Windows nslookup 問題偵查
===

:::success
摘要
Windows 中的 nslookup 解析到的 IP 為不正確 IP
最後發現似乎是路由器D-Link的BUG
手動去更改電腦的IP就可以搞定
:::

# <font color='blue'>問題描述</font>

遇到問題，環境為租屋處，沒有受到資安設備管理監控。
簡易架構如下：


房間中有兩台電腦，一台 Laptop 一台 PC，皆為 Windows Win10，
目前 Laptop Win10 的 nslookup 中，大部分的網域，都沒辦法正確被解析。
譬如
hackercat.org
ithome.com.tw
會回應奇怪的 78.xx.xx.xx IP 跟 domain.name 網域，
hackercat.org -> 78.47.226.171 Aliases: hackercat.org.domain.name
ithome.com.tw -> 78.47.226.171 Aliases: ithome.com.tw.domain.name
不是這個網站真正的 IP，如下圖：
預設使用的 DNS Server 是 8.8.8.8，
有嘗試把 Server 設成 168.95.1.1，仍然得到一樣的結果。

(不止這兩個，試過很多個都是一樣的情形)


但是 Laptop Win10 當中的虛擬機 Kali，使用 nslookup 卻正常：
hackercat.org -> 35.213.167.241
ithome.com.tw -> 220.130.119.130
得到正常回應(**注意，這邊解出來的 IP，才是正確的 IP**)

而 Laptop Win10 當中雖然 nslookup 解析有問題
可是瀏覽器上網正常，利用 Nmap 或是 ping 去解析來的 IP 也正常
譬如下圖：

# <font color='blue'>嘗試方法</font>
## <font color='blue'>VPN</font>
如果啟用Laptop Win10 公司 VPN 的話，則 nslookup 可以正常使用解析正常IP。

## <font color='blue'>更換DNS Server</font>
如同上面提過，將 Server 設為 8.8.8.8 或 168.95.1.1 或 1.1.1.1，
仍然都是回應一樣奇怪的錯誤結果，78.xx.xx.xx 的這組 IP。

## <font color='blue'>hosts file</font>
已確認win10本機中的host檔案並未遭受到惡意修改。

## <font color='blue'>DHCP重新取得 IP</font>

ipconfig /release
ipconfig /renew

完成後再使用 nslookup，仍然得到同樣結果

## <font color='blue'>清除DNS Cache</font>
使用 ipconfig /flushdns 清楚 DNS cache 結果一樣

## <font color='blue'>tracert</font>
tracert 看似無異狀，沒有經過 78.xx.xx.xx 的節點


## <font color='blue'>wireshark錄封包</font>
側錄封包看看，似乎有點突破（？！
幾乎靜置的狀態，也是一直query一堆奇怪的domain
都是domain.name的網域


VirusTotal看好像又沒問題


## <font color='blue'>Who is hijacking my NXDOMAINs</font>
資安群組中的大神分享的網路文章
https://harigovind.org/articles/who-is-hijacking-my-nxdomains/

這個文章的人遇到跟我很像的問題，
domain都被解析到78.xx.xx.xx這個IP。

不存在的網域也會被解出來到這邊IP跟網域：


所以看起來是路由器問題？路由器遭受到Poison攻擊？
(這邊我還沒確認路由器，下一步我先測試PC Win10)

## <font color='blue'>PC Win10 確認</font>
上面提到懷疑是路由器被攻擊，
但房間中的Laptop跟PC是接到同一台Switch，
而Switch就是同一台路由器，但測試過後 PC Win10 的 nslookup 沒有問題：


完全沒有道理啊！！！極度崩潰


:::info
「非常簡單」的用netstat/Process Explorer/工作管理員。觀察了一下是否有明顯異常連線、異常的檔案在執行、或是CPU與網路流量異常。初步觀察沒有明顯異狀

:::

## <font color='blue'>手動更改 Laptop Win10 的固定 IP</font>
大神同事建議，手動更改 IP看看（前面他有建議過DHCP重新取得，不過DHCP重抓無效）。

手動更改 IP，不使用 DHCP：


<font color='red'>結果就成功啦！！！！</font>


真心搞不懂原因，不過解決了很開心

## <font color='blue'>確定路由器設定</font>

回頭再看看上面提到過的那篇文章
https://harigovind.org/articles/who-is-hijacking-my-nxdomains/

這篇文章的作者跟我一樣是使用D-Link
連線到路由器確認，連到192.168.100.1(也就是我switch出去的Gatway)
產品是D-Link的DIR-612


:::info
這邊我稍微備註一下
最開頭的架構圖當中的Switch是我自己的ZYXEL的L2 Switch
這個D-Link DIR-612是在架構
:::

按照他文章的說法，是D-Link的問題（dlinkrouter或dlink），
只要把DHCP設定當中的domain.name修改成類似my-home-network(無效的TLD即可)


不過我自己後來是沒有去修改我的D-Link設定，因為手動設定固定IP後就解決問題了。
希望這篇文章可以幫助到有遇到同樣問題的人。

:::danger
最後稍微提一下，不過也不完全排除，
說不定內網真的有人針對我的IP進行Poison攻擊，
我也都不認識租屋處的其他室友。


:::