首页 注册 登录
V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
akw2312
V2EX  ›  宽带症候群

電信連 IDC 機房都開始搞 HTTP 劫持?

  •   
  •   akw2312 · 2016-06-27 04:54:09 +08:00 · 9012 次点击
    这是一个创建于 3076 天前的主题，其中的信息可能已经有所发展或是发生改变。

    photo_2016-06-27_04-50-54.jpg

    之前就發現過家用電信也開始搞 HTTP 劫持了 而且範圍好像都是國外?

    剛剛朋友在他杭州下沙機房(電信線路)的機器測試 結果也被劫持了

    root@admin1:~# wget http://103.249.71.49/mini.zip
--2016-06-27 04:00:33--  http://103.249.71.49/mini.zip
Connecting to 103.249.71.49:80... failed: Connection timed out.
Retrying.

--2016-06-27 04:00:37--  (try: 2)  http://103.249.71.49/mini.zip
Connecting to 103.249.71.49:80... failed: Connection timed out.
Retrying.

--2016-06-27 04:00:42--  (try: 3)  http://103.249.71.49/mini.zip
Connecting to 103.249.71.49:80... connected.
HTTP request sent, awaiting response... 302 Found
Location: http://101.96.10.61/103.249.71.49/mini.zip [following]
--2016-06-27 04:00:42--  http://101.96.10.61/103.249.71.49/mini.zip
Connecting to 101.96.10.61:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 98808345 (94M) [application/x-zip-compressed]

    可以發現位於 101.96.10.0/23 這個段本來是內蒙古 ctyun 用的 現在被廣播到了 AS4812 去了 也就是上海 以基本上可以確定這 /23 內的緩存服務器是電信搞的

    然後簡單測試了一下 似乎是任何 HTTP 資源都可以緩存 手動測試了一下 網頁都可以照樣緩存 有沒有其他的用法暫時沒測試

    第 1 条附言  ·  2016-06-30 07:52:05 +08:00
    簡單整理一下電信的緩存服務器:
    1. 101.96.10.0/23 上海
    2. 101.110.118.0/24 廣州 (未廣播 只有電信可連接到)
    3. 101.96.8.0/24 北京 (未廣播 只有電信可連接到) PS: IPIP 標示內蒙古是錯的 已經讓老高修改

    另外根據 yexm0 所查
    http://caigou.chinatelecom.com.cn:8010/ESCM/biddoc/publicDetailTest.do?id=10498
    "中国电信云公司 2015 年 ChinaNet 国际出入口缓存系统建设工程" 是確有其事
  • 電信
  • 測試
  • 2016-06-27
  • connecting
    46 条回复  •  2016-07-27 11:29:44 +08:00
    vibbow
        1
    vibbow  
       2016-06-27 06:28:38 +08:00
    LZ 的系统明明是简体中文的，为什么发出来的帖子是繁体中文的呢...
    raysonx
        2
    raysonx  
       2016-06-27 09:05:08 +08:00 via Android
    好，顶，威武，支持，有希望了！
    kozora
        3
    kozora  
       2016-06-27 09:12:37 +08:00
    `wget http://103.249.71.49/mini.zip
    --2016-06-27 09:12:37-- http://103.249.71.49/mini.zip
    Connecting to 103.249.71.49:80... connected.
    HTTP request sent, awaiting response... 302 Found
    Location: http://101.110.118.73/103.249.71.49/mini.zip [following]
    --2016-06-27 09:12:38-- http://101.110.118.73/103.249.71.49/mini.zip
    Connecting to 101.110.118.73:80... connected.
    HTTP request sent, awaiting response... 200 OK
    Length: 98808345 (94M) [application/x-zip-compressed]
    Saving to: ‘ mini.zip ’

    100%[====================================================================================================================================================================================================================================>] 98,808,345 1.05MB/s in 90s

