信 IDC 房都始搞 HTTP 劫持? - V2EX
首页 注册 登录
V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
akw2312
V2EX    宽带症候群

信 IDC 房都始搞 HTTP 劫持?

  •   
  •   akw2312 2016-06-27 04:54:09 +08:00 9569 次点击
    这是一个创建于 3403 天前的主题，其中的信息可能已经有所发展或是发生改变。

    photo_2016-06-27_04-50-54.jpg

    之前就家用信也始搞 HTTP 劫持了 而且好像都是外?

    朋友在他杭州下沙房(信路)的器 果也被劫持了

    root@admin1:~# wget http://103.249.71.49/mini.zip --2016-06-2 04:00:33-- http://103.249.71.49/mini.zip Connecting to 103.249.71.49:80... failed: Connection timed out. Retrying. --2016-06-27 04:00:37-- (try: 2) http://103.249.71.49/mini.zip Connecting to 103.249.71.49:80... failed: Connection timed out. Retrying. --2016-06-27 04:00:42-- (try: 3) http://103.249.71.49/mini.zip Connecting to 103.249.71.49:80... connected. HTTP request sent, awaiting response... 302 Found Location: http://101.96.10.61/103.249.71.49/mini.zip [following] --2016-06-27 04:00:42-- http://101.96.10.61/103.249.71.49/mini.zip Connecting to 101.96.10.61:80... connected. HTTP request sent, awaiting response... 200 OK Length: 98808345 (94M) [application/x-zip-compressed]

    可以位於 101.96.10.0/23 段本是蒙古 ctyun 用的 在被播到了 AS4812 去了 也就是上海 以基本上可以定 /23 的存服器是信搞的

    然後了一下 似乎是任何 HTTP 源都可以存 手了一下 都可以照存 有有其他的用法

    第 1 条附言    2016-06-30 07:52:05 +08:00
    整理一下信的存服器:
    1. 101.96.10.0/23 上海
    2. 101.110.118.0/24 州 (未播 只有信可接到)
    3. 101.96.8.0/24 北京 (未播 只有信可接到) PS: IPIP 示蒙古是的 已老高修改

    另外根 yexm0 所查
    http://caigou.chinatelecom.com.cn:8010/ESCM/biddoc/publicDetailTest.do?id=10498
    "中国电信云公司 2015 年 ChinaNet 国际出入口缓存系统建设工程" 是有其事
  • 信
  • 2016-06-27
  • connecting
    46 条回复    2016-07-27 11:29:44 +08:00
    vibbow
        1
    vibbow  
       2016-06-27 06:28:38 +08:00
    LZ 的系统明明是简体中文的，为什么发出来的帖子是繁体中文的呢...
    raysonx
        2
    raysonx  
       2016-06-27 09:05:08 +08:00 via Android
    好，顶，威武，支持，有希望了！
    kozora
        3
    kozora  
       2016-06-27 09:12:37 +08:00
    `wget http://103.249.71.49/mini.zip
    --2016-06-27 09:12:37-- http://103.249.71.49/mini.zip
    Connecting to 103.249.71.49:80... connected.
    HTTP request sent, awaiting response... 302 Found
    Location: http://101.110.118.73/103.249.71.49/mini.zip [following]
    --2016-06-27 09:12:38-- http://101.110.118.73/103.249.71.49/mini.zip
    Connecting to 101.110.118.73:80... connected.
    HTTP request sent, awaiting response... 200 OK
    Length: 98808345 (94M) [application/x-zip-compressed]
    Saving to: ‘ mini.zip ’

    100%[====================================================================================================================================================================================================================================>] 98,808,345 1.05MB/s in 90s

