花果山寨 » 流氓电信

广东电信又耍流氓了

许权滔 — Mon, 27 Jul 2009 09:25:40 +0000

他大爷的广东电信又耍流氓了，今天下午开始打开花果山寨经常跑到互联星空，典型的域名劫持，ping了一下果然被劫持到61.140.3.66这个IP，网上一查得知这是广州的流氓电信IP，有图为证：

xujunyi.com这个域名和wodidai.com一样都是name.com上注册的，所用主机也是一样的，证据确凿，江东其实也不用怀疑了！

中国电信，你有完没完？

许权滔 — Wed, 25 Feb 2009 04:40:24 +0000

话说某天，我正在和一重庆的客户在通长途，大概讲的在一分钟左右，突然在电话里传来了伟大的电脑话务员的声音：“11833优惠期已到，请拨打17909继续使用，感谢您使用11833…… ”大概是这样的一个意思，因为电话是对方打给我的，所以我开始以为是对方使用了IP电话之类的刚好没钱了！

电话被这样中断，但事情还没有谈完，对方再次拨通了我的电话，当双方都对刚才的突发事件感到愕然时，我明白了！我操，狗日的电信又来强奸咱的耳朵了，严重抗议这种强奸方式，就好像一夫妻正在做爱的时候突然跑来一个陌生人硬生生的将两人分开，还无耻的问你爽不爽一个德性！

虽然我这种弱势群体不能对伟大的中国电信怎么样，但起码我还有发泄的权利，我不能去砸他娘的电信服务器，但我还可以在我的博客上高呼几句：去你妈的中国电信，我Ｘ你十八代祖宗……

突然发现自己连骂都不会骂，失败！

PS:google的数据更新可真快，昨晚才启用的育儿部落格今天就收录了一百多页，牛，我爱死google了！

希望工信部能为咱主持公道

许权滔 — Sun, 28 Sep 2008 04:21:49 +0000

对于早两天遭遇了流氓电信的骚扰，引起了大家的强烈共鸣，有朋友感叹这个电信的霸权，也有朋友建议投诉到底，江东老兄就是支持投诉的一个，在他的指引下，我放狗找到了传说中的工信部（看来维权意识淡泊呀，现在才知道有这么一个部门，汗~）。

于是按江东老兄的建议直接填写电信申诉受理，没想到工信部的办事效率还挺高的，在今天早上大概11点左右，我接到了一个来自北京的电话，是一个靓女还算甜美的声音：“你好，你是XX吗？”

在得到我的确认之后她说她是工信部的工作人员，问我昨天是不是填写了申诉表，再次得到我的肯定答复后她说由于我在填表的时候资料不太齐全，所以直接打电话过来了解更多的情况。

靓女然后问了我一些关于投诉我具体内容是什么？以前是否有投诉过10000？是什么时候投诉的？最后跟我要了宽带号码（上网的电话号码也行）说让她们去跟电信做进一步的交涉……

意思就是让我等消息了，但愿这个工信部能为咱主持公道，如果真如江东老兄说的那样每次投诉都有效，那也算咱们这些老百姓有福了，总算能出口气了！哈哈！

9月29日更新：可能是十一放假的原因，今天没有等到工信部的回复，但今天一天都没有发现弹窗现象了！不知道是不是有效了！

10月7日更新：今天收到10000号来的电话，电话的靓女说会将问题反馈上去处理！到今天为止仍然没有再遇到流氓广告！

10月9日更新：今天又收到电信的来电，告诉我已经屏蔽了广告推送功能，而且还要求我进行签名确认，说是工信部让他们限时解决我的投诉问题，呵呵，并且告诉我下次再出现这种情况直接打电话给他们就可以了，不需要通过工信部，看来工信部还是挺有威信的，可以看得出，电信挺怕客户投诉到工信部的！

