网宿作死还是被黑？

[alonga]

观察到一个劫持，导致网站功能无法使用，但目前不知道他要干嘛，

因为目前他只是劫持插入空白代码，没有放广告，也没有放马。

（无安全措施请勿访问） http://8.525cm.com/v2/v.php?id=105 （无安全措施请勿访问）

从来没发现过这种单一大规模的劫持，除了被黑，很少有人能控制这么多省运营商。

不排除运营商，但我看阿里云都被劫持了就觉得蹊跷。

劫持后的代码：

正常代码：

问题网宿 CDN 节点：（他是随机劫持，有些可能漏网）

安徽合肥移动 浙江温州移动 山东移动 北京移动

福建福州电信

河北廊坊联通 山西晋城联通 山西晋中联通 北京联通

被劫持的用户端线路：（他是随机劫持，有些可能漏网）

福建移动 重庆移动 海南移动 陕西移动 上海移动 江苏移动 广西移动 河南移动 四川移动 江西移动 内蒙古移动 山东移动

河北联通 天津联通 山西联通 山东联通 北京联通 辽宁联通 内蒙古联通

广西电信

武汉教育网

最关键的是阿里云 北京线路居然被劫持！这个除了 CDN 问题，或北京联通给阿里云的线路不干净，不然没法解释了。

这个数据跟我以前统计的一些很类似，比如这次发现的广西电信是电信劫持最严重的一个省份，联通那几个省份平时也属于最不干净的。不排除一个人控制了这些省份运营商的设备，比如北京移动、江苏移动就是一个家伙在搞。再次说明他是高几率随机劫持，十有七八。这个只有漏网，没有多的。

又发现用户端： 贵州移动、黑龙江移动
还发现用户端：海南电信
电信对应的 CDN 节点是：广东肇庆电信、广东深圳电信、福建福州电信

而且电信跟移动联通的劫持数据包是不一样的。

移动、联通的劫持数据包相同。

新增用户端：广东移动、河北电信
河北电信对应 CDN 节点：山东烟台电信
河北电信跟广西电信、海南电信数据包不一样

新增：广东电信对应广东肇庆电信 CDN

19 日只有零星省份运营商有劫持情况。

天津教育网访问天津联通有劫持，
天津联通访问天津联通 CDN 有劫持，
北京小 ISP 访问北京联通 CDN 有劫持，
内蒙古移动访问上海电信 CDN 有劫持，
上面四者出现与昨天相同劫持。

广东电信访问福建福州电信 CDN 观察到劫持。
安徽电信访问江西南昌电信 CDN 有察到劫持。
电信的劫持应该各自为政比较多。

下午出现一次闪现劫持。
苏宁网站搜索的时候被劫持到一个
垃圾网站 （无安全措施请勿访问） http://www.bvxo.cn/ （无安全措施请勿访问）
再跳转回苏宁，加上了广告 ID 。
他的苏宁联盟 ID
用户 ID ： userId=3133983
网站 ID ： webSiteId=14482

应该是天津联通作死（他确实在作死，即使这个 525cm 不是他，他也在劫持），或者有人控制苏宁、网宿、天津联通之间的线路，影响其它 CDN 节点。
HOSTS
60.28.160.62 passport.suning.com
访问： http://passport.suning.com/ids/js/passport.js

另外下午闪现的一个劫持，苏宁自己肯定知道是谁，因为那个劫持者是骗苏宁钱的，利益目的太明确了。

[yexm0]

看到教育网都中奖那就可以排除掉用户端运营商的问题了。

[alonga]

@yexm0 是啊，这么多运营商都被搞，很难觉得是谁能控制这么多运营商，数据抓包也不像运营商做的，当然数据包可以伪造。
HTTPS 下是没问题的，说明服务器没问题。
目前在网上找到关于 525cm 劫持都是跟网宿有关，有七牛，但是七牛用的就是网宿。

感觉是网宿附近的某个地方被某些人控制了，跟豆瓣被搞很像，但豆瓣那次是有人控制一个电信通机房线路而已。网宿的线路很多啊。

[tSQghkfhTtQt9mtd]

楼主 1000 万准备好了吗？

[zonghua]

没有一千万我们是不敢发帖的

[alonga]

@liwanglin12
@zonghua

1000 万游戏币可以吗？

[jasontse]

可能是 CDN 回源的链路被运营商劫持了，参考 Github 被 DDoS 的事情。

[newworld]

一 google 到处都是 好多 楼主有结果了 记得艾特我！谢谢

[KomeijiSatori]

楼主你的一千万准备好了吗？

[xiaoban7]

の。。(⊙o⊙)…

[phttc]

一千万是什么梗？

[huobazi]

