CloudFlare IP 再次被 TCP 劫持

65 条回复 • 2020-04-23 20:38:28 +08:00

1

dot2017

2019-08-04 00:17:39 +08:00

哦吼这就很*了，骨干网的内鬼么

2

yexm0

2019-08-04 00:23:04 +08:00

TCP: i.v2ex.co/6Ly78uDG.jpeg
ICMP: i.v2ex.co/p8WfYBwY.png
广东电信这是缺钱花了?

3

yexm0

2019-08-04 00:25:15 +08:00

@yexm0 fix:去掉广东

4

CernetBoom

2019-08-04 03:37:54 +08:00 via Android

@yexm0 不止电信，联通移动连科技网都是这样

5

well666

2019-08-04 09:45:17 +08:00 via iPhone

狠

6

mytsing520

2019-08-04 10:03:03 +08:00

上午 10 点，杭州电信测试已经恢复。

7

Peanut666

2019-08-04 10:24:34 +08:00

四川电信，劫持依然存在

8

mytsing520

2019-08-04 10:32:13 +08:00

上午 10 点 05，杭州电信测试恢复劫持。

9

lp10

2019-08-04 10:49:57 +08:00

2019-08-04 10:45 UTC+8
同 IP 无代理，mac Safari 访问正常，新 Edge 跳转菠菜

哈？？？

10

Windelight

2019-08-04 10:50:34 +08:00 via Android

3

10 点 12 分，河北联通、河北移动仍未恢复

另外有趣的是河北联通跳转到一个 0031001569 点 res 点 websd8 点 com 的网站，河北移动跳转到 40010009 点 echatu 点 com 的网站

前者安装包叫 com.game.ddz-v1.0.0.5.apk ，后者叫 cf0728_channel_9.apk

前者下载地址是
app-eslz3u 点 openinstall 点 io/install/c/eyJkIjp7InNwcmVhZGVyIjoiMDAzMTAwMTU2OSJ9LCJtIjoiZnFJcGZ4ZDNpajRBQUFGc1dtVDBLUnNVTnVLWXU2VTRuNlNVcUlhVm1WVkVYUFAxRlNUc1h4S1dlUEE4X0NIelFmSSJ9
后边的地址是 apk 点 wanlongcaifu 点 com/v60/cf0728_channel_9 点 apk
经过查看，后者下载地址竟然还特么带 https??

沃特玛现骗子还这么高级？？
经过百度和必应查询，之前本以为就是附近的固安万隆财富广场，结果一查不是，百度和必应复合结果如下
1.某些 seo 查询网站留下的一堆无意义历史记录
包括 70dir 点 com，chinaz 点 com，都是搜索引擎对这些网站的历史记录所留下的缓存
2.在 21CN 门户聚投诉下面一个 id 为 CN1012987 的投诉，大致意思是有人被微信上的推销读博 app，然后被骗钱，重点来了，那个 app 叫超飞娱乐，地址是 40011126 点 wanlongcaifu 点 com，后者页面完全一致！！！
3.还有一个更大的包，就是在必应上查到了某不知名的网址导航提供了公司名地址是 zibo 点 26595 点 com/daohang/967086.html 那个公司叫做淄博晖博投资有限公司

好了，收集到了以上信息，当然那个网址导航的信息真实性可疑，但是也要从别的地方入手了

首先我赶快下载了一个 Chrome Mobile，把原网址换成 40011126 那个，然后加上 https，好了 get 到了 https 证书，非常遗憾这特么用的是 Let's Encrypt，假设他们要是能用 EV SSL 的话那我不就........
当然这个不存在了，下面就只能信一下那个网址导航了。
下面打开天眼查，输入该公司名称，真的查到了，法代叫做于修强，该公司真的有一个备案叫做淄博晖博投资有限公司万隆财富的网站，地址同，备案号是鲁 ICP 备 16020641 号，经工信部网站验证确定该备案主体-1 的备案号就是这个网站，然后直接打开就是最开始后者的页面
这个公司是 2015 年 11 月 12 日成立，备案是 2016 年 6 月 6 日

未完待续.............