狗日的中国电信

许权滔 — Thu, 25 Sep 2008 06:46:13 +0000

今天下午我正在与广州的客户进行长途通话，本来通话好好的，突然电话里传来了一个机械的女声“打长途请选拨17909，将享受更多的优惠，感谢使用11183……”具体什么详情我根本听不进去，也不想听，只记得当时很很惊讶也很恼火，狗日的中国电信，这样插播广告也太没有公德心了吧？这是强奸行为，硬生生的把我与他人通话给截断插播自己的狗屁广告，真他娘的不是人生的。

最近家里上网又被电信强奸，在打开网站的时候经常让我先行“欣赏”他们的广告，爽过后才让我访问目标网站，真他娘的晦气……我在这里“祝福”想出这种广告方式的狗杂种早日升天为仙，以免断续为害人间！

是谁劫持了我们的浏览器

许权滔 — Sun, 04 May 2008 09:16:26 +0000

　　1、现象是什么？

　　大约从今年年初开始，很多人就发现，在浏览一些网站的时候，地址栏的url后面会被莫名其妙地加上“?curtime=xxxxxxxxxx”（x为数字），并且弹出广告窗口。很多人以为这是网站自己弹出的广告，也就没有在意。

　　我是属于很在意的那些人之一。

　　2、这是怎么回事？

　　经过测试和分析，我们发现，上述现象与使用何种浏览器无关（我们测试了各种流行的http客户端），与使用何种操作系统也无关（linux用户也有相关报告）。我对出现该现象的IE浏览器进程进行了跟踪调试，没有发现任何异常。可以断定，并不是系统被安装了adware或者spyware。

　　那么是不是那些网站自己做的呢？后来发现，访问我们自己管理的网站时也出现了这种情况，排除了这个可能。

　　那么剩下唯一的可能就是：有人在某个或某几个关键网络节点上安装了inject设备，劫持了我们的HTTP会话——我实在是不愿相信这个答案，这个无耻、龌龊的答案。

　　伟大的谢洛克·福尔摩斯说过：当其他可能都被排除之后，剩下的，即使再怎么不可思议，也一定是答案。

　　为了验证这个想法，我选择了一个曾经出现过上述现象的网站附近网段的某个IP。直接访问这个IP的HTTP服务，正常情况下是没有页面的，应该返回404错误。我写了一个脚本，不断访问这个IP，同时记录进出的数据包。在访问进行了120次的时候，结束请求，查看数据。120次请求中，118次返回的都是正常的404错误：

HTTP/1.1 404 Object Not Found
Server: Microsoft-IIS/5.0
Date: Mon, 19 Jul 2004 12:57:37 GMT
Connection: close
Content-Type: text/html
Content-Length: 111

〈html〉〈head〉〈title〉Site Not Found〈/title〉〈/head〉
〈body〉No web site is configured at this address.〈/body〉〈/html〉

　　但是有两次，返回了这个：

HTTP/1.1 200 OK
Content-type: text/html

〈html〉
〈meta http-equiv=’Pragma’ content=’no-cache’〉
〈meta http-equiv=’Refresh’ content=’0;URL=?curtime=1091231851′〉
〈script〉
window.open(‘http://211.147.5.121/DXT06-005.htm’, ”, ‘width=400,height=330′);
〈/script〉
〈head〉
〈title〉〈/title〉
〈/head〉
〈body〉
〈/body〉
〈/html〉

　　更进一步分析数据包，可知劫持流程如下：

　　A、在某个骨干路由器的边上，躺着一台旁路的设备，监听所有流过的HTTP会话。这个设备按照某种规律，对于某些HTTP请求进行特殊处理。

　　B、当一个不幸的HTTP请求流过，这个设备根据该请求的seq和ack，把早已准备好的数据作为回应包，发送给客户端。这个过程是非常快的，我们的HTTP请求发出之后，仅过了0.008秒，就收到了上面的回应。而任何正常的服务器都不可能在这么短的时间内做出回应。

　　C、因为seq和ack已经被伪造的回应用掉了，所以，真正的服务器端数据过来的时候，会被当作错误的报文而不被接受。

　　D、浏览器会根据〈meta http-equiv=’Refresh’ content=’0;URL=?curtime=1091231851′〉这一行，重新对你要访问的URL进行请求，这一次，得到了请求的真正页面，并且调用window.open函数打开广告窗口。