    2016-06-27 09:14:08 (1.05 MB/s) - ‘ mini.zip ’ saved [98808345/98808345]
    `
    还真是
    zkd8907
        4
    zkd8907  
       2016-06-27 09:17:58 +08:00
    这有啥，我们这还遇到过不同地区 CDN 服务器回源的时候 js 被插了脚本，结果导致其中一台 CDN 上的文件总是有运营商的劫持脚本。。。
    dream7758521
        5
    dream7758521  
       2016-06-27 09:27:35 +08:00 via Android
    @vibbow 就是
    yexm0
        6
    yexm0  
       2016-06-27 09:39:05 +08:00 via Android
    good!这下子三大运营商都齐了。
    dzxx36gyy
        7
    dzxx36gyy  
       2016-06-27 09:46:59 +08:00 via Android
    @vibbow 请看第三段←_←截图并不是 lz 自己的系统
    Marfal
        8
    Marfal  
       2016-06-27 10:16:02 +08:00
    上海电信昨天刚遇到。
    Marfal
        9
    Marfal  
       2016-06-27 10:16:39 +08:00
    普通家庭宽带，但是只遇到过一次，至于之后会不会有暂时不知道。
    lution
        10
    lution  
       2016-06-27 10:24:15 +08:00
    @dzxx36gyy 哪句话？
    dzxx36gyy
        11
    dzxx36gyy  
       2016-06-27 10:38:51 +08:00 via Android
    @lution 这是他朋友测的吧，楼主是台湾人←_←，发帖用繁体没啥问题吧
    shuiyingwuhen
        12
    shuiyingwuhen  
       2016-06-27 13:49:00 +08:00
    成都电信直接被劫持到 http://101.110.118.75/180.235.136.35/1G.bin
    computerfan
        13
    computerfan  
       2016-06-27 21:24:20 +08:00
    有些人啊，技能力解，倒是人用什字特感趣，揪著不放，你就是找存在感的？
    0078CE41
        14
    0078CE41  
       2016-06-28 03:10:10 +08:00
    只是语气平和的问个问题，都能引来冷嘲热讽，心里阴暗整天带着负面眼光看人的家伙，没想到在 V 站也有啊
    真是可怕，甚至让世界变得更糟糕了
    Lentin
        15
    Lentin  
       2016-06-28 11:36:18 +08:00
    看起来这个缓存服务器的网速不错，收藏了
    typcn
        16
    typcn  
       2016-06-28 16:54:28 +08:00
    又一台免费 CDN （
    typcn
        17
    typcn  
       2016-06-28 17:05:15 +08:00
    我用联通 IP 访问，一样 302 了，这是机房搞的吧
    fengxing
        18
    fengxing  
       2016-06-28 20:41:20 +08:00
    @typcn 联通应该会劫持到 120.52.73.*或者 120.52.72.*
    typcn
        19
    typcn  
       2016-06-28 21:00:10 +08:00
    @fengxing 302 目标同样是上海电信
    fengxing
        20
    fengxing  
       2016-06-28 21:09:04 +08:00
    @typcn 17ce 上 get 测试全国不同运营商跳转是不一样的，也许你那里是特例，但是绝对不是机房搞得
    这是地址，你可以自己看 http://www.17ce.com/site/http/201606_1a8d7a59e29a24c44e3ad2fd5b18ad99.html
    typcn
        21
    typcn  
       2016-06-28 21:24:55 +08:00
    @fengxing 这里显示全部都是 200 啊
    fengxing
        22
    fengxing  
       2016-06-28 21:26:09 +08:00
    @typcn 点开右边的详情你就明白了
    fengxing
        23
    fengxing  
       2016-06-28 21:26:38 +08:00
    @typcn 右边的查看
    typcn
        24
    typcn  
       2016-06-28 21:44:44 +08:00
    @fengxing

    北京联通 -- 指向了联通的缓存服务器，服务器为 HRS/1.4.2 ，伪造包的 TTL 为 50 左右，正常包 TTL 为 100+

    HTTP/1.0 302 Found
    Server: HRS/1.4.2
    ...
    Location: http://120.52.73.8/103.249.71.49/mini.zip


    广东电信 -- 指向了电信的缓存服务器，服务器为 HRS/1.4.2 ，伪造包的 TTL 为 50 左右，正常包 TTL 为 100+

    HTTP/1.0 302 Found
    Server: HRS/1.4.2
    ...
    Location: http://101.110.118.73/103.249.71.49/mini.zip


    只接入了联通线路，但是某 IP 库中归属地为电信的服务器 -- 指向了电信的缓存服务器，服务器为 HRS/1.4.2 ，伪造包的 TTL 为 50 左右，正常包 TTL 为 100+

