昨日，部分網(wǎng)友反饋Github網(wǎng)站無法訪問，疑似有攻擊者大規(guī)模地發(fā)起中間人劫持。除了Github網(wǎng)站，京東、koajs 等其他網(wǎng)站似乎也受到影響。

此次攻擊似乎通過骨干網(wǎng)絡(luò)進行443端口劫持，經(jīng)測試，DNS系統(tǒng)解析是完全正常的。目前受影響的主要是部分地區(qū)用戶，且涉及所有運營商，比如中國移動、中國聯(lián)通、中國電信以及教育網(wǎng)均可復(fù)現(xiàn)劫持問題，而國外網(wǎng)絡(luò)訪問這些網(wǎng)站并未出現(xiàn)任何異常情況。

由于攻擊者使用的自簽名證書不被所有操作系統(tǒng)以及瀏覽器信任，因此用戶訪問這些網(wǎng)站時可能會出現(xiàn)安全警告。

截止3月27日12點，據(jù)藍點網(wǎng)的部分信息動態(tài)更新，網(wǎng)友反饋Github網(wǎng)站無法訪問，攻擊規(guī)模似乎進一步擴大。

從目前網(wǎng)上查詢的信息可以看到此次攻擊涉及最廣的是 GitHub.io，查看證書信息可以發(fā)現(xiàn)這些網(wǎng)站的證書被攻擊者使用的自簽名證書代替，導(dǎo)致瀏覽器無法信任從而阻止用戶訪問。

圖片來自v2ex網(wǎng)友

在自簽名證書郵箱更換之前，其顯示證書的制作者昵稱為心即山靈 (QQ346608453)，這位心即山靈看起來就是此次攻擊的始作俑者。所幸目前全網(wǎng)絕大多數(shù)網(wǎng)站都已經(jīng)開啟加密技術(shù)對抗劫持，因此用戶訪問會被阻止而不會被引導(dǎo)到釣魚網(wǎng)站上去。如果網(wǎng)站沒有采用加密安全鏈接的話可能會跳轉(zhuǎn)到攻擊者制作的釣魚網(wǎng)站，若輸入賬號密碼則可能會被直接盜取。

圖片來自知乎網(wǎng)友

中間人攻擊(簡稱MITM)是指攻擊者在通訊兩端之間接管流量，攻擊者可以攔截通訊雙方的通話并篡改內(nèi)容。簡而言之，所謂的中間人攻擊就是通過攔截正常的網(wǎng)絡(luò)通信數(shù)據(jù)，并進行數(shù)據(jù)篡改和嗅探，而通信的雙方卻毫不知情。

后續(xù)資訊，本文將持續(xù)跟進。

附部分節(jié)點測試情況

阿里云上海數(shù)據(jù)中心(BGP)：

curl -k -v https://z.github.io  
    *Connected to z.github.io (185.199.108.153) port 443(#0)  
    * SSL connection usingTLSv1.2/ ECDHE-ECDSA-AES128-GCM-SHA256  
    * ALPN, server did not agree to a protocol  
    *Server certificate:  
    * subject: C=CN; ST=GD; L=SZ; O=COM; OU=NSP; CN=SERVER; emailAddress=346608453@qq.com* start date:Sep2609:33:132019 GMT  
    * expire date:Sep2309:33:132029 GMT  
    * issuer: C=CN; ST=GD; L=SZ; O=COM; OU=NSP; CN=CA; emailAddress=346608453@qq.com* SSL certificate verify result:selfsigned certificate in certificate chain (19), continuing anyway.  
    > GET / HTTP/1.1  
    >Host: z.github.io  
    >User-Agent: curl/7.52.1  
    >Accept:*/* 

群英網(wǎng)絡(luò)鎮(zhèn)江數(shù)據(jù)中心(電信)：

curl -k -v https://z.github.io  
    *Rebuilt URL to: https://z.github.io/  
    *Trying185.199.108.153...  
    * SSL connection usingTLSv1.2/ ECDHE-RSA-AES128-GCM-SHA256  
    * ALPN, server accepted to use h2  
    *Server certificate:  
    * subject: C=US; ST=California; L=SanFrancisco; O=GitHub,Inc.; CN=www.github.com  
    * start date:Jun2700:00:002018 GMT  
    * expire date:Jun2012:00:002020 GMT  
    * issuer: C=US; O=DigiCertInc; OU=www.digicert.com; CN=DigiCert SHA2 HighAssuranceServer CA  
    * SSL certificate verify ok.  
    *Using HTTP2, server supports multi-use  
    *Connection state changed (HTTP/2 confirmed)  
    *Copying HTTP/2 data in stream buffer to connection buffer after upgrade: len=0  
    *UsingStream ID:1(easy handle 0x556d826f6ea0)  
    > GET / HTTP/1.1  
    >Host: z.github.io  
    >User-Agent: curl/7.52.1 
    >Accept:*/* 

華為云香港數(shù)據(jù)中心(以下為正常連接的證書信息第44行)：

curl -k -v https://z.github.io  
    *Rebuilt URL to: https://z.github.io/  
    *Trying185.199.108.153...  
    * SSL connection usingTLSv1.2/ ECDHE-RSA-AES128-GCM-SHA256  
    * ALPN, server accepted to use h2  
    *Server certificate:  
    * subject: C=US; ST=California; L=SanFrancisco; O=GitHub,Inc.; CN=www.github.com 
    * start date:Jun2700:00:002018 GMT 
    * expire date:Jun2012:00:002020 GMT 
    * issuer: C=US; O=DigiCertInc; OU=www.digicert.com; CN=DigiCert SHA2 HighAssuranceServer CA 
    * SSL certificate verify ok. 
    *Using HTTP2, server supports multi-use 
    *Connection state changed (HTTP/2 confirmed) 
    *Copying HTTP/2 data in stream buffer to connection buffer after upgrade: len=0 
    *UsingStream ID:1(easy handle 0x556d826f6ea0)  
    > GET / HTTP/1.1  
    >Host: z.github.io  
    >User-Agent: curl/7.52.1 
    >Accept:*/*