麻烦帮忙分析一下wireshark抓的包 - V2EX
Home Sign Up Sign In
Ansen

麻烦帮忙分析一下wireshark抓的包

  •   
  •   Ansen Sep 24, 2013 9590 views
    This topic created in 4617 days ago, the information mentioned may be changed or developed.
    还是之前的http劫持问题 /t/79270#reply9 /t/81095#reply20

    工信部投诉过后，电信方面一直跟我强调，从13年3月15日后，他们已经全方面停止了商业广告推送。
    但是我这里上网还是被劫持

    为了排除是系统的问题，我直接换成了linux
    结果仍然被劫持
    劫持视频：
    jiechi.duapp.com

    昨天晚上用wireshark抓包，但是不会分析。。

    包地址：
    http://pan.baidu.com/share/link?shareid=4279024039&uk=4129632760

    说明：
    0923 09232 这两个包 我用了 tcp dst 80规则，
    09233 这个包，是我打开amazon被劫持过程中抓取的
    Supplement 1    Sep 24, 2013
    在线浏览
    0923
    http://www.cloudshark.org/captures/0d93733891ab
    09232
    http://www.cloudshark.org/captures/9c1eb298b694
    09233
    http://www.cloudshark.org/captures/4922b5c91de
    Supplement 2    Sep 25, 2013
    这是更换dns后，抓取的一号店的包
    http://pan.baidu.com/s/11gn89

    在线浏览:
    http://www.cloudshark.org/captures/183565eaaaf2

    jd的包
    http://pan.baidu.com/s/1Dr4DD

    在线浏览：

    http://www.cloudshark.org/captures/829612f5770c
  • 被劫持
  • wireshark
  • 劫持
    38 replies    1970-01-01 08:00:00 +08:00
    cctvsmg
        1
    cctvsmg  
       Sep 24, 2013   1
    http方面的可以用HttpAnalyzer
    非常直观
    Ansen
        2
    Ansen  
    OP
       Sep 24, 2013
    @cctvsmg
    感谢，回去装个虚拟机试试
    BOYPT
        3
    BOYPT  
       Sep 24, 2013
    请传到 http://www.cloudshark.org/
    cj1324
        4
    cj1324  
       Sep 24, 2013
    分析了一下 ，先贴一个关键地址
    http://p.yiqifa.com/c?s=b4ba41dc&w=658253&c=7069&i=37998&l=0&d=2018&e=c&t=http://www.amazon.cn
    Ansen
        5
    Ansen  
    OP
       Sep 24, 2013
    @BOYPT
    原来还有这么好用的工具，已经上传
    @cj1324
    就是会先跳转到这个地址，不知道是dns的问题 还是电信劫持的问题
    chen7897499
        7
    chen7897499  
       Sep 24, 2013   1
    我上次也是遇到这种情况 直接电信的官方投诉http://tousu.ct10000.com/ 加地方通信管理局还有工信局 三方一起轰炸 第二天就给我解决了
    Ansen
        8
    Ansen  
    OP
       Sep 24, 2013
    @yingluck
    非常感谢

    @chen7897499

    那说明，我上次投诉工信部 没有起到作用
    chen7897499
        9
    chen7897499  
       Sep 24, 2013
    @Ansen 你投诉过之后 第二天都会给你来个电话的 没来电话 你再投诉就是了 不要怕 记得要写自己的宽带帐号 还有就是找地方通信管理局的网站进行网上投诉比工信部快得多
    Ansen
        10
    Ansen  
    OP
       Sep 24, 2013
    @chen7897499

    只是电信方面一直不承认，最后说是叫工作人员上门来看，然后就没有然后了
    chen7897499
        11
    chen7897499  
       Sep 24, 2013
    @Ansen 我上次为了这个事情 足足和他们纠缠了半个月 我是湖南的 后来有个技术人员联系我 我把上网dhcp自动获悉的dns 还有这些链接还有数据包什么的发到他邮箱 立马就给我解决了 上门来根本就不可能的 记住把所有证据性的东西都保存下来 不停的投诉的话 他不可能不承认的
    cj1324
        12
    cj1324  
       Sep 24, 2013 via Android   1
    确实和电信没关系 你用了 114 DNS 嘿嘿。
    Ansen
        13
    Ansen  
    OP
       Sep 24, 2013
    @chen7897499
    只有这样了，继续的投诉了
    我再多抓点包，把京东 淘宝的都抓到
    Ansen
        14
    Ansen  
    OP
       Sep 24, 2013
    @cj1324

