2026-10-24 10:01:22 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

网页跳博彩，先别急着重装浏览器

原创

tcode
tcode

字节脉搏实验室

2026年10月21日 11:29
北京

去阅读

摘要：国家互联网应急中心通报，中国多个省份曾出现访问异常跳到博彩站。调查指向境外自治域宣告虚假路由并篡改DNS答案。普通人可用换网络、换DNS和核对解析地址，分清是终端异常还是解析链路异常。

如果地址栏里还是熟悉的网址，页面却突然变成博彩站，先别急着重装浏览器。10月20日，国家互联网应急中心发布了一份3页调查报告：近期中国多个省份多次发生用户访问请求异常跳到博彩网站的情况。报告把现象和攻击链放在一起讲：攻击者在境外自治域AS 402425内发布虚假路由、拦截部分流量，再把域名解析值直接改成博彩站地址，或把用户引向恶意DNS服务器。这里最关键的信息是“解析答案在中途被换过”，不是又出现了一种必须卸载App的病毒。

先别把这理解成所有网页乱跳都来自一次攻击。报告没有公布受影响的省份名单、具体域名、精确起止时间，也没有说究竟有多少用户遇到。我们能确认的是多个省份出现过多次，CNCERT的调查把这批异常与AS 402425关联起来。“国外自治域”也不自动等于某家公司亲自策划攻击；报告写的是攻击者利用该自治域，域名资源由谁注册、路由由谁实际发布、恶意页面由谁运营，是三个需要分别核验的问题。

这份报告值得普通读者认真看的地方，是它把坏事拆成两层。第一层是路由：互联网把访问目标拆成一段段可转发的地址，若有人让上游相信某段地址应该先经过自己，就能把流量带到不该去的地方。第二层才是DNS：域名本来是给人看的名称，必须换成IP地址才能访问。流量被引偏后，DNS回答又被改写，用户看到的仍然是一个熟悉的域名，抵达的却是博彩页面。只看地址栏，很容易误以为网站自己黑了。

报告列出了两种改写方式。一种是直接把解析值换成博彩站地址；另一种是让用户转向恶意DNS服务器，之后这台服务器再返回博彩站地址。两者在用户侧都表现为“域名没输错，页面却变了”，但定位方法不完全一样。前一种更可能看到本机查询结果与可信DNS结果不同；后一种还要检查是谁在提供解析服务。若路由器、运营商接入设备或本机被配置了陌生DNS，单换Wi-Fi未必能解决。

报告还给出19个“域名篡改后指向的部分恶意IP地址”。我把表里的地址重新归类：112.121.185.x有10个，112.121.184.x有2个，117.55.193.x有2个，43.230.161.x有5个。这个分布只能说明官方抽样里出现了这些落地地址，不能拿地址数量推算受害人数。更有价值的是，它们提供了可核对的样本：发现异常解析结果后，可以和这19个地址比对，再看同一请求在另一个可信解析器里是否返回完全不同的结果。

交叉核对还提醒我们，IP清单不是永久标签。我于2026年10月21日10时01分左右查看了RIPE路由信息服务：报告列出的112.121.185.110所在的112.121.185.0/24，当前可见来源是AS 963，不是AS 402425。这不证明官方报告有误，也不等于该地址从未被用于攻击。路由会被撤回、地址会被重新使用，报告描述的是调查期间的恶意解析和流量。今天拿一个IP去查归属，只能确认它现在归哪段路由，不能单独回答昨天有没有人利用它。

遇到“网页乱跳”，现场先做四格对比，不必先猜品牌。只在一个App里跳，别的App正常：查该App的网页组件、插件和缓存。只有连接某个Wi-Fi才跳，切到移动网络正常：查无线路由器和局域网DNS。Wi-Fi与移动网络都跳，且多个无关域名到达同一个博彩页：更接近解析或上游链路问题。只有一个网站跳，其他网站正常：先问站点运营方是否换了跳转逻辑。四格对应四个责任边界，混成“手机中毒”会误删证据。

