这次 GitHub 中间人攻击，个人分析并不是七层精准劫持，而只是在第四层做了攻击。

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

工单节点使用指南

请用平和的语言准确描述你所遇到的问题

厂商的技术支持和你一样也是有喜怒哀乐的普通人类，尊重是相互的

如果是关于 V2EX 本身的问题反馈，请使用反馈节点

这是一个创建于 2072 天前的主题，其中的信息可能已经有所发展或是发生改变。

我先获取 GitHub 的 ip：

> nslookup github.com 8.8.8.8 Server: dns.google Address: 8.8.8.8 Name: github.com Address: 13.229.188.59

这个 ip 是没问题的，位于新加坡的 Amazon，应该是个 CDN

然后测试证书：

$ openssl s_client -showcerts -servername github.com -connect 13.229.188.59:443 CONNECTED(00000005) depth=1 C = CN, ST = GD, L = SZ, O = COM, OU = NSP, CN = CA, emailAddress = [email protected] verify error:num=19:self signed certificate in certificate chain --- Certificate chain 0 s:C = CN, ST = GD, L = SZ, O = COM, OU = NSP, CN = SERVER, emailAddress = [email protected] i:C = CN, ST = GD, L = SZ, O = COM, OU = NSP, CN = CA, emailAddress = [email protected] 省略……

就是那个诡异的 QQ 号证书。

我再找个 cloudflare 的 ip 试试（ GitHub 没有使用 cloudflare 的 CDN ）

$ host v2ex.com v2ex.com has address 104.20.9.218 v2ex.com has address 104.20.10.218 v2ex.com has IPv6 address 2606:4700:10::6814:ada v2ex.com has IPv6 address 2606:4700:10::6814:9da

同样测试证书，SNI 为 github.com ，没有被劫持：

$ openssl s_client -showcerts -servername github.com -connect 104.20.9.218:443 CONNECTED(00000005) depth=2 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = COMODO ECC Certification Authority verify return:1 depth=1 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = COMODO ECC Domain Validation Secure Server CA 2 verify return:1 depth=0 CN = ssl509603.cloudflaressl.com verify return:1 --- Certificate chain 0 s:CN = ssl509603.cloudflaressl.com i:C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = COMODO ECC Domain Validation Secure Server CA 2 -----BEGIN CERTIFICATE----- 省略……

各位怎么看？

第 1 条附言 2020-03-27 11:27:52 +08:00

现在那个 ip 好像部分恢复了，广州阿里云测试，没有证书劫持，但是其他一些地区访问超时

21 条回复 2020-03-27 14:51:15 +08:00