    能麻烦你详细说明一下么？非常感觉，我也再学习一下
    chen7897499
        15
    chen7897499  
       Sep 24, 2013
    @cj1324 我上次当然试了114的dns也有这种情况 后来省工作人员给我的解释是这是他们针对iphone5的宣传活动 还祝我节日快乐
    Ansen
        16
    Ansen  
    OP
       Sep 24, 2013
    @chen7897499
    这不扯么
    cj1324
        17
    cj1324  
       Sep 24, 2013   1
    114 DNS 问题

    》关键DNS查询 DNS：114.114.115.115
    cj1324
        18
    cj1324  
       Sep 24, 2013
    我猜测 114dns 其实只是劫持了 amazon.cn 这个域名 原来的 www.amazon.cn的域名应该没有劫持。

    欺负那些懒人，赚点广告钱。。
    Ansen
        19
    Ansen  
    OP   Sep 24, 2013
    @cj1324
    没看明白
    203.81.17.246 这个ip是亚马逊的达
    yfdyh000
        20
    yfdyh000  
       Sep 24, 2013
    @cj1324 截图表明什么了吗，完全没问题吧。同114DNS一切正常。
    @Ansen 就是HTTP劫持，继续投诉吧。或者路由器问题？
    Ansen
        21
    Ansen  
    OP
       Sep 24, 2013
    @yfdyh000
    路由我都重置过了，不行我回去 换一个试试
    cj1324
        22
    cj1324  
       Sep 24, 2013
    @Ansen 那个IP （203.81.17.246）是广告联盟的 用来进行中转
    配合用来进行插入广告的IP（203.81.17.130）
    900-950号 包 是加密通讯的 不清楚他对浏览器做了什么。
    目前就看到他会发ajax请求 和加广告。
    这2个IP 都是广告联盟的。
    cj1324
        23
    cj1324  
       Sep 24, 2013
    @Ansen 不用114 DNS 就行了。 何必折腾。。 记得清除浏览器缓存 否则。。
    Ansen
        24
    Ansen  
    OP
       Sep 24, 2013
    @cj1324
    这两个IP是amzon的吧。 怎么会是广告联盟的。。
    chen7897499
        25
    chen7897499  
       Sep 24, 2013
    我也没看懂 我这里解析的www.amazon.cn的ip和这两个广告联盟的ip在同一个c段 而且通过http://www.114best.com/ip/做域名反查 这两个ip下域名也确实只有卓越亚马逊
    cj1324
        26
    cj1324  
       Sep 24, 2013
    @Ansen 估计是一个不太正常的CDN， 真要确定问题。 只能弄清楚 900-950 被加密的包。里面到底是什么内容。为什么他会ajax请求 加广告。
    yfdyh000
        27
    yfdyh000  
       Sep 24, 2013
    @cj1324 你确定？直接打开IP看看，明明就是亚马逊的服务器。
    https://203.81.17.130/ https://203.81.17.246/
    cj1324
        28
    cj1324  
       Sep 24, 2013
    @Ansen 如果JD 也有劫持的话 可以看看JD是怎么劫持的。 如果确实是JD自己的IP的话，那就有可能某些HTTP 请求被电信用加密的内容替换了。 进行一些非正常的js命令执行
    Ansen
        29
    Ansen  
    OP
       Sep 24, 2013
    @cj1324
    好 一会回去，我抓JD的包，什么一号店之类的也抓起
    chen7897499
        30
    chen7897499  
       Sep 24, 2013
    哎 流氓的运营商果然什么事情都可以做 我们这些用户真可怜
    Ansen
        31
    Ansen  
    OP
       Sep 24, 2013
    @chen7897499
    也是*内
    cj1324
        32
    cj1324  
       Sep 24, 2013
    @Ansen 950号 包完整内容 是请求www.amazon.cn(203.81.17.130) 返回的 JS 大部分被压缩了

