Home Sign Up Sign In
工单节点使用指南
• 请用平和的语言准确描述你所遇到的问题
• 厂商的技术支持和你一样也是有喜怒哀乐的普通人类，尊重是相互的
• 如果是关于 V2EX 本身的问题反馈，请使用 反馈 节点
miyuki

京东的"内鬼级"劫持

  miyuki · Nov 26, 2018 · 55780 views
This topic created in 2900 days ago, the information mentioned may be changed or developed.
curl http://182.131.4.1 -H "Host: www.jd.com" -A "Mozilla/5.0 (Windows; x86_64) AppleWebKit/537.36 (KHT ML, like Gecko) Chrome/70.0.3538.80 Safari/537.36"

第一次返回

<!DOCTYPE html><html><head><meta name="referrer"content="never"></head><body>
<script>window.location.href="/*union 地址*/";</script>
</body></html>

再请求一次返回

<html>
<head><title>302 Found</title></head>
<body bgcolor="white">
<center><h1>302 Found</h1></center>
<hr><center>JDWS/2.0</center>
</body>
</html>

  • 只在 http 会起作用
  • 只识别 UA Windows
  • 结合相关讨论可知覆盖范围为西南地区
Supplement 1  ·  Nov 26, 2018
任意地区(国内外)皆可复现
Supplement 2  ·  Nov 26, 2018
不排除这台节点的出口被人做了无差别劫持的可能

如果是公司故意覆盖其他推广，也会误杀少数正当京东联盟的广告主收入，而且只有这一台节点（只发现了这一个）可用，似乎说不过去。
Supplement 3  ·  Nov 26, 2018

抓包结果中恶意的 200 响应是抢答内容

tcpdump -i eth0 -n ne t 182.131.4.0/24
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
12:31:25.053674 IP