　　在google中以“php?curtime”、“htm?curtime”、“asp?curtime”为关键字搜索，出现的基本上是国内网站，这表明，问题出在国内。用于inject的设备插在国内的某个或某几个大节点上。

　　真相大白。我们被愚弄了，全中国的网民都成了某些人的赚钱工具。

　　3、现在怎么办？

　　在坏家伙被捉出来之前，我们要想不受这个玩意的骚扰，可以考虑下面的方法：

　　A、请各单位的网络管理员，在网络的边界设备上，完全封锁211.147.5.121。
　　B、在你自己的个人防火墙上，完全封锁211.147.5.121。
　　C、如果你的浏览器是FireFox、Opera、GreenBrowser、或者MyIE，可以把“http://211.147.5.121/*”丢到弹出窗口过滤列表中去。

　　绝不只是广告那么简单，这涉及到我们的选择，我们的自由，这比垃圾邮件更加肮脏和无耻。今天是广告，明天就可能在你下载软件的时候给你加个adware或者加个病毒进去，谁知道呢？我们的HTTP通信完全控制在别人手里。

　　4、如何把坏家伙揪出来？

　　如果你是一个有权力调查和处理这件事的人，从技术上，可以考虑下面的手段：

　　方法1、

　　伪造的回应数据中并没有处理TTL，也就是说，我们得到的回应数据中TTL是和inject设备位置相关的。以我收到的数据包为例，真实的服务器端回应TTL是107，伪造的回应TTL是53。那么，从我们这里到被请求的服务器之间经过了21（128-107）个节点，从我们这里到inject设备经过了11（64-53）个节点。只需要traceroute一下请求的服务器，得到路由回溯，往外数第11个节点就是安插inject设备的地方！

　　方法2：

　　假如坏家伙也看到了这篇文章，修改了TTL，我们仍然有办法。在google上以下面这些关键字搜索：php?curtime，htm?curtime，asp?curtime，可以得到大量访问时会被inject的网址。编写脚本反复访问这些网址，验证从你的ip访问过去是否会被inject。将确实会被inject的结果搜集起来，在不同的网络接入点上挨个用traceroute工具进行路由回溯。分析回溯的结果。

　　上面我们已经说明了，坏家伙是在某个或者某些重要节点上安插了inject设备，那么这个节点必然在被inject的那些网址到我们的IP之间的某个位置上。例如有A、B、C、D四个被inject到的网站，从四个地方进行路由回溯的结果如下：

MyIP-12-13-14-15-65-[89]-15-57-A
MyIP-66-67-68-69-85-[89]-45-68-84-52-44-B
MyIP-34-34-36-28-83-[89]-45-63-58-64-48-41-87-C
MyIP-22-25-29-32-65-45-[89]-58-D

　　显然，inject设备极大可能就在“89”所在的机房。

　　方法3：

　　另一方面，可以从存放广告业面的211.147.5.121这个IP入手，whois查询结果如下：

inetnum: 211.147.0.0 – 211.147.7.255
netname: DYNEGY-COMMUNICATION
descr: DYNEGY-COMMUNICATION
descr: CO.LTD
descr: BEIJING
country: CN
admin-c: PP40-AP
tech-c: SD76-AP
mnt-by: MAINT-CNNIC-AP
changed: hui_zh@sina.com 20011112
status: ALLOCATED PORTABLE
source: APNIC

person: Pang Patrick
nic-hdl: PP40-AP
e-mail: bill.pang@bj.datadragon.net
address: Fl./8, South Building, Bridge Mansion, No. 53
phone: +86-10-63181513
fax-no: +86-10-63181597
country: CN
changed: ipas@cnnic.net.cn 20030304
mnt-by: MAINT-CNNIC-AP
source: APNIC

person: ShouLan Du
address: Fl./8, South Building, Bridge Mansion, No. 53
country: CN
phone: +86-010-83160000
fax-no: +86-010-83155528
e-mail: dsl327@btamail.net.cn
nic-hdl: SD76-AP
mnt-by: MAINT-CNNIC-AP
changed: dsl327@btamail.net.cn 20020403
source: APNIC