    * HTTP 1.0, assume close after body
    < HTTP/1.0 302 Found
    < Server: HRS/1.4.2
    ...
    < Location: http://101.96.8.141/103.249.71.49/mini.zip



    您觉的这是运营商的劫持么？
    raysonx
        25
    raysonx  
       2016-06-28 21:58:27 +08:00 via iPad
    @typcn 我自己的服务器都被劫持了，运营商劫持无疑
    typcn
        26
    typcn  
       2016-06-28 22:01:03 +08:00
    @raysonx 这是哪家运营商用纯真 IP 库根据你是联通还是电信，把你劫持到不同运营商的缓存服务器上去？
    IP 库里的错误都能重现
    fengxing
        27
    fengxing  
       2016-06-28 22:08:35 +08:00
    @typcn 120.52.73.0/24 和 120.52.72.0/24 一直是联通的劫持服务器，并不是 CDN
    fengxing
        28
    fengxing  
       2016-06-28 22:09:56 +08:00
    @typcn 并且你见过哪家的 CDN 能任意代理所有地址的？？？？？
    lingaoyi
        29
    lingaoyi  
       2016-06-28 22:10:05 +08:00
    @vibbow 繁体又怎样的？
    raysonx
        30
    raysonx  
       2016-06-28 22:10:33 +08:00 via iPad
    @typcn 我同时有电信和联通的光纤，也有美国日本韩国的 vps ，自己的 vps 都会被劫持还能不知道？
    raysonx
        31
    raysonx  
       2016-06-28 22:13:43 +08:00 via iPad
    @typcn 至于你说的只接入了联通线路那个，你可以试试在两端互相做路由追踪看一看经过了哪家运营商的国际出口
    typcn
        32
    typcn  
       2016-06-28 22:20:55 +08:00
    @raysonx traceroute 当然是经过了联通的国际出口，至于远端不是我自己的，我也没有办法测试。

    @fengxing 如果您实在理解不了，我发的第一句话意思是“可以用缓存服务器免费当 CDN 用了”。

    如果您理解不了我那段运营商劫持数据想表达的意思，那我来解释一下。

    不同地点伪造包的 TTL 大致相同， TCP 包的 ID 完全相同，甚至连 Server 头都相同，这表明劫持是由同一台设备，同一个软件发出的。

    那么请问这台服务器是哪家运营商的？ 它为什么又会帮联通劫持，又会帮电信劫持？ 而且还会错误的把部分联通 IP 劫持到电信的服务器上？
    raysonx
        33
    raysonx  
       2016-06-28 22:23:14 +08:00
    @typcn 我大胆推测一下，这种缓存劫持系统是外包的，很可能都是外包给了同一家公司。
    你看劫持服务器返回的时间都是错的。
    typcn
        34
    typcn  
       2016-06-28 22:27:02 +08:00
    @raysonx 那也就是电信和联通，把两个物理位置都不在一个城市的线路，接上分光器连到劫持公司所在的同一台设备咯？

