的风险。
这些技术解决的问题不同，不能单独保证完全免受此类攻击。例如，DoH 无法保证递归解析器本身返回的答案一定正确，DNSSEC 也无法保护所有未签名域名。
总结
这次 AS402425 事件揭示了一个重要问题：即使用户使用的是正常的公共 DNS，也不代表整个解析过程绝对安全。
DNS 决定域名对应哪个 IP，BGP 决定数据包经过哪些网络。攻击者先通过虚假 BGP 路由改变部分流量的路径，再利用对相关流量的控制能力篡改 DNS 响应，就可能让用户在不知情的情况下访问恶意网站。
这也是为什么网络安全不仅需要关注 DNS 服务器本身，还需要关注互联网路由安全和 DNS 数据完整性。