　　5、我为什么要写这篇文章？

　　新浪为我提供桃色新闻，我顺便看看新浪的广告，这是天经地义的；或者我安装某某网站的广告条，某某网站付给我钱，这也是天经地义的。可是这个211.147.5.121既不给我提供桃色新闻，又不给钱，却强迫我看广告，这就严重伤害了我脆弱而幼小的心灵。事实上，你可以敲诈克林斯·潘，强奸克里奥·佩德拉，咬死王阳明，挖成吉思汗墓，我都不会计较，但是现在你既然打搅了我的生活，我就不得不说几句了。

　　6、我是谁？

　　如果你知道MyName，又知道MyCount的话，那么，用下面这段perl可以得到：2f4f587a80c2dbbd870a46481b2b1882。

#!/usr/bin/perl -w

use Digest::MD5 qw(md5 md5_hex md5_base64);

$name = ‘MyName’;
$count = MyCount;

for ($i=0; $i〈$count; $i++)
{
$name = md5_hex($name);
}

print $name;

以下签名，用于以后可能出现的关于此文的交流：
1 6631876c2aea042934a5c4aaeabb88e9
2 a6a607b3bcff63980164d793ff61d170
3 6a58e8148eb75ce9c592236ef66a3448
4 ded96d29f7b49d0dd3f9d17187356310
5 cc603145bb5901a0ec8ec815d83eea66

　　PS：遭遇了痛苦的电信DNS劫持之后，让我更有理由和义务转载这篇文章，文章作者不详。本文遵从GPL协议，欢迎转载。

噢！伟大的中国电信

许权滔 — Sun, 04 May 2008 08:38:54 +0000

这两天被一个怪现像搞得我晕头转向，就是不管我在访问什么网站都有可能在目标网址的后面自动加上“？”（不管是IE、Firefox还是Opera都有同样的情况出现），最早发现是昨天在zblog后台进行索引重建时居然弹出新的窗口，这是在之前从未发生过的现象，为此我还专门跑去ZB论坛上发贴咨询是否有人遇到同样的现象！接下来就一发不可收拾，如果点击一个网址链接网页会自动闪两下的话网址后面就一定会多出一个问号，如图：

遇到这种问题我首先就怀疑电脑是否已经中毒，但经过金山系统清理工具、360安全卫士、NOD32和卡巴斯基联合查杀却没有任何结果，网上也找不到任何同类症状的信息，难道这会是最新出现的木马病毒？我只是第一个发现的倒霉者而已？

晚上在家里上网一直到晚上十点半左右都相安无事，但在访问ZB论坛后屏幕出现了熟悉的闪烁，一看地址栏，果然在地址的后面多出了一个问号，结合白天泡在ZB论坛出现的情况我有理由怀疑是否是ZB论坛被挂马了，于是在论坛上发贴询问，无奈论坛的管理员并没有查出任何木马并没有出现我说的这种情况，问题就这样被不了了之！

今天在公司上网，昨天的问题依然存在，尽管又用了很多种方法进行查找依然找不到根源，就差没有进行系统重装了！

正当我十分无助的时候又有新发现，午饭过后不管我打开那个网站网速都非常的慢，就是因为网速慢，我才注意原来状态栏的不同：只要有网址访问请求，IE就会自动选转接到202.105.165.218/update/step1.aspx?p=enNEU0wxODQwNjA0NEAxNjMuZ2QAAAAAAAAAAAAA|1209861189|undefined|738|1024|32|768|1024 这么一个IP，然后才转接到要访问的目标网站，只是目标网站的网址后面多出了一个问号。

这是一个什么东东呢？通过IP查询得知这个IP来自中山电信：

google这个202.105.165.218看到天涯有一中山的朋友遭遇了和我一样的困扰，至此问题一切都已明了：中山的电信用户被DNS劫持了，前天发现被电信摸了一下原来只是小事一桩，这两天的发现才是真正的强暴！