    #发现写这个代码的哥们已经对你不错了。

    很多广告 都被注释掉了.

    https://gist.github.com/cj1324/6685905
    Ansen
        33
    Ansen  
    OP
       Sep 24, 2013
    @cj1324

    非常感谢。哥们你太用心了。。。 来成都 我请你吃饭。。。
    cj1324
        34
    cj1324  
       Sep 24, 2013
    @Ansen 我刚才发的那些HTML 确实是amazon.cn官方提供的。

    p.yiqifa.com 应该不是亚马逊主动访问的。 可能你的浏览器插件有问题 （插件会根据帐号进行，跨操作系统同步），换一个浏览器试试
    cj1324
        35
    cj1324  
       Sep 24, 2013
    和你一样问题的人应该很多，大多数人没察觉。
    这个网站在中国地区流量排行是208 名。

    应该是一个非常大的组织。。
    http://alexa.webmasterhome.cn/?url=yiqifa.com
    Ansen
        36
    Ansen  
    OP
       Sep 25, 2013
    @cj1324
    我是在chrome的隐身模式下抓的包，排除插件问题（隐身模式下默认禁用所有插件）
    要不是我恰好做过这方面，对这方面比较敏感，有可能我也忽略了

    已经添加jd和一号店的包
    anheiyouxia
        37
    anheiyouxia  
       Sep 25, 2013
    @Ansen 看你提供的视频，其实你那里还是夹在了proxy插件的，说明你没有禁用所有的插件
    你最好还是进去确认一下全部禁用，或者是换个浏览器试试吧
    多试几个才知道什么问题
    Ansen
        38
    Ansen  
    OP
       Sep 25, 2013
    @anheiyouxia
    好的，晚上试试firefox
    About     Help     Advertise     Blog     API     FAQ     Solana     2917 Online   Highest 6679       Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 43ms UTC 06:06 PVG 14:06 LAX 23:06 JFK 02:06
    Do have faith in what you're ding.
    ubao msn snddm index pchome yahoo rakuten mypaper meadowduck bidyahoo youbao zxmzxm asda bnvcg cvbfg dfscv mmhjk xxddc yybgb zznbn ccubao uaitu acv GXCV ET GDG YH FG BCVB FJFH CBRE CBC GDG ET54 WRWR RWER WREW WRWER RWER SDG EW SF DSFSF fbbs ubao fhd dfg ewr dg df ewwr ewwr et ruyut utut dfg fgd gdfgt etg dfgt dfgd ert4 gd fgg wr 235 wer3 we vsdf sdf gdf ert xcv sdf rwer hfd dfg cvb rwf afb dfh jgh bmn lgh rty gfds cxv xcv xcs vdas fdf fgd cv sdf tert sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf sdf shasha9178 shasha9178 shasha9178 shasha9178 shasha9178 liflif2 liflif2 liflif2 liflif2 liflif2 liblib3 liblib3 liblib3 liblib3 liblib3 zhazha444 zhazha444 zhazha444 zhazha444 zhazha444 dende5 dende denden denden2 denden21 fenfen9 fenf619 fen619 fenfe9 fe619 sdf sdf sdf sdf sdf zhazh90 zhazh0 zhaa50 zha90 zh590 zho zhoz zhozh zhozho zhozho2 lislis lls95 lili95 lils5 liss9 sdf0ty987 sdft876 sdft9876 sdf09876 sd0t9876 sdf0ty98 sdf0976 sdf0ty986 sdf0ty96 sdf0t76 sdf0876 df0ty98 sf0t876 sd0ty76 sdy76 sdf76 sdf0t76 sdf0ty9 sdf0ty98 sdf0ty987 sdf0ty98 sdf6676 sdf876 sd876 sd876 sdf6 sdf6 sdf9876 sdf0t sdf06 sdf0ty9776 sdf0ty9776 sdf0ty76 sdf8876 sdf0t sd6 sdf06 s688876 sd688 sdf86