安全研究者lina（lina.sh）曾多次接管过存在漏洞的.gov和.edu域名，每次都是上报后便不再过问。但这一次的经历有些特殊，她盯上的是一套几乎被全世界遗忘的电话网络基础设施，而最终牵扯出来的，是迪戈加西亚和阿森松岛上的军事基地。
故事要从一个叫ENUM的协议说起。
ENUM诞生于2000年代初，核心思路很简单：把电话号码的数字倒过来，每位之间加点，末尾接上.e164.arpa，一个电话号码就变成了一个域名。比如+49 30 123456会变成6.5.4.3.2.1.0.3.9.4.e164.arpa。
不难发现，所有德国号码都会落在.9.4.e164.arpa这个区域下，而这个区域由DENIC管理，也就是负责.de顶级域的同一家机构。DENIC决定哪些运营商或个人能获得哪些号段，和分发.de域名的逻辑如出一辙，这也让整个系统天然去中心化，每个国家自行决定授权方式。
设计这套协议的初衷，是让运营商查询这些域名后拿到一条记录，上面写着"这个号码可以通过SIP/VoIP在某个地址接通"，这样就能绕过昂贵的传统电话网络，把通话转到便宜的互联网链路上。
可惜这个想法从未真正流行起来，即便是在早期也几乎没什么人用，随着时间推移更是每况愈下，到今天基本可以宣告死亡。lina本人其实注册了一个5.8.7.1.7.1.3.2.6.1.9.4.e164.arpa并指向了自己的网站，虽然严格来说她不该这么做，熟悉规则的人甚至能从这个域名反推出她的备用手机号。德国是少数几个技术上仍允许注册e164.arpa域名的国家之一，而她是自2019年以来第一个注册这类域名的人。
按照RFC 3761规范，这类域名上只能设置NAPTR记录，也就是告诉运营商该把通话路由到哪里的记录。规范明确指出.arpa域名属于基础设施域名，不应该被当作普通域名来托管网站之类的内容，大家熟悉的in-addr.arpa反向DNS解析也属于同一类。但规范归规范，DNS终究只是DNS，没人能阻止你往上贴一条A记录然后跑个网站，对此颇为不满的人甚至试图推动证书颁发机构不再为.arpa域名签发证书。
lina当时正在扫描e164.arpa下的各个授权区域，想看看有没有可被劫持的目标，纯粹是出于对这套系统被忽视程度的好奇。
她找到了三个国家代码区域：0.9.2.e164.arpa、6.4.2.e164.arpa和7.4.2.e164.arpa，三者都被委托给了同一组nameserver，ns6.icb.co.uk和ns.enum.org.uk。
给不熟悉DNS的读者简单解释一下：当一个域名被委托给某个nameserver，意思就是"关于这个域名的任何问题都去问这台服务器，答案在它手里"，如果谁控制了域名指向的nameserver，谁就控制了这个域名下的所有DNS响应。
icb.co.uk这个域名本身还在，但ns6.icb.co.uk这个子域名已经解析不到任何东西，于是所有请求都会回退到第二个nameserver，也就是ns.enum.org.uk。
而这个域名已经过期了。
lina花了5欧元把它买了下来，就这样，她获得了0.9.2.e164.arpa、6.4.2.e164.arpa和7.4.2.e164.arpa三个区域的DNS控制权。把数字倒回去看，它们分别对应电话区号+290、+246和+247，也就是圣赫勒拿、英属印度洋领地（迪戈加西亚）和阿森松岛。有意思的是，这三个领地恰好也拥有广受欢迎的国家顶级域.sh、.io和.ac。
这意味着什么呢？当运营商对这些号码发起ENUM查询时，本质上是在问"这通电话该路由到哪里"，而lina可以给出任意答案。她可以把请求指向自己的SIP服务器，接听来电后再用伪造的主叫号码拨给真实目的地，被叫方看到的是原号码来电，接听后和对方正常通话，全程却有一个人静默地坐在中间监听每一句话。理论上只要有人还在使用这套系统，她就能对收到的每一个请求做这种重定向。
她第一时间通过多个渠道向英国政府上报了这个问题，没有得到任何回应。她的推测是，Internet Computer Bureau（过去似乎负责管理这些区域）的某个人在十多年前配置了这些nameserver，后来e164.arpa逐渐消亡，配置的人要么离职了要么干脆忘了这件事，结果就是没人记得自己还依赖着一个需要续费的域名。
