7.22移动DNS欺骗分析

前言#

在 7.22 凌晨1点30左右，刚关闭代理学习完，准备刷会抖音睡觉时，edge浏览器不停自启动，前两次是跳转至微软的MSN界面，然后开始不演了，跳转至了一个赌博界面 https:/gm.6sj7y0mp.co/dfpage06_jd#/?code=5461432。

在下午时，这个现象又发生了：这次是Windows 网络状态图标一度显示“无法连接 Internet”或“需要登录”，但浏览器仍能正常访问多数网站。系统或用户点击网络登录提示后，默认浏览器 Microsoft Edge打开后从 http://www.msftconnecttest.com/redirect 跳转至 https://ddf0718.yy6ma5q.cc。

分析#

使用 reqable 进行抓包分析，发现微软的网络连通性测试域名 www.msftconnecttest.com 被攻击者劫持了，返回了一个恶意ip：112.121.185.202

由于该ip的服务不包含接口\connecttest.txt，因此Windows的网络连通性检测模块无法知道是否成功连接上，所以右下角会显示无法连接到网络，但实际上是可以访问网页的。

至于为什么会自动打卡浏览器，以及网络显示需要登录，这是Windows的网络连接状态检测指示器（NSCI）使然。下面首先简要介绍一下Windows的NSCI机制，再探究为什么浏览器会自动打开以及点击登录至网络会跳转至垃圾网站。

1
Cache-Control: no-store
2
Content-Length: 0
3
Location: https://ddf0718.yy6ma5q.cc
4
Date: Wed, 22 Jul 2026 08:07:59 GMT

攻击过程#

解决方案#

解决方案很简单，把电脑或者路由器的DNS解析服务配置为其他的公共DNS服务，详细做法如下：

Windows

1
设置
2
→ 网络和 Internet
3
→ Wi-Fi 或以太网
4
→ 当前网络/硬件属性
5
→ DNS 服务器分配
6
→ 编辑
7
→ 手动
8
→ 配置 IPv4/IPv6 DNS

也可以通过传统控制面板修改：

1
控制面板
2
→ 网络和 Internet
3
→ 网络和共享中心
4
→ 更改适配器设置
5
→ 当前网卡属性
6
→ Internet 协议版本 4（TCP/IPv4）
7
→ 手动填写 DNS 服务器

路由器配置和上述相似.

也可以修改为其他公共DNS服务，重要的是将DNS解析服务换为一个权威、真实的服务。

总结#

这是一起经典的 DNS欺骗攻击，攻击方攻破了移动的内部DNS服务器，将微软的网络测试域名绑定至一个恶意ip，利用了NCSI机制引导Windows进行跳转垃圾界面。

微软把NCSI设计为HTTP没有太大问题：用 HTTPS，很多强制门户会表现为 TLS 握手失败/证书错误，NCSI 很难区分这到底是“真的没网”“企业中间人/代理”，还是“只是需要登录”；而用 HTTP，大多数强制门户会直接给 302 重定向或返回非预期页面内容，NCSI 只要看返回内容是不是 “Microsoft Connect Test” 就能判断“是否需要登录”。使用 HTTP 是为了最大化兼容各类强制门户、简化状态判定逻辑、降低因证书/CA/代理带来的误判。

这次背锅的主要是移动 移动，你搞砸了一切，DNS服务被攻破所以有了如此广泛的DNS欺骗问题。最重要的是移动的反应很慢，凌晨1<30初次发现问题>，到下午6点仍然没有修复，不知道如今是否已经修复。

参考#

• https://learn.microsoft.com/zh-cn/troubleshoot/windows-server/networking/troubleshoot-ncsi-guidance
• https://learn.microsoft.com/zh-cn/windows-server/networking/ncsi/ncsi-overview
• https://learn.microsoft.com/zh-cn/troubleshoot/windows-server/networking/troubleshoot-ncsi-guidance
• https://github.com/platformbuilds/Akamai-ASN-and-IPs-List/blob/master/akamai_ip_cidr_blocks.lst