電信連 IDC 機房都開始搞 HTTP 劫持?

[akw2312]

之前就發現過家用電信也開始搞 HTTP 劫持了 而且範圍好像都是國外?

剛剛朋友在他杭州下沙機房(電信線路)的機器測試 結果也被劫持了

root@admin1:~# wget http://103.249.71.49/mini.zip
--2016-06-27 04:00:33--  http://103.249.71.49/mini.zip
Connecting to 103.249.71.49:80... failed: Connection timed out.
Retrying.

--2016-06-27 04:00:37--  (try: 2)  http://103.249.71.49/mini.zip
Connecting to 103.249.71.49:80... failed: Connection timed out.
Retrying.

--2016-06-27 04:00:42--  (try: 3)  http://103.249.71.49/mini.zip
Connecting to 103.249.71.49:80... connected.
HTTP request sent, awaiting response... 302 Found
Location: http://101.96.10.61/103.249.71.49/mini.zip [following]
--2016-06-27 04:00:42--  http://101.96.10.61/103.249.71.49/mini.zip
Connecting to 101.96.10.61:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 98808345 (94M) [application/x-zip-compressed]

可以發現位於 101.96.10.0/23 這個段本來是內蒙古 ctyun 用的 現在被廣播到了 AS4812 去了 也就是上海 以基本上可以確定這 /23 內的緩存服務器是電信搞的

然後簡單測試了一下 似乎是任何 HTTP 資源都可以緩存 手動測試了一下 網頁都可以照樣緩存 有沒有其他的用法暫時沒測試

簡單整理一下電信的緩存服務器:
1. 101.96.10.0/23 上海
2. 101.110.118.0/24 廣州 (未廣播 只有電信可連接到)
3. 101.96.8.0/24 北京 (未廣播 只有電信可連接到) PS: IPIP 標示內蒙古是錯的 已經讓老高修改

另外根據 yexm0 所查
http://caigou.chinatelecom.com.cn:8010/ESCM/biddoc/publicDetailTest.do?id=10498
"中国电信云公司 2015 年 ChinaNet 国际出入口缓存系统建设工程" 是確有其事

[vibbow]

LZ 的系统明明是简体中文的，为什么发出来的帖子是繁体中文的呢...

[raysonx]

好，顶，威武，支持，有希望了！

[kozora]

`wget http://103.249.71.49/mini.zip
--2016-06-27 09:12:37-- http://103.249.71.49/mini.zip
Connecting to 103.249.71.49:80... connected.
HTTP request sent, awaiting response... 302 Found
Location: http://101.110.118.73/103.249.71.49/mini.zip [following]
--2016-06-27 09:12:38-- http://101.110.118.73/103.249.71.49/mini.zip
Connecting to 101.110.118.73:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 98808345 (94M) [application/x-zip-compressed]
Saving to: ‘ mini.zip ’

100%[====================================================================================================================================================================================================================================>] 98,808,345 1.05MB/s in 90s

2016-06-27 09:14:08 (1.05 MB/s) - ‘ mini.zip ’ saved [98808345/98808345]
`
还真是

[zkd8907]

这有啥，我们这还遇到过不同地区 CDN 服务器回源的时候 js 被插了脚本，结果导致其中一台 CDN 上的文件总是有运营商的劫持脚本。。。

[dream7758521]

@vibbow 就是

[yexm0]

good!这下子三大运营商都齐了。

[dzxx36gyy]

@vibbow 请看第三段←_←截图并不是 lz 自己的系统

[Marfal]

上海电信昨天刚遇到。

[Marfal]

普通家庭宽带，但是只遇到过一次，至于之后会不会有暂时不知道。

[lution]

@dzxx36gyy 哪句话？

[dzxx36gyy]

@lution 这是他朋友测的吧，楼主是台湾人←_←，发帖用繁体没啥问题吧

[shuiyingwuhen]

成都电信直接被劫持到 http://101.110.118.75/180.235.136.35/1G.bin

[computerfan]

有些人啊，技術問題沒能力解決，倒是對別人用什麼字體特別感興趣，揪著不放，你們就是這樣找存在感的嗎？

[0078CE41]

只是语气平和的问个问题，都能引来冷嘲热讽，心里阴暗整天带着负面眼光看人的家伙，没想到在 V 站也有啊
真是可怕，甚至让世界变得更糟糕了

[Lentin]

看起来这个缓存服务器的网速不错，收藏了

[typcn]

又一台免费 CDN （

[typcn]

我用联通 IP 访问，一样 302 了，这是机房搞的吧

[fengxing]

@typcn 联通应该会劫持到 120.52.73.*或者 120.52.72.*

[typcn]

@fengxing 302 目标同样是上海电信

[fengxing]

@typcn 17ce 上 get 测试全国不同运营商跳转是不一样的，也许你那里是特例，但是绝对不是机房搞得
这是地址，你可以自己看 http://www.17ce.com/site/http/201606_1a8d7a59e29a24c44e3ad2fd5b18ad99.html

[typcn]

@fengxing 这里显示全部都是 200 啊

[fengxing]

@typcn 点开右边的详情你就明白了

[fengxing]

@typcn 右边的查看

[typcn]

@fengxing

北京联通 -- 指向了联通的缓存服务器，服务器为 HRS/1.4.2 ，伪造包的 TTL 为 50 左右，正常包 TTL 为 100+

HTTP/1.0 302 Found
Server: HRS/1.4.2
...
Location: http://120.52.73.8/103.249.71.49/mini.zip