    2016-06-27 09:14:08 (1.05 MB/s) - ‘ mini.zip ’ saved [98808345/98808345]
    `
    还真是
    zkd8907
        4
    zkd8907  
       2016-06-27 09:17:58 +08:00
    这有啥，我们这还遇到过不同地区 CDN 服务器回源的时候 js 被插了脚本，结果导致其中一台 CDN 上的文件总是有运营商的劫持脚本。。。
    dream7758521
        5
    dream7758521  
       2016-06-27 09:27:35 +08:00 via Android
    @vibbow 就是
    yexm0
        6
    yexm0  
       2016-06-27 09:39:05 +08:00 via Android
    good!这下子三大运营商都齐了。
    dzxx36gyy
        7
    dzxx36gyy  
       2016-06-27 09:46:59 +08:00 via Android
    @vibbow 请看第三段←_←截图并不是 lz 自己的系统
    Marfal
        8
    Marfal  
       2016-06-27 10:16:02 +08:00
    上海电信昨天刚遇到。
    Marfal
        9
    Marfal  
       2016-06-27 10:16:39 +08:00
    普通家庭宽带，但是只遇到过一次，至于之后会不会有暂时不知道。
    lution
        10
    lution  
       2016-06-27 10:24:15 +08:00
    @dzxx36gyy 哪句话？
    dzxx36gyy
        11
    dzxx36gyy  
       2016-06-27 10:38:51 +08:00 via Android
    @lution 这是他朋友测的吧，楼主是台湾人←_←，发帖用繁体没啥问题吧
    shuiyingwuhen
        12
    shuiyingwuhen  
       2016-06-27 13:49:00 +08:00
    成都电信直接被劫持到 http://101.110.118.75/180.235.136.35/1G.bin
    computerfan
        13
    computerfan  
       2016-06-27 21:24:20 +08:00
    有些人啊，技術問題沒能力解決，倒是對別人用什麼字體特別感興趣，揪著不放，你們就是這樣找存在感的嗎？
    0078CE41
        14
    0078CE41  
       2016-06-28 03:10:10 +08:00
    只是语气平和的问个问题，都能引来冷嘲热讽，心里阴暗整天带着负面眼光看人的家伙，没想到在 V 站也有啊
    真是可怕，甚至让世界变得更糟糕了
    Lentin
        15
    Lentin  
       2016-06-28 11:36:18 +08:00
    看起来这个缓存服务器的网速不错，收藏了
    typcn
        16
    typcn  
       2016-06-28 16:54:28 +08:00
    又一台免费 CDN （
    typcn
        17
    typcn  
       2016-06-28 17:05:15 +08:00
    我用联通 IP 访问，一样 302 了，这是机房搞的吧
    fengxing
        18
    fengxing  
       2016-06-28 20:41:20 +08:00
    @typcn 联通应该会劫持到 120.52.73.*或者 120.52.72.*
    typcn
        19
    typcn  
       2016-06-28 21:00:10 +08:00
    @fengxing 302 目标同样是上海电信
    fengxing
        20
    fengxing  
       2016-06-28 21:09:04 +08:00
    @typcn 17ce 上 get 测试全国不同运营商跳转是不一样的，也许你那里是特例，但是绝对不是机房搞得
    这是地址，你可以自己看 http://www.17ce.com/site/http/201606_1a8d7a59e29a24c44e3ad2fd5b18ad99.html
    typcn
        21
    typcn  
       2016-06-28 21:24:55 +08:00
    @fengxing 这里显示全部都是 200 啊
    fengxing
        22
    fengxing  
       2016-06-28 21:26:09 +08:00
    @typcn 点开右边的详情你就明白了
    fengxing
        23
    fengxing  
       2016-06-28 21:26:38 +08:00
    @typcn 右边的查看
    typcn
        24
    typcn  
       2016-06-28 21:44:44 +08:00
    @fengxing

    北京联通 -- 指向了联通的缓存服务器，服务器为 HRS/1.4.2 ，伪造包的 TTL 为 50 左右，正常包 TTL 为 100+

    HTTP/1.0 302 Found
    Server: HRS/1.4.2
    ...
    Location: http://120.52.73.8/103.249.71.49/mini.zip


    广东电信 -- 指向了电信的缓存服务器，服务器为 HRS/1.4.2 ，伪造包的 TTL 为 50 左右，正常包 TTL 为 100+

    HTTP/1.0 302 Found
    Server: HRS/1.4.2
    ...
    Location: http://101.110.118.73/103.249.71.49/mini.zip


    只接入了联通线路，但是某 IP 库中归属地为电信的服务器 -- 指向了电信的缓存服务器，服务器为 HRS/1.4.2 ，伪造包的 TTL 为 50 左右，正常包 TTL 为 100+

    * HTTP 1.0, assume close after body
    < HTTP/1.0 302 Found
    < Server: HRS/1.4.2
    ...
    < Location: http://101.96.8.141/103.249.71.49/mini.zip



    您觉的这是运营商的劫持么？
    raysonx
        25
    raysonx  
       2016-06-28 21:58:27 +08:00 via iPad
    @typcn 我自己的服务器都被劫持了，运营商劫持无疑
    typcn
        26
    typcn  
       2016-06-28 22:01:03 +08:00
    @raysonx 这是哪家运营商用纯真 IP 库根据你是联通还是电信，把你劫持到不同运营商的缓存服务器上去？
    IP 库里的错误都能重现
    fengxing
        27
    fengxing  
       2016-06-28 22:08:35 +08:00
    @typcn 120.52.73.0/24 和 120.52.72.0/24 一直是联通的劫持服务器，并不是 CDN
    fengxing
        28
    fengxing  
       2016-06-28 22:09:56 +08:00
    @typcn 并且你见过哪家的 CDN 能任意代理所有地址的？？？？？
    lingaoyi
        29
    lingaoyi  
       2016-06-28 22:10:05 +08:00
    @vibbow 繁体又怎样的？
    raysonx
        30
    raysonx  
       2016-06-28 22:10:33 +08:00 via iPad
    @typcn 我同时有电信和联通的光纤，也有美国日本韩国的 vps ，自己的 vps 都会被劫持还能不知道？
    raysonx
        31
    raysonx  
       2016-06-28 22:13:43 +08:00 via iPad
    @typcn 至于你说的只接入了联通线路那个，你可以试试在两端互相做路由追踪看一看经过了哪家运营商的国际出口
    typcn
        32
    typcn  
       2016-06-28 22:20:55 +08:00
    @raysonx traceroute 当然是经过了联通的国际出口，至于远端不是我自己的，我也没有办法测试。