敢提 马云云， 1000 万啊

[alonga]

@jasontse 这种可能性最高，一个省出问题影响全国，原理是一个。

@newworld 这个劫持覆盖规模非常大，但没有一个找到根源的。

[answeryou]

LZ 估计是有钱人， 1000W 已准备好了

[huobazi]

他的代码没考虑 https ，连这点血都不出哈。

[alonga]

@huobazi
@answeryou
哪敢得罪马首富，夸他家阿里云干净啊，如果阿里云都出问题，说明运营商问题的可能性不高而已。
@huobazi
其实这段 JS 苏宁有 HTTPS ，可是调用这段 JS 的页面没有 HTTPS 。
苏宁在 CDN 节点很多有泛域名 ssl 证书，没启用。
突然想起来，苏宁也是马首富家的，哎呦。
1000 万游戏币好不好啊？

[jasontse]

@alonga 外人查找根源很困难，因为问题是有可能出现在网宿中间源上，只能联系网宿查找原因了 @weisdong

[alonga]

@jasontse 刚才看这篇博客百思不得其解应该是这个问题了。
http://m.blog.csdn.net/article/details?id=51103104
他七牛给用户端的是 HTTPS ，还被劫持，我就纳闷 HTTPS 怎么会被劫持呢。
现在应该是原站被劫持了，或者 CDN 分发的问题吧。
估计问题在网宿那边。
@weisdong

[huobazi]

@alonga 被劫持者有 https ，可劫持者自己的 ****v.php?id=105 那个没有 https 浏览器因安全策略加载会失败，所以这个手法好像不是很高明啊

[KenGe]

网宿的快出现

[pine]

我觉得这个是是本地运营商的问题，原因是不管什么线路，到你用的电脑只有一个线路，而网站是各大网站都有，如果是是网站或者是网宿问题，早就闹开了，但是本地运营商劫持你就呵呵了，大不了给你一个人开个免劫持。
我遇到过，移动的，新浪搜狐网易都有一样的代码，而代码用 js 嵌套的很深，目的只有一个，卖流量，看似有几十万人访问的网站呵呵

[newworld]

@alonga 好吧 还好 我这里没有劫持

[lxy]

现在各种劫持很混乱。我用铁通访问某网站出现劫持（广告），然后我远程到阿里云的深圳节点再访问也出现同样的劫持，而我根本不在广东，也就是说，同样的劫持出现在了不同的省、不同的运营商。我一查广告其中一个 IP ，来源居然是北京鹏博士。

[alonga]

@huobazi
根据那个博客的内容，应该类似豆瓣被劫持的那次，网站机房或者 CDN 机房附近线路被劫持，而不是用户端。

@pine
这次 525cm 劫持目前发现的都是使用网宿的网站。

@newworld 我这里现在也没有劫持了。

今天我再次测试一边，只有极少数省份运营商有劫持了。
其中发现天津联通有劫持。出现 http://120.132.57.41/pjk/pag/ys.php ，这个是天津联通运营商搞的鬼。
还有就是安徽电信对应的江西南昌电信 CDN 有劫持。
北京小 ISP 有劫持。
内蒙古移动访问上海电信 CDN 有劫持。
安徽电信、天津联通的劫持不同。
内蒙古移动、北京小 ISP 跟昨天一样。所以可能是这里扩散的劫持。

@lxy 很多劫持自身也是在北京的，经常使用北京的多线机房，鹏博士电信通类似的 BGP 用的比较多吧，但要看具体的案例。

[alonga]

另外，发现教育网访问天津联通 CDN 出现的劫持相同。
移动线路相同的劫持目前只发生在内蒙古移动访问电信 CDN （这个可能用了 NAT 被感染，走别的运营商线路）
天津联通访问天津联通 CDN 有劫持。

[alonga]

应该是天津联通作死（他确实在作死，即使这个 525cm 不是他，他也在劫持），或者有人控制苏宁、网宿、天津联通之间的线路，影响其它 CDN 节点。
HOSTS
60.28.160.62 passport.suning.com
访问： http://passport.suning.com/ids/js/passport.js

另外下午闪现的一个劫持，苏宁自己肯定知道是谁，因为那个劫持者是骗苏宁钱的，利益目的太明确了。

[newworld]

@alonga 哎 这些人真是胆儿肥 为了钱 不要不要的

[hbq007]

楼主图片 都不显示了 不过 最近联通 貌似全国 都开始劫持了。。
抓包显示 被劫持的都有 图片 JS 下载等。。会导致 全网都失效
不单是 302 劫持到联通数据中心 还有 DNS 错误 劫持 比如 你访问不存在的域名 也进行劫持
现在知道是这俩段。。