广东电信 -- 指向了电信的缓存服务器，服务器为 HRS/1.4.2 ，伪造包的 TTL 为 50 左右，正常包 TTL 为 100+

HTTP/1.0 302 Found
Server: HRS/1.4.2
...
Location: http://101.110.118.73/103.249.71.49/mini.zip


只接入了联通线路，但是某 IP 库中归属地为电信的服务器 -- 指向了电信的缓存服务器，服务器为 HRS/1.4.2 ，伪造包的 TTL 为 50 左右，正常包 TTL 为 100+

* HTTP 1.0, assume close after body
< HTTP/1.0 302 Found
< Server: HRS/1.4.2
...
< Location: http://101.96.8.141/103.249.71.49/mini.zip



您觉的这是运营商的劫持么？

[raysonx]

@typcn 我自己的服务器都被劫持了，运营商劫持无疑

[typcn]

@raysonx 这是哪家运营商用纯真 IP 库根据你是联通还是电信，把你劫持到不同运营商的缓存服务器上去？
IP 库里的错误都能重现

[fengxing]

@typcn 120.52.73.0/24 和 120.52.72.0/24 一直是联通的劫持服务器，并不是 CDN

[fengxing]

@typcn 并且你见过哪家的 CDN 能任意代理所有地址的？？？？？

[lingaoyi]

@vibbow 繁体又怎样的？

[raysonx]

@typcn 我同时有电信和联通的光纤，也有美国日本韩国的 vps ，自己的 vps 都会被劫持还能不知道？

[raysonx]

@typcn 至于你说的只接入了联通线路那个，你可以试试在两端互相做路由追踪看一看经过了哪家运营商的国际出口

[typcn]

@raysonx traceroute 当然是经过了联通的国际出口，至于远端不是我自己的，我也没有办法测试。

@fengxing 如果您实在理解不了，我发的第一句话意思是“可以用缓存服务器免费当 CDN 用了”。

如果您理解不了我那段运营商劫持数据想表达的意思，那我来解释一下。

不同地点伪造包的 TTL 大致相同， TCP 包的 ID 完全相同，甚至连 Server 头都相同，这表明劫持是由同一台设备，同一个软件发出的。

那么请问这台服务器是哪家运营商的？ 它为什么又会帮联通劫持，又会帮电信劫持？ 而且还会错误的把部分联通 IP 劫持到电信的服务器上？

[raysonx]

@typcn 我大胆推测一下，这种缓存劫持系统是外包的，很可能都是外包给了同一家公司。
你看劫持服务器返回的时间都是错的。

[typcn]

@raysonx 那也就是电信和联通，把两个物理位置都不在一个城市的线路，接上分光器连到劫持公司所在的同一台设备咯？

算了，懒得继续回复了。。。。

[raysonx]

@typcn 劫持系统只布在国际出口局就够了，中国的国际出口目前只有北京、上海和广州。

[fengxing]

@typcn
@raysonx 劫持服务器确实是外包的，联通的缓存招标文件现在网上还有，所以联通和电信同时使用同一家公司的缓存系统是非常可能的

[yexm0]

@fengxing 电信上年的招标文件,今年的没找到:http://webcache.googleusercontent.com/search?q=cache:5R2zVacJoi4J:caigou.chinatelecom.com.cn:8010/ESCM/biddoc/publicDetailTest.do%3Fid%3D10498+&cd=3&hl=zh-CN&ct=clnk&gl=cn

[tsungkang]

@zkd8907 腾讯的东西也敢劫持？看来电信越来越牛逼了……

[lslqtz]

感谢，又有新的缓存服务器可以用了，我去我贴更新 AppEnd 。

[akw2312]

@vibbow 圖是我朋友的...
我電腦的系統是繁體的啊(
我人在台灣當然用繁體咯

[akw2312]

@shuiyingwuhen 你這個劫持之後的緩存服務器的 ip 根本沒有廣播啊...
服務器在廣州
看來是只有電信大內網能連上 233
![55U$7`H9ZO`Q]XX]TUX}UPL.png]( https://ooo.0o0.ooo/2016/06/29/57745df281d98.png)
另外 101.110.118.x 這個以前也是分給 ctyun 的 IP 所以也是電信官方所做的
@typcn ty 你那個"联通线路，但是某 IP 库中归属地为电信的服务器" 能在 TG 給我一下 IP 麼 我看下
話說如果純真寫的是電信 那通常那個 IP 的確是電信的 反正國內很喜歡玩 IP 廣播在電信
但是透過 static bgp 啥的接入其他線路的 你在 AS 只會看到電信但其實有其他線。

[ghostja]

应该算是部分好事吧。加快了部分国外网站的访问速度

[firexp]

mark

[BD7JHH]

其实这个可以说是恶意劫持了. 比 DNS / 直接 RESET 什么的, 高端多了. 因为...这样其实可以完全在缓存服务器内直接修改内容后再返回, 比如普通的 http 明文信息, 你看到有 1000 积分, 经过缓存服务器就直接改成 2000 积分, 或者 0 积分.

[BD7JHH]

另外, 暂时目测, 好像是直接 IP 地址访问, 才会缓存, 带域名的不会缓存. 有谁试出来通过域名访问都缓存了吗?

这样会缓存
http://116.251.211.xxx/xxx.zip

这样不会缓存
http://www.xxxxxxx.com/xxx.zip

[akw2312]

@BD7JHH 目前看起來 電信 聯通都是找同一家公司做的
聯通的連域名都會劫持
電信的個人倒是沒找到域名會劫持的
可以試試看下載個 Firefox 或者去 MS 網站下載個.net 安裝包看看會不會劫持