0x00 问题表现

上海地区电信网络访问网站域名www.dx*.top 访问跳转localhost，后面检测上海其他网络也是类似表现。

0x01 起因和处理

国庆后，作为西部数码技术在处理工单投诉的时候，遇到一个简单问题，上海地区电信网络访问域名www.dx*.top 访问跳转localhost。
一般这类问题较简单，都是以下几个可能：

• 网站程序被挂马篡改
• 主机服务器拦截跳转
• 域名被劫持

按照常规处理查看了一下之前其他技术同事的对这个问题的分析记录，结论是判断是地区域名劫持，其他地方访问是正常。只是用户本地访问跳转。解析测试也是上海地区解析异常。（ps：之前我们其他技术同事已经让他尝试过，更换不同浏览器，更换本地dns，更换电脑网络，都是相同情况）

奔着避免错漏的情况下，再去检测了一遍对方的网站程序。常见dede程序，dede很由于漏洞较多被黑情况较多，实际检测页面源码和程序源码没有查看到任何异常。问题1再次排除。问题2，服务器拦截，我们的拦截跳转页面也不是localhost，所以直接排除。剩下原因是只剩下被劫持，这下不好处理了。一般域名被劫持，看是本地电脑劫持，还是网络劫持，如果是本地电脑劫持还好，网络劫持基本没法处理，只能更换域名。

之前处理这个用户的问题，加过好友没有删除，这次再次找到他，先给他解释一下这次问题。但是用户不是技术，对这方面不了解，认为劫持也不会现在这种情况，而不是访问时不时出现跳转localhost，应该是直接跳转。这个问题我也没法解释，比较这个劫持情况为什么这样我也不了解。为了更加一步确认问题，我联系用户远程查看。

远程检查了，解析本地解析是正常ip，没有出现解析错误，并且curl请求测试查看到网站基本正常，在ie中访问基本正常。感觉像是浏览器劫持，尝试关闭了浏览器的广告拦截插件，恢复正常访问，过了一会又访问异常。用我自己的域名给用户提供了一个测试域名访问测试本身没有问题，问题还是在域名上面。

用户表示域名和空间都是我们的，要求必须我们处理，这个时候实在没有办法了，想不到处理办法。把这个问题发到技术部讨论组中，结果多个人都反馈出现  有上海用

户出现跳转localhost，其他地区没有出现。由于这个用户在我们这边有多个账号，开始以为都是他提交的工单，翻了一下历史记录，查看来着不同用户，那么可以判断不是个例问题。网上百度查了一下，也有其他人反馈上海网络跳转localhost。那么基本和我们之前判断是一样的，就是上海地区网络问题。

上海网络问题，网络运营商问题我们没法解决。只能反馈１００００电信运营商，但是联系过去都是客服，根本没法解决。只说是正常，用户告诉我说他之前联系过电信的技术人员，电信上门维护过网络是正常的，这个问题无解了。

0x02 问题的发现和转折

这个时候经理把统计出来反馈上海访问跳转localhost的工单发了出来，让我统计一下这些域名，查看一下有没有共同点，看看是不是域名有什么问题，是不是域名里面带有什么敏感词导致。

记录一下这些域名，查看到域名内容没有相同点，这个时候突然注意到一个细节，部分域名在腾讯QQ上发送的时候，提示危险，部分域名没有，想了一下会不会是这个导致，但是部分域名没有提示，根据这方面的猜想，我又返回去查看了一下没有危险报警的域名，哈哈，这下有了重大发现。这下没有提示的域名，在当时反馈提跳转的时候域名任然是报警危险，只是被我们技术当时顺手处理向腾讯申诉域名，所以现在查看是没有提示危险报警。

那么现在这些域名都有了共同点，腾讯QQ域名提示危险报警。

为了再次确认这个问题，我找到了网上之前发过相同问题博客的域名www.mr-fu.com。在腾讯里面仍是危险报警。心中十分激动，说明这种可能性非常大。

怀着紧张的心情，我检测了用户的域名，也是相同问题。大体上是这个问题了。这个时候还需要在进一步测试。

于是我到https://urlsec.qq.com/check.html　腾讯安全-网址安全中心　对用户的域名提交了域名申诉，等待申诉结果。一天后腾讯反馈申诉成功。

接着我反馈用户让用户重新访问再试，实际用户测试还是存在跳转ｌｏｃａｌｈｏｓｔ，难道是我想错了，让用户测试了，之前反馈跳转localhost的其他域名，分别测试有危险报警和没有报警的域名。反馈的结果和我之前预期的一样，感觉当前跳转应该是缓存问题。于是接下来两天，连续让用户测试，申诉成功第二天开始用户反馈没有出现跳转，只是网站访问慢（访问慢是其他问题）。再通过第三方平台测试域名解析，查看到上海地区域名解析正常。反复测试几次都是正常。

0x03　结束语

这次问题，基本判断可能是上海地区网络调用了和腾讯安全违法信息有关。这个结果只是有很大可能，并完全代表一定就是。如果有出现跳转localhost的域名，可以尝试https://urlsec.qq.com　在申诉解除域名威胁提示在观察。当时解除拦截可能有缓存，可以延迟两天在观察。
处理问题总结：大胆猜测，小心求证。