利用 Cloudflare Partner 劫持域名

若域名解析到 1.1.1.1，且未接入 Cloudflare，则大概率存在域名劫持。

Cloudflare 想必橘友们还是很熟悉的，作为世界最大的 CDN 服务提供商之一，还有吊炸天的 1.1.1.1、1.0.0.1 作为公共的 DNS 服务。

我的博客就是白嫖的他们家的 CDN，配置、体验都非常的银杏化（后面我打算写篇文章来分享一下我的博客自动化部署以及访问加速等配置）。

不啰嗦了，一句话：若域名解析到 1.1.1.1，且未接入 Cloudflare，则大概率存在域名劫持。

例子

先看例子，再看解释说明，如果你看懂了例子背后的原理，那么后面的内容就可以直接跳过了。

假设有个子域名是 a.macr0phag3.online，所有者将它解析到了 1.1.1.1：

然后我们作为攻击者，发现这种域名之后，先找个在线的 Cloudflare Partner，比如：

https://su.vv1234.cn/

先把二级域名接进去：

发现可以添加成功之后，再把这个子域名的 A 记录设置成自己的服务器地址：

这个时候，a.macr0phag3.online 的流量就会被劫持到你的服务器上。

从 Cloudflare 控制台也可以看到这个是有效的接管：

利用解释

在看下文之前，需要对 DNS 相关的知识有一定的了解，可以参考我的历史系列文章：

https://www.tr0y.wang/2020/09/14/DNS-1-basic/

解析到 1.1.1.1 有什么特殊含义吗？

这是 Cloudflare 的一个著名的公共 DNS 的 ip 地址，其实也可以作为 CDN 的一个节点。

首先大家可能比较疑惑的是，什么会有人把域名挂到 1.1.1.1。据我的了解，有些公司的运维在管理域名的时候，喜欢把没用到的（子）域名是先挂上 1.1.1.1 来测试或者占位；以及域名不使用了之后，就把之前的解析记录换成 1.1.1.1。

其次，解析到其他 CDN 地址也是可以用这种方式进行劫持的，比如 1.0.0.1 等等。这里只是用 1.1.1.1 为例子。

最后，思考一个问题：如果一个域名没有接入 Cloudflare，但也没有配置 1.1.1.1 的 A 记录，那么还能被这种方式劫持吗？答案肯定是不可以（如果可以的话还得了...）。

看下这张简单的 CDN 架构图就明白了：

所以攻击者虽然没拥有 1.1.1.1，无法实现直接的劫持，但是 1.1.1.1 作为 CDN 入口之一，是需要刷新资源的，它要回源去原站拿响应，再返回给用户，而这个回源的地址正是攻击者配置的 A 记录。

Cloudflare Partner

为什么攻击者要在 Cloudflare Partner 上添加解析记录呢？

我们尝试在 Cloudflare 控制台直接添加看看：

熟练地选择白嫖：

可以看到，需要真正地接入成功，需要将 NS 改到 Cloudflare 这里：

那么 macr0phag3.online 并不是攻击者所有的，那么自然也就无法修改 NS。需要改 NS，这可以当做检查你真正拥有这个域名的一道认证流程。

虽然大部分提供 DNS 解析服务商（比如万网）都需要验证 NS，但是有很多人不愿意修改 NS，因为某些 DNS 解析服务商的功能比较多或者是有些独有的功能，而 Cloudflare 不一定有（毕竟 Cloudflare 也不是做慈善的，它是有付费版的）。

问题出现自然是寻找绕过办法，Cloudflare Partner 就是一个 bypass。

解释一下什么是 Cloudflare Partner。

Cloudflare Partner 合作伙伴计划，提供另一种方法来接入 Cloudflare。Cloudflare Partner 的作用有两点：

Cloudflare 为了拓展用户提供的渠道，我的理解就是下游的分销商。
为开发者或者主机提供商提供便利的 API 服务，方便提供各种自动化能力。

总之，合作伙伴计划使得用户不需要登录 Cloudflare 官网就可以管理域名解析，可以在 WHMCS、Cpanel 等面板中使用集成的 Cloudflare CDN 加速服务。当然，这条路子还可以让用户免费用到 Cloudflare Pro 的一些功能（比如用 cname 方式接入 CDN），所以网上才会有那么多人用 Cloudflare Partner。

那么是否验证 NS 就取决于 Cloudflare Partner，既然是可选的那么一般就不会有人做，这就是人性。所以绝大部分的 Cloudflare Partner 都不会验证 NS，你说要接就接，前提是之前没人接入过。再说申请 Cloudflare Partner 也并不难，自己申请个，想怎么搞就怎么搞。

需要注意的是，域名在添加进 Cloudflare Partner 的时候，还会遇到这个提示：