    @fengxing 如果您实在理解不了，我发的第一句话意思是“可以用缓存服务器免费当 CDN 用了”。

    如果您理解不了我那段运营商劫持数据想表达的意思，那我来解释一下。

    不同地点伪造包的 TTL 大致相同， TCP 包的 ID 完全相同，甚至连 Server 头都相同，这表明劫持是由同一台设备，同一个软件发出的。

    那么请问这台服务器是哪家运营商的？ 它为什么又会帮联通劫持，又会帮电信劫持？ 而且还会错误的把部分联通 IP 劫持到电信的服务器上？
    raysonx
        33
    raysonx  
       2016-06-28 22:23:14 +08:00
    @typcn 我大胆推测一下，这种缓存劫持系统是外包的，很可能都是外包给了同一家公司。
    你看劫持服务器返回的时间都是错的。
    typcn
        34
    typcn  
       2016-06-28 22:27:02 +08:00
    @raysonx 那也就是电信和联通，把两个物理位置都不在一个城市的线路，接上分光器连到劫持公司所在的同一台设备咯？

    算了，懒得继续回复了。。。。
    raysonx
        35
    raysonx  
       2016-06-28 22:28:55 +08:00
    @typcn 劫持系统只布在国际出口局就够了，中国的国际出口目前只有北京、上海和广州。
    fengxing
        36
    fengxing  
       2016-06-28 22:29:38 +08:00
    @typcn
    @raysonx 劫持服务器确实是外包的，联通的缓存招标文件现在网上还有，所以联通和电信同时使用同一家公司的缓存系统是非常可能的
    tsungkang
        38
    tsungkang  
       2016-06-29 09:24:55 +08:00
    @zkd8907 腾讯的东西也敢劫持？看来电信越来越牛逼了……
    lslqtz
        39
    lslqtz  
       2016-06-29 21:55:14 +08:00
    感谢，又有新的缓存服务器可以用了，我去我贴更新 AppEnd 。
    akw2312
        40
    akw2312  
    OP
       2016-06-30 07:35:41 +08:00
    @vibbow 圖是我朋友的...
    我電腦的系統是繁體的啊(
    我人在台灣當然用繁體咯
    akw2312
        41
    akw2312  
    OP
       2016-06-30 07:47:11 +08:00
    @shuiyingwuhen 你這個劫持之後的緩存服務器的 ip 根本沒有廣播啊...
    服務器在廣州
    看來是只有電信大內網能連上 233
    ![55U$7`H9ZO`Q]XX]TUX}UPL.png]( https://ooo.0o0.ooo/2016/06/29/57745df281d98.png)
    另外 101.110.118.x 這個以前也是分給 ctyun 的 IP 所以也是電信官方所做的
    @typcn ty 你那個"联通线路，但是某 IP 库中归属地为电信的服务器" 能在 TG 給我一下 IP 麼 我看下
    話說如果純真寫的是電信 那通常那個 IP 的確是電信的 反正國內很喜歡玩 IP 廣播在電信
    但是透過 static bgp 啥的接入其他線路的 你在 AS 只會看到電信但其實有其他線。
    ghostja
        42
    ghostja  
       2016-06-30 09:04:53 +08:00
    应该算是部分好事吧。加快了部分国外网站的访问速度
    firexp
        43
    firexp  
       2016-07-14 08:35:41 +08:00 via iPhone
    mark
    BD7JHH
        44
    BD7JHH  
       2016-07-27 06:07:27 +08:00
    其实这个可以说是恶意劫持了. 比 DNS / 直接 RESET 什么的, 高端多了. 因为...这样其实可以完全在缓存服务器内直接修改内容后再返回, 比如普通的 http 明文信息, 你看到有 1000 积分, 经过缓存服务器就直接改成 2000 积分, 或者 0 积分.
    BD7JHH
        45
    BD7JHH  
       2016-07-27 06:15:17 +08:00
    另外, 暂时目测, 好像是直接 IP 地址访问, 才会缓存, 带域名的不会缓存. 有谁试出来通过域名访问都缓存了吗?

    这样会缓存
    http://116.251.211.xxx/xxx.zip

    这样不会缓存
    http://www.xxxxxxx.com/xxx.zip
    akw2312
        46
    akw2312  
    OP
       2016-07-27 11:29:44 +08:00
    @BD7JHH 目前看起來 電信 聯通都是找同一家公司做的
    聯通的連域名都會劫持
    電信的個人倒是沒找到域名會劫持的
    可以試試看下載個 Firefox 或者去 MS 網站下載個.net 安裝包看看會不會劫持
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   6046 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 31ms · UTC 02:23 · PVG 10:23 · LAX 18:23 · JFK 21:23
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.