（上述域名请自动补齐 http/https 协议头和点）

11

dahounet

2019-08-04 11:01:44 +08:00 via Android

有人在骨干网（或者是某墙）上面搞劫持？

12

jousca

2019-08-04 11:55:32 +08:00

四川移动刚才测试也是劫持依然存在

13

scnace

2019-08-04 12:00:55 +08:00 via Android

浙江电信没挂代理跳转到 https://40010009.echatu.com/

14

lzp7

2019-08-04 12:05:01 +08:00 via Android

山东移动稳定复现

15

lzp7

2019-08-04 12:06:49 +08:00 via Android

劫持地址和上面几楼不太一样
http://0031001569.gzxnlk.com/

16

jousca

2019-08-04 12:21:20 +08:00

1

@dahounet 灰色产业，在过滤设备上劫持某些非国内网站跳自己黑产上。内外勾结或者职务之便。知道对方和客户都无法投诉举证。

17

jousca

2019-08-04 12:22:15 +08:00

@lzp7 用 HTTPS 就到你这个，不用 HTTPS 就到 4001 开头那个。HTTPS 的时候浏览器会提示证书不可信

18

derekwei

2019-08-04 15:51:37 +08:00

投诉给电信就给我我回了句“我们工程师没有检查到类似问题”，还要我提供访问网站的网址。

19

loukky

2019-08-04 16:40:23 +08:00

四川电信跳转到 https://40010009.echatu.com/ 和 http://0031001569.res.websd8.com/

20

BlitheHusky

2019-08-04 17:30:26 +08:00 via Android

江苏电信稳定复现。
一开始拿手机发现正常，再看看是走了代理。😂😂😂

21

ZRS

2019-08-04 18:09:58 +08:00

稳定复现

22

ochatokori

2019-08-04 20:46:58 +08:00 via Android

广州移动 4g 复现

23

jousca

2019-08-04 20:55:28 +08:00

感觉这个方式就是典型的 BGP 劫持

24

CernetBoom

2019-08-04 21:02:27 +08:00 via Android

@jousca 哈？ BGP Hijack 你 ICMP 还能通？

25

jousca

2019-08-04 21:03:07 +08:00

抓到了以下跳转
40010009.echatu.com
0031001569.zlne800.com
0031001569.qianchuanghr.com
0031001569.gzxnlk.com
0031001569.goupaoerdai.com

然后发现了下面这个东西

26

jousca

2019-08-04 21:05:52 +08:00

@CernetBoom ICMP 包发出去和返回难道不遵循 BGP 路由？？

27

CernetBoom

2019-08-04 21:08:04 +08:00 via Android

@jousca 那你还说什么 BGP Hijack ？ ICMP 和 TCP 的路由都不一样，ICMP 的路由是正常的好吗？

所以 AS_PATH 呢？结果呢？

28

jousca

2019-08-04 21:11:11 +08:00

@CernetBoom 观察到了。TCP 异常，而且出问题的地方都在关键出口，看来我在 16 楼推测是对的，就是利用 GFW 设备的灰产。ICMP 反而正常。

29

jousca

2019-08-04 21:16:48 +08:00

确认了一遍。墙外正常，包括 HK 都正常，出问题都在墙内。

30

jousca

2019-08-04 21:19:00 +08:00

31

loukky

2019-08-04 21:25:48 +08:00

https://s2.ax1x.com/2019/08/04/e6YmBd.gif
跳转动态图

32

bibiisme

2019-08-04 21:51:28 +08:00

教育网下午还有劫持，刚刚测了下劫持没有了。出问题的地方是在出国前倒数第二跳，这个劫持的手也伸得太长了
https://s2.ax1x.com/2019/08/04/ecpyqA.png
https://s2.ax1x.com/2019/08/04/ecpcVI.png