马克斯·普朗克信息学研究所的研究者Q Misell听说了这件事，替她向管理e164.arpa的RIPE做了报告，但RIPE也拒绝采取行动。原因在于e164.arpa的授权由联合国层面的ITU-T委员会管辖，RIPE不愿意违背一个联合国委员会的决定，那会是一场官僚噩梦。
Q还问她有没有关于这些区域实际流量的数据，她当时并不清楚。出于好奇，她在0.9.2.e164.arpa（圣赫勒拿）上开启了日志记录，等了整整一天。
一条查询都没有。
既然尽力上报却无人理会，而看起来也没人真的在依赖这些域名，她便把它们留了下来。她在上面托管了个人网站，搭了一个Fediverse实例和一个Matrix homeserver，还给朋友们分了子域名，反正这是个死掉的系统，不会伤害任何人，也没人在乎，不如拿来玩点有意思的。
半年后，出于好奇她重新查看了三个区域的日志，其实当初搭建环境时她就给另外两个区域也开启了日志记录。
数十万条ENUM查询，全部被记录了下来。由于域名本身就是电话号码倒过来写的，把数字翻回去就能得到真实号码，她因此掌握了完整的电话号码、时间戳，以及发起请求的DNS解析器源IP地址。
日志里数十万行记录都长这样（号码已随机化）。
流量几乎不在圣赫勒拿的0.9.2.e164.arpa上，基本全集中在6.4.2.e164.arpa和7.4.2.e164.arpa，也就是迪戈加西亚和阿森松岛，源IP地址则大多来自美国。这也解释了为什么她最初没看到任何流量，因为当时她只记录了圣赫勒拿那个区域。
具体数字是，6.4.2.e164.arpa收到100170次查询，7.4.2.e164.arpa收到99902次，0.9.2.e164.arpa收到9133次，这大约只是总请求量的一半，全部加起来接近40万次。
她就这样在无意中记录了数十万条打向军事基地的电话号码和通话时间，而如前文所述，一个恶意攻击者完全可以对其中每一通电话实施MITM（中间人攻击）。她不是专家，但也能想到在数十万通士兵和家人的通话里，敏感信息迟早会有所泄露，一个对这些基地动向感兴趣的国家行为体，完全有动机在无人察觉的情况下蹲守数月。
不难想象谁会对迪戈加西亚的情报特别感兴趣，这个稍后再谈。
她的DNS服务器对所有查询都返回了NXDOMAIN，所以那些通话最终还是走了正常的电话网络。意识到问题后，她立即关闭了DNS服务器并删除了所有日志文件。
她第二次向英国国家网络安全中心（NCSC）上报了这件事，这一次提到军事基地被牵扯其中，对方立刻高度重视。
NCSC查不出最初是谁配置了这个被遗弃的授权，而要彻底修复又会遇到之前说的ITU委员会问题，所以一段时间内什么都没变。甚至一年后她仍然拥有这个域名，理论上仍能拦截流量，不过她已经清空了整个区域，ns.enum.org.uk对所有请求都返回NXDOMAIN。
2026年3月20日，伊朗向迪戈加西亚发射了弹道导弹。如果那天能看看忧心忡忡的家属们有没有打来更多电话，或许会是个有意思的数据点，但那时她早已停止记录任何东西。这件事本身却说明，一个国家行为体确实可能对这类信息感兴趣。
不久之后，NCSC让她把域名所有权直接转移给了他们，转移前她还得再花5欧元续一次费，否则域名会重新开放注册，任何人都能重复上述操作。
如今ns.enum.org.uk由NCSC控制，但那三个区域的nameserver配置依然指向这里。
算下来她在域名费上亏了10欧元，没有漏洞赏金，至少家门没被踹开，也算是个有趣的故事。
这件事暴露的不是某个单点漏洞，而是一整套被遗忘的基础设施在无人维护的状态下持续运转所带来的系统性风险。ENUM协议虽已名存实亡，但仍有运营商在实际查询，尤其是针对那些偏远军事领地的号码。一个过期域名的售价是5欧元，而它能撬动的，是数十万通可能涉及敏感信息的通话路由控制权。
迪戈加西亚作为美军在印度洋的关键军事基地，其通信安全本应是最高优先级，却因为一套二十年前设计、早已无人问津的协议，在长达一年多的时间里暴露在域名劫持风险之下。而这还只是被发现的三个区域，e164.arpa下还有多少类似的过期授权、被遗忘的nameserver，没人知道。
安全领域有句话说得好，最危险的漏洞不是你知道的那个，而是你以为已经不存在、却还在默默运行的那个。
声明：本文来自黑鸟，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
