百度宕机事件调查：注册商漏洞或成最大祸首

nety · 发表于 2010-1-13 09:14:11

1月12日消息：今天早7时开始，全球最大的中文搜索引擎百度公司网站瘫痪，持续至今，全国各地仍有大量用户无法登陆百度。
关于百度DNS遭劫持与百度域名被盗的消息一时间遍布互联网，甚至有人称查询注册服务时显示baidu.com还未被注册，因此可能是域名被人抢注，随后百度工作人员发出了邮件公告，称百度此次瘫痪事件是因为百度域名遭注册商非法篡改，以致网站无法正常访问，目前相关部门正在积极处理当中。
就此事，中国站长站编辑采访了Ename易名中国 CEO 孔德菁。
以下为访谈实录：
百度域名遭劫持 DNS频繁被修改
孔德菁表示，从DNS信息来看，百度域名从早上至今，被频繁修改，早前网民无法访问时，DNS信息为DNS Servers: yns1.yahoo.com yns2.yahoo.com，随后又变更为DNS Servers:ns2303.hostgator.com ns2304.hostgator.com，之后，DNS信息再次变更回原来的信息：Name Server: NS2.BAIDU.COM Name Server: NS3.BAIDU.COM Name Server: NS4.BAIDU.COM
频繁的DNS信息变更使得百度网站出现了部分地区访问的页面不同的状况，甚至也出现了关于伊朗网络黑客部队入侵的页面。
注册商漏洞成祸首
从百度的域名注册信息来看，注册Email为036f376a0a14115100199c0316d64ebb@domaindiscreet.com 。domaindiscreet.com 是属于register.com推出的whois管理、托管服务的一个增值服务。按道理来说，百度注册域名的联系人不应当留这个邮件地址。
那么此次百度瘫痪事件极有可能是因为该注册Email密码被盗，黑客利用注册邮箱提交了新的DNS信息，或者Register.com出现漏洞，导致域名被劫持，使得百度访问出现了频繁的异常页面替换。
从几次的whois历史信息来看，百度域名到期时间一直都是2014年，所以可以排除，非法转移、到期没续费等因素。
根据baidu.com的Whois变动信息我们看到，在过去的时间内，baidu.com有超过上千次的Whois信息变动（部分变动可能因为域名注册信息隐藏导致无法监控到whois信息）。
随后，孔德菁向编辑提供了百度的相关Whois信息，根据ename.cn提供的2009年11月16日的历史whois显示的注册email为：f501770f0a14115100866b2396106c1b@domaindiscreet.com，这与之后的：036f376a0a14115100199c0316d64ebb@domaindiscreet.com 不一样，这个说明，register提供的服务whois隐藏，他的邮箱是一直在变化的。这样就不太可能是email被盗引起，绝大部分原因是注册商系统漏洞所致。
同时国内知名的DNS服务商DNSPod 创始人吴洪声在其个人博客更新了相关的博文，就百度宕机时间发表了自己的看法。
吴洪声表示，此次宕机事件很有可能是REGISTER.COM的程序有漏洞，导致百度的DNS服务器和whois信息被强行修改。最初是被改到了yahoo的DNS服务器，但yahoo反应比较快（或者百度公关做得好），给百度做了一个反向代理，所以在后来访问百度的时候，虽然DNS还是yahoo的，但好歹还能正常访问。之后黑客把DNS改到hostgator后，百度就没这么幸运了，直接被指向了127.0.0.1。