33

Liqianyu

2019-08-05 00:00:57 +08:00 via iPad

北京联通、北京移动、上海阿里云、杭州阿里云复现。

34

Liqianyu

2019-08-05 00:04:00 +08:00 via iPad

跟上一条
通过 IPIP 可以判断大陆整体都有劫持。
发链接会触发 V2EX 验证手机号要求。

35

yexm0

2019-08-05 00:25:11 +08:00

@Liqianyu 去掉前面的 http 或者 https 就行

36

smileawei

2019-08-05 16:39:31 +08:00

查了几个。这些域名竟然还都是备案过的。估计域名也是盗取的

37

smileawei

2019-08-05 16:46:41 +08:00

这些域名都有 CNAME 到 nbgslb.com 这个域名是阿里云的全球负载均衡的域名。挺舍得投入呀。

38

smileawei

2019-08-05 16:51:22 +08:00

更正 37 楼的信息。
该域名来自于 [email protected] 注册。
地址为：广州市白云区均禾街均禾大道 67 号

39

Kowloon

2019-08-05 16:54:42 +08:00 via iPhone

天津联通：复现。
香港宽频：正常。

40

Peanut666

2019-08-05 18:53:06 +08:00

这么高级权限的劫持，该往哪个部门投诉？

41

tinyzhang

2019-08-06 14:17:43 +08:00

@jousca
@lzp7
@Archeb
@hlz0812

请问大佬们, 这种劫持只对 http 有效吧
https 的都会提示证书错误吧? 这次也劫持 https 了么

42

Caussti

2019-08-06 15:08:46 +08:00

广州电信：复现
香港联通：正常

43

EdifierDrew

2019-08-06 22:07:29 +08:00 via iPhone

中国移动 4G 网 ping ip：104.28.28.149
ping 通线路走香港，延迟 84ms
直接在浏览器打开 IP 就跳到了网站： http://0031001569.gzxnlk.com/

44

txydhr

2019-08-07 10:17:00 +08:00

给纪....检写举报...信？

45

WGzeyu

2019-08-11 16:39:09 +08:00

@Windelight 现在是 2019 年 8 月 11 日 16:38:23，河北电信、河北联通仍未恢复

46

Windelight

2019-08-11 19:28:57 +08:00 via Android

我好像已经不能评论了

47

Windelight

2019-08-11 19:31:12 +08:00 via Android

@WGzeyu 那天我发帖的时候还有一个注册天数问题，看来现在取消了

河北联通 Bandboard 和河北移动 4G 仍未恢复

48

Windelight

2019-08-11 19:38:18 +08:00 via Android

不过既然坑都留下了，能不填吗？
我把那天编辑好的就发出来吧

我又打开 Taob 无线端上的旺旺，找到 2 个月前花 5kuai9 买的 1 年 VIP 的天眼查 gongxiang 帐号，登录上去之后查到其公司邮箱为 zbhbtz 爱特 163 点 com，电话为 188 伍叁叁贰贰妖妖舞，剩下信息大家可以自己去公示网或者其它商业工具网站查，反正我不信他们可以实缴注册资本 500 万。
接着挖，这个人名下还有别的公司，叫做桓台县城区全顺通讯器材销售部，类型为个体工商户。这个 ziben3 万我感觉这倒有可能实缴了。这次电话变了，是 189 伍叁叁陆叁妖妖灵，至于经营范围什么的大家可以自己查。
邮箱查询无果。
手机号查询结果: 百姓网本地招收银员，天眼查、企 cha 查、启 xin 宝、顺企网、各种公司黄页网等等等等的介绍

经过 SNS 查询，此人 koukou 号未知但上面写的是男 37 岁？？？？ micro message 上写的是山东淄博男，就确定是你了！皮卡丘！不过好像没什么有用的信息。
同样的还有 alipay，这次获取到了这个 old 男人 ei wei 画质的照片，经校验是于某某，照片啥样大家自己 alipay 搜，还是处女座。

49

Windelight

2019-08-11 19:47:06 +08:00 via Android

目前更新一下，
河北联通宽带和 4G 跳转为
http 爱思://40010009 点 echatu 点 com
移动 4G 跳转到
http 艾斯://www 点 tt3sm4 点 cn 斜杠?signature=RUhTN3pKNHM0&num=1061
不明白后边的 sig 是什么意思

这个新的下载链接可特么长了
htt 劈://111 点 47 点 203 点 233 斜杠 apk/lxxfgj/c/eyJkIjp7InNpZ25hdHVyZSI6IlJVaFROM3BLTkhNMCIsIm51bSI6IjEwNjAifSwibSI6IkJEQlB6eU1ub1V3QUFBRnNnSDE5bjlLeC1WRmdVVUlEOGxkSkRaZHlMNjJLby1TbzJoWmlINFMtWTVjQnJaNUtZVmxQYWRjYjQ4MkV4Si1WV2o2blpOTW1KNTNhaHY5cm9oVTBMNUU2M0VHU2NwVkdWbkpFQ0xJRFBRc3QzeGtBWU5HX1VUTXh5SC1LWFROcUNOTVh6SGVOWjNocVY1Z3EtRlIwRlpaaFJ6a0dRVGpzdHBOczYtYlV1RzFHaDRxcGZ4azlsSGI1Q1ViZXNOQ0xDek13UUpVaFl3SmFPMm5MNGNWb1JpUDc2bGMifQ 斜杠 com 点 menghuan 点 mhyl-v1.6.0 点 apk