    算了，懒得继续回复了。。。。
    raysonx
        35
    raysonx  
       2016-06-28 22:28:55 +08:00
    @typcn 劫持系统只布在国际出口局就够了，中国的国际出口目前只有北京、上海和广州。
    fengxing
        36
    fengxing  
       2016-06-28 22:29:38 +08:00
    @typcn
    @raysonx 劫持服务器确实是外包的，联通的缓存招标文件现在网上还有，所以联通和电信同时使用同一家公司的缓存系统是非常可能的
    tsungkang
        38
    tsungkang  
       2016-06-29 09:24:55 +08:00
    @zkd8907 腾讯的东西也敢劫持？看来电信越来越牛逼了……
    lslqtz
        39
    lslqtz  
       2016-06-29 21:55:14 +08:00
    感谢，又有新的缓存服务器可以用了，我去我贴更新 AppEnd 。
    akw2312
        40
    akw2312  
    OP
       2016-06-30 07:35:41 +08:00
    @vibbow 是我朋友的...
    我的系是繁的啊(
    我人在台然用繁咯
    akw2312
        41
    akw2312  
    OP
       2016-06-30 07:47:11 +08:00
    @shuiyingwuhen 你劫持之後的存服器的 ip 根本有播啊...
    服器在州
    看是只有信大能上 233
    ![55U$7`H9ZO`Q]XX]TUX}UPL.png]( https://ooo.0o0.ooo/2016/06/29/57745df281d98.png)
    另外 101.110.118.x 以前也是分 ctyun 的 IP 所以也是信官方所做的
    @typcn ty 你那"联通线路，但是某 IP 库中归属地为电信的服务器" 能在 TG 我一下 IP 我看下
    如果真的是信 那通常那 IP 的是信的 反正很喜玩 IP 播在信
    但是透 static bgp 啥的接入其他路的 你在 AS 只看到信但其有其他。
    ghostja/td>
        42
    ghostja  
       2016-06-30 09:04:53 +08:00
    应该算是部分好事吧。加快了部分国外网站的访问速度
    firexp
        43
    firexp  
       2016-07-14 08:35:41 +08:00 via iPhone
    mark
    BD7JHH
        44
    BD7JHH  
       2016-07-27 06:07:27 +08:00
    其实这个可以说是恶意劫持了. 比 DNS / 直接 RESET 什么的, 高端多了. 因为...这样其实可以完全在缓存服务器内直接修改内容后再返回, 比如普通的 http 明文信息, 你看到有 1000 积分, 经过缓存服务器就直接改成 2000 积分, 或者 0 积分.
    BD7JHH
        45
    BD7JHH  
       2016-07-27 06:15:17 +08:00
    另外, 暂时目测, 好像是直接 IP 地址访问, 才会缓存, 带域名的不会缓存. 有谁试出来通过域名访问都缓存了吗?

    这样会缓存
    http://116.251.211.xxx/xxx.zip

    这样不会缓存
    http://www.xxxxxxx.com/xxx.zip
    akw2312
        46
    akw2312  
    OP
       2016-07-27 11:29:44 +08:00
    @BD7JHH 目前看起 信 通都是找同一家公司做的
    通的域名都劫持
    信的人倒是找到域名劫持的
    可以看下 Firefox 或者去 MS 站下.net 安包看看不劫持
    关于     帮助文档     自助推广系统     博客     API     FAQ     Solana     3284 人在线   最高记录 6679       Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 31ms UTC 11:15 PVG 19:15 LAX 04:15 JFK 07:15
    Do have faith in what you're doing.
    ubao msn snddm index pchome yahoo rakuten mypaper meadowduck bidyahoo youbao zxmzxm asda bnvcg cvbfg dfscv mmhjk xxddc yybgb zznbn ccubao uaitu acv GXCV ET GDG YH FG BCVB FJFH CBRE CBC GDG ET54 WRWR RWER WREW WRWER RWER SDG EW SF DSFSF fbbs ubao fhd dfg ewr dg df ewwr ewwr et ruyut utut dfg fgd gdfgt etg dfgt dfgd ert4 gd fgg wr 235 wer3 we vsdf sdf gdf ert xcv sdf rwer hfd dfg cvb rwf afb dfh jgh bmn lgh rty gfds cxv xcv xcs vdas fdf fgd cv sdf tert sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf shasha9178 shasha9178 shasha9178 shasha9178 shasha9178 liflif2 liflif2 liflif2 liflif2 liflif2 liblib3 liblib3 liblib3 liblib3 liblib3 zhazha444 zhazha444 zhazha444 zhazha444 zhazha444 dende5 dende denden denden2 denden21 fenfen9 fenf619 fen619 fenfe9 fe619 sdf sdf sdf sdf sdf zhazh90 zhazh0 zhaa50 zha90 zh590 zho zhoz zhozh zhozho zhozho2 lislis lls95 lili95 lils5 liss9 sdf0ty987 sdft876 sdft9876 sdf09876 sd0t9876 sdf0ty98 sdf0976 sdf0ty986 sdf0ty96 sdf0t76 sdf0876 df0ty98 sf0t876 sd0ty76 sdy76 sdf76 sdf0t76 sdf0ty9 sdf0ty98 sdf0ty987 sdf0ty98 sdf6676 sdf876 sd876 sd876 sdf6 sdf6 sdf9876 sdf0t sdf06 sdf0ty9776 sdf0ty9776 sdf0ty76 sdf8876 sdf0t sd6 sdf06 s688876 sd688 sdf86