普通用户可以做一个不复杂的复核：出现异常时先记下完整域名、时间和当时连接的网络；在另一台手机或电脑上用不同网络打开；再分别查看本机DNS和可信公共DNS返回的地址。Windows可先用nslookup域名核对默认解析器，再指定223.5.5.5或119.29.29.29查询作对照；macOS、Linux和手机也可用对应工具或可信DNS服务复核。若指定可信DNS后结果立刻恢复，而默认DNS持续返回同一陌生地址，优先排查路由器、接入侧DNS配置与解析链路，而不是继续给手机安装清理软件。

还有一个容易误判的缓存阶段。浏览器、操作系统和本地DNS可能短期保留早先的错误答案，切换解析器后页面未必立刻恢复；反过来，偶尔打开一次又正常，也不能证明问题只发生过一次。复核时应记录每次查询的时间、使用的解析器和返回IP，必要时等待缓存过期或用隐私窗口重新测试。若加密DNS开启后默认解析器看不到明文查询，故障排查反而缺少一项证据，现场处置可临时关闭该路径做对照，但完成判断后应按组织安全策略恢复。

换DNS只是诊断和临时绕开，不等于修复根因。若家庭路由器被改了DNS，电脑手机逐个改DNS仍会留下其他设备继续被带偏；应登录路由器核对DNS来源、恢复为运营商或自己确认的解析器，升级固件并修改默认管理密码。若组织内多台设备同时遇到相同异常，应保存解析记录、代理日志、目的IP和路由观察结果，统一时钟后交给网络团队与上游运营商。单机反复清除缓存却复现，不能算处置完成。

报告提出的网络侧办法更直接：运营商在边界路由做路由过滤，拒绝并删除来自AS 402425的恶意路由；平台监测核心域名的解析地址变化、DNS应答报文和路由路径异常。对一家网站运营者来说，这提示监控不能只盯首页能不能打开。域名解析突然指向陌生地址、不同监测点的答案分叉、访问质量在某一网络集中下降，都应在客服收到大量投诉前触发告警。发现确认后，要保留应答内容和时间，联系上游处置异常通告。

企业网管还可以把一次异常分成可交接的证据包：用户原始网址与发生时间、终端使用的DNS、路由器WAN侧拿到的DNS、默认解析器和对照解析器的返回、访问目的IP、代理与出口的路由观察，以及同一时段是否只有某一地区或某一出口出现异常。这些字段能让上游运营商判断是递归服务器被引向恶意地址，还是流量在路由层被截持。只发一张博彩页面截图，既无法排除终端插件，也很难证明问题发生在运营商侧。

对普通用户，遇到已知网站被送去博彩页，最安全的动作是不要按页面里的“继续访问”“下载专用浏览器”或“安装安全证书”按钮，也不要把验证码、账号或支付信息交给新页面。先关闭标签页，清理浏览器缓存和重定向记录，更新系统和浏览器，再按上面的网络对比判断。若同一条宽带下多台设备、多个域名反复异常，应联系宽带服务商并保留截图、域名、时间和解析结果，必要时向CNCERT等渠道报告。

证据边界也需要说清。CNCERT的报告给出攻击方式和样本地址，但没有公开路由通告的完整起止记录、每个省份的具体异常时段和域名清单。由此可以判断“路由与DNS链路被干扰”在这一事件中有官方证据，不能据此推断每一起博彩跳转都由同一伙人实施，也不能把AS资源注册方直接认定为页面运营者。对个人，最有用的结论不是记住AS编号，而是遇到异常先分清终端、局域网、解析服务和网站四层；对运营方，则是把DNS变化和路由变化纳入持续监测。

来源

国家互联网应急中心（CNCERT），《关于中国境外自治域AS 402425恶意篡改部分DNS解析数据的调查报告》，2026-10-20，https://www.cert.org.cn/publish/main/11/2026/20261020214410947717866/20261020214410947717866\_.html

CNCERT报告PDF（含19个恶意IP、注册信息与防范建议），2026-10-20，https://www.cert.org.cn/publish/main/upload/File/AS%20402425-report.pdf