前边的 wanlongcaifu 没有变化

另外 openinstall.io 这个网站不知道大家有没有人想投诉一下？

50

jousca

2019-08-11 23:09:14 +08:00

@tinyzhang 基于 TCP+IP 的劫持。证书都给你伪造好了的。

51

Fangshing87

2019-08-12 03:38:48 +08:00 via Android

40010009 点 echatu 点 com
辽宁沈阳联通已被劫持

52

Silently

2019-08-12 10:43:21 +08:00 via iPhone

广东联通菠菜网
墙外梦幻娱乐

53

Archeb

OP

2019-08-12 12:40:54 +08:00

@Silently

广东广州联通已恢复正常 Direct IP access not allowed、

确认一下？

54

Silently

2019-08-12 15:16:57 +08:00 via iPhone

@Archeb 依旧梦幻娱乐网址 http 艾思 www 点 tt3sm4 点 cn

55

diguoemo

2019-08-13 12:49:12 +08:00 via Android

四川联通 lte 还是被劫持

56

laozhoubuluo

2019-08-13 22:33:19 +08:00

北京联通宽带 TCP 仍然劫持
劫持前上一跳：219.158.15.38/AS4837/广州联通

北京移动宽带 TCP 仍然劫持
劫持前上三跳（后两跳禁 Ping，没办法）：211.136.67.45/AS56048/北京移动

57

mnihyc

2019-08-14 05:03:10 +08:00

这太可怕了吧，刚刚测了一下确实 TCP 在出口倒二跳被劫持了

@jousca 根据这里面截图的内容找到一个 CMS，http://smc.5vl58stm.com/smc1/www/，搜到是这个东西 http://211.151.32.20/ ，貌似是自主研发的，但是这里面不存在 getOneDomain.php ，所以目测上面那个是被挖到洞然后黑掉了。
刚才大概看了一下似乎没有留下什么痕迹，毕竟没有源代码。

58

jousca

2019-08-14 20:22:25 +08:00

@mnihyc 那个文件在，注意大小写。http://smc.5vl58stm.com/smc1/www/getOneDomain.php

59

mnihyc

2019-08-17 11:45:08 +08:00

@jousca 我的意思是在 http://smc.5vl58stm.com/smc1/www 里找到的这个文件，但是使用同样 CMS 的看上去像官网 http://211.151.32.20/ （ http://www.515game.com ）没有，再加上这两个网站都有一定概率在源代码的 head 标签后刷出加载 http://t.7gg.cc:88/j.js?MAC=747D245541A2 的 script 标签，说明是有很大可能是被黑了（个人推测）。

60

Xusually

2019-08-20 12:38:19 +08:00

北京电信稳定复现

61

chenyx9

2019-08-20 18:29:38 +08:00

东莞联通，依然被劫持。

62

dyy1997

2019-08-22 16:34:57 +08:00

成都电信,跳转到 https:##www.jwhy520.com/3/200001/

63

jy00566722

2020-02-13 12:59:40 +08:00

四川广安电信，现在还在。不过中转 url 挂了，出现错误页面。

64

jy00566722

2020-02-13 13:00:04 +08:00

劫持域名的所有者:[email protected]

65

ObserverLight

2020-04-23 20:38:28 +08:00

@Windelight https://info.umeng.com/detail?id=75&cateId=1
流量劫持的问题，看过这篇友盟官方解释就可以明白了：这种问题既不是友盟的问题也不是 openinstall 的问题，而是发生在部分地区、部分运营商的“运营商”劫持。具体是不是运营商官方干的，我不敢说，但基本上可以肯定是运营商局端的网络路由被劫持了造成的。这种情况不应找友盟和 openinstall 解决，而是应该向运营商报障解决（如果是某些不良运营商所为的话，可以向工信部投诉这些运营商）