知道是原因，按照网上给出的一些解决方案进行了禁用DNS Client这个服务，并修改了hosts文件，但还是没有起到任何作用，看来这个电信病毒已经做出改进，目前网上大部份的解决方案已经失效。也不知道这个比较复杂的解决方案了是否还行得通，但愿可以，阿门！

－－－－－－以下是跟进情况－－－－－－－

1、2008年5月5日中午我给电信10000号去电，投诉了电信劫持我的DNS情况，一开始，客服那个靓仔并不承认有这么一回事，气得我直接告诉他不要当我们连一点基本的电脑常识都没有，可能看到我有点发火的迹象了，于是告诉我说将情况反馈给技术部，24小时给我回复！下午四点半左右，电信给我回复，这回是一个靓女的声音，她告诉我已经处理了，让我看一看还没有这种情况出现，如果还有再联系她们。我试了一下，果然没有再出现IP跳转现象，特作此记录，以便观察能保持多久不被劫持！

2、刚发完上述跟进情况，回头又再看到那恶心的IP串，原来情况并没有任何改变，电信回复我已经处理完全是美丽的谎言。2008年5月5日下午17点左右，再次拨通电信10000号，这次接电话的是工号为7109的男士，这次我让他把整条IP字符串完全记录下来，看看后面他们还会玩什么花招，接下来再等他们的回复，未完待续……

3、看来投诉还是起到了作用，出差了四天后，昨天回来上网已经没有发现被劫持的现象，今天用了一个早上也没有再见劫持，应该已经解除了！

4、5月18日，公司的电脑经过投诉多次后这段时间再也没有出现过被劫持的现象，但这两天家里的电脑又被劫持了，他奶奶的电信，真TMD的无良，给了他们钱还要忍受他们强奸。

又被流氓电信强奸了

许权滔 — Fri, 02 May 2008 10:10:56 +0000

昨天早上打开电脑后，其实是准备看早几天已经下载好的DVD版《见龙卸甲》，可奇怪的是电影文件已经被加密，无法观看，无奈只好再上风行进行重新选种下载。

双击电脑桌面的风行图标后，还没等风行软件启动IE就自动弹了出来，并打开了一个广告页面，见图！

出现这种情况，第一时间想到的就是电脑中了恶意广告软件，于是打开金山系统清理工具进行查找，结果一无所获。

抱着十分不解的心情再次查看弹出的广告，看到广告上明显挂着“中国电信”的可恶图标一切都明白了，这就是传说中的电信IP劫持，电信把我的IP劫持之后只要我使用互联网就会启动它的劫持计划，我也就被强迫看了广告，很不爽，就是一种我不愿意的情况下被粗暴的侵犯了，我的双眼被强奸了！

那什么是电信劫持呢？

我的理解是这样的：你要上网，第一步就必须登到电信的网关服务器，比方说你做在小区里，网关服务器就是那小区的大门，你的必经之路！所以，当你要访问www.wodidai.com的时候，电信不会让你马上链接到www.wodidai.com，而是把你骗到电信自己的广告服务器上，这就是劫持。劫持之后你必须看他的广告，然后才放你走，去看www.wodidai.com。这就相当于把要出门上班或办事的小区业主骗进他的小黑屋实施强奸后才放你走，该干嘛干嘛去！

遇到这种事情，我相当的气愤，也相当的郁闷，我白花花的银子给了电信，使用权已经是我的了，如今却被电信强迫看他的广告，实在郁闷，我们这些弱势群体应该如何是好呀？

花果山寨 » 流氓电信

广东电信又耍流氓了

更多相关文章...

中国电信，你有完没完？

更多相关文章...

希望工信部能为咱主持公道

更多相关文章...

狗日的中国电信

更多相关文章...

是谁劫持了我们的浏览器

更多相关文章...

噢！伟大的中国电信

更多相关文章...

又被流氓电信强奸了

更多相关文章...