花5欧元买下一个过期域名，意外记录了数十万条打向军事基地的电话

子午猫
子午猫

网络侦查研究院

2026年11月3日 06:55
湖南

去阅读

一、从一个叫 ENUM 的协议说起

安全研究者 lina（lina.sh）曾多次接管存在漏洞的 .gov 和 .edu 域名，每次都是上报后便不再过问。但这一次的经历有些特殊：她盯上的是一套几乎被全世界遗忘的电话网络基础设施，最终牵扯出迪戈加西亚和阿森松岛上的军事基地。ENUM 诞生于 2000 年代初，核心思路很简单——把电话号码的数字倒过来、每位之间加点、末尾接上 .e164.arpa，一个电话号码就变成了一个域名。比如 +49 30 123456 会变成 6.5.4.3.2.1.0.3.9.4.e164.arpa。所有德国号码都会落在 .9.4.e164.arpa 区域下，该区域由管理 .de 顶级域的 DENIC 负责。设计初衷是让运营商查询这些域名后拿到一条 NAPTR 记录，写明\"这个号码可通过 SIP/VoIP 在某个地址接通\"，从而绕过昂贵的传统电话网络。可惜这个想法从未真正流行，到今天基本可宣告死亡。

二、5欧元买下过期域名，获得三个区域的DNS控制权

lina 正在扫描 e164.arpa 下的各个授权区域，想看看有没有可被劫持的目标。她找到三个国家代码区域：0.9.2.e164.arpa、6.4.2.e164.arpa 和 7.4.2.e164.arpa，三者都被委托给同一组 nameserver（ns6.icb.co.uk 和 ns.enum.org.uk）。其中 ns6.icb.co.uk 已解析不到任何东西，所有请求回退到 ns.enum.org.uk——而这个域名已经过期了。lina 花 5欧元 把它买了下来，就这样获得了三个区域的 DNS 控制权。把数字倒回去看，它们分别对应电话区号 +290、+246 和 +247，也就是圣赫勒拿、英属印度洋领地（迪戈加西亚）和阿森松岛——这三个领地恰好也拥有广受欢迎的顶级域 .sh、.io 和 .ac。这意味着：当运营商对这些号码发起 ENUM 查询时，lina 可以给出任意答案——她可以把请求指向自己的 SIP 服务器，接听来电后再用伪造的主叫号码拨给真实目的地，被叫方看到原号码来电、接听后正常通话，全程却有一个人在中间静默监听。理论上只要有人还在用这套系统，她就能对每一个请求做这种重定向。

三、上报无人理会，半年后日志记录数十万条查询

她第一时间通过多个渠道向英国政府上报，没有得到任何回应（推测是 Internet Computer Bureau 的某个人十多年前配置了这些 nameserver，后来 e164.arpa 逐渐消亡、配置者离职或遗忘）。马克斯·普朗克信息学研究所的研究者 Q Misell 替她向管理 e164.arpa 的 RIPE 报告，但 RIPE 也拒绝采取行动——原因是 e164.arpa 的授权由联合国层面的 ITU-T 委员会管辖。她在 0.9.2.e164.arpa（圣赫勒拿）上开启日志记录等了整整一天，一条查询都没有，便把域名留了下来、在上面托管个人网站。半年后重新查看日志，发现数十万条 ENUM 查询全部被记录：6.4.2.e164.arpa 收到 100170次，7.4.2.e164.arpa 收到 99902次，0.9.2.e164.arpa 收到 9133次，加起来接近40万次。流量几乎集中在迪戈加西亚和阿森松岛，源 IP 大多来自美国。

四、处置与启示

由于域名本身就是电话号码倒过来写的，把数字翻回去就能得到真实号码，lina 因此掌握了完整的电话号码、时间戳以及发起请求的 DNS 解析器源 IP 地址。她意识到问题后立即关闭 DNS 服务器并删除所有日志文件，第二次向英国国家网络安全中心（NCSC）上报（提到军事基地被牵扯其中），对方立刻高度重视。但 NCSC 查不出最初配置者、彻底修复又遇到 ITU 委员会问题，一段时间内什么都没变。2026年3月20日伊朗向迪戈加西亚发射弹道导弹——这件事本身说明一个国家行为体确实可能对这类信息感兴趣。不久之后 NCSC 让她把域名所有权直接转移给他们（转移前她还得再花5欧元续费，否则域名会重新开放注册、任何人都能重复上述操作）。如今 ns.enum.org.uk 由 NCSC 控制。这件事暴露的不是某个单点漏洞，而是一整套被遗忘的基础设施在无人维护状态下持续运转所带来的系统性风险。

情报价值：这是一则\"僵尸基础设施\"风险的经典案例。启示：一是\"遗留协议（ENUM）+ 过期域名\"组合，让攻击者仅花 5 欧元即可获得对特定国家号段通话路由的控制权，理论上可实施通话中间人监听——提示关键通信基础设施须建立\"依赖清单与到期监控\"，清理无人维护的授权与 nameserver；二是本案中\"域名过期无人续费\"这一最原始的失误，暴露了比技术漏洞更致命的运维黑洞，安全审计须覆盖\"协议已死但仍在被查询\"的影子依赖；三是\"迪戈加西亚等军事领地号码被境外解析器高频查询\"表明，即便协议名存实亡，仍在被动泄露通信元数据，敏感单位应评估此类历史协议的残余暴露面并及时下线。

来源：黑鸟（2026-08-21 23:07 广东）