Github和京东中央人攻击事务风险公告

颁布功夫 2020-03-26

事务概述


今天，有好多中国网民反馈，有攻击者在大规模的提议中央人攻击劫持京东和 GitHub 等网站。这次攻击很有可能是基于 DNS 系统或运营商层面提议的，目前受影响的重要是部门地域用户但涉及所有运营商。例如中国移动、中国联通、中国电信以及教育网均可复现劫持问题，而国表网络接见这些站点并未出现异常情况。


所谓的中央人攻击就是通过拦截正常的网络通讯数据，并进行数据篡改和嗅探，而通讯的双方却绝不知情。


由于攻击者使用的自署名证书不被所有操作系统以及浏览器信赖，因而用户接见这些网站时可能会出现安全忠告。


GA黄金甲·(中国区)官方网站


从目前网上查问的信息能够看到这次攻击涉及最广的是 GitHub.io，其次用户接见京东等国内驰名网站亦会报错。查看证手札息能够发现这些网站的证书被攻击者使用的自署名证书包办，导致浏览器无法信赖从而阻止用户接见。打开这个不受信赖的证书，显示该证书的颁布者是346608453@qq.com。


GA黄金甲·(中国区)官方网站


京东被劫持如下图：


GA黄金甲·(中国区)官方网站


部门节点测试情况：


GA黄金甲·(中国区)官方网站


接见网站点击以下链接：https://z.github.io、https://koajs.com/等即可复现缝隙。


参考链接



https://www.landiannews.com/archives/71707.html

https://www.v2ex.com/t/656394

https://www.williamlong.info/archives/6021.html

http://dacongyun.com/archives/216644.html