120.52.73.3

120.52.73.8

120.52.73.53

120.52.72.56

GET http://crl.microsoft.com/pki/crl/products/microsoftrootcert.crl HTTP/1.1
Cache-Control: max-age = 900
Accept: */*
If-Modified-Since: Fri, 22 Jan 2016 06:00:36 GMT
If-None-Match: "39a87136da54d11:0"
User-Agent: Microsoft-CryptoAPI/6.1
Connection: Keep-Alive
Host: crl.microsoft.com


HTTP/1.0 302 Found
Server: HRS/1.4.2
Date: Sat, 09 Aug 2016 01:55:02 GMT
Content-Length: 0
Content-Type: text/html
Connection: close
Cache-Control: no-cache
Location: http://120.52.73.53/crl.microsoft.com/pki/crl/products/microsoftrootcert.crl

[hbq007]

对了 这条抓包是 北京联通。。。 就是这么劫持的。。还有一个坏消息，投诉到工信部 联通也会照样的霸气回答你
无法解决。。。就这么劫持。。说 ISP 缓存数据是合法的。。

[iKirby]

@alonga 我跟天津联通投诉无果，到工信部投诉，最后联通的客服还是那吊样，无语了，各种劫持，我这 b 站脚本被劫持， hosts 加了一条另一个 IP ，就没事了

[hudaoyou]

楼主 一千万准备好了吗？

[505262955]

@jasontse @alonga @KenGe 感谢几位还记得 @weisdong ，那个号被封掉了，（我理解的是这样）当时注册账号显示不存在，@Livid 有没有办法恢复的，给大神 gui 了。
关于你们发布的问题，我一开始就看到了，我已经反馈给后台同事了，目前并未有客户大面积反馈。 @Livid ，帮回复 weisdong 的账号吧，谢谢。

[alonga]

@505262955 Google 下：（！无安全措施请勿直接访问） 8.525cm.com （！无安全措施请勿直接访问）还是有不少的这个情况的。
都是网宿 CDN ，或者七牛这类使用网宿 CDN 的网站。

应该不是原站到网宿之间的问题，如果是那样全部节点劫持情况都一样，但不清楚网宿的架构，分发的时候是原站到节点，还是原站到网宿再到节点，如果是网站到网宿，再由网宿分发到节点，肯定不是原站到网宿之间的问题。

联通线路劫持，移动前几天在晚上有劫持，但没早些时候的全部移动节点劫持了。
他这个 525cm 目前没有放广告、木马，所以普通用户根本无法察觉，只有些开发者发现 JS 代码异常。
我查到的情况是这个人以前是做黑产的，很像要伺机而动放木马。

电信劫持也开始了，电信主要是以广告为主，不清楚是不是一个人，南方电信感觉是运营商侧可能性比较大。
南方电信主要是被劫持添加了：（！无安全措施请勿直接访问） http://a6.googletakes.com:7777/js/c.js （！无安全措施请勿直接访问）

你可以试试这几个节点 IP 绑定到 HOSTS ，再访问： http://passport.suning.com/ids/js/passport.js
221.193.246.109 passport.suning.com
60.28.160.62 passport.suning.com
刚刚测试别的地区网络，还是有大规模的劫持。（不是本机本网络，是远程测试）

白天上午很少有节点被劫持，到了晚上最频繁。
当然不排除是运营商侧有问题。
但这么多地区的运营商有问题，骨干网的可能性比较低，如果是骨干网就不会只出现使用 CDN 的客户上。网宿的机房线路网络被劫持影响其他 CDN 节点可能性较大，以前发生过豆瓣所在的机房线路被劫持。感觉类似。

或者网宿个别客户账户有问题？之前在 Google 发现的一个被劫持的，现在通过全国的网络测试，只有广西玉林电信访问福建省福州市电信节点有劫持，这个应该是广西电信运营商的问题。
http://blog.csdn.net/zjkyz8/article/details/51103104
http://dn-tomatotown2application.qbox.me/js/interaction/interaction.1.0.1.js

目前苏宁这个 JS 被劫持的节点还是非常多的。

[mazhen8u8]

@alonga
@iKirby
两位是否也是在天津本地？我在天津河北， 3 月 21 日就发现这个劫持，当时就投诉工信部了，投诉详情可以参考我的博客（ http://blog.sina.com.cn/s/blog_573fed980102wa6a.html ）
现在联通的投诉依然没有停止，到目前为止联通每周大概和我联系两次左右跟进进度，最新的情况是网宿的服务器提供商北京快云已经联系我了， 60.28.160.3X~62 这段 IP 应该都是他的
如果可能的话，我希望咱们能够紧密的沟通共享信息，我争取用足够的证据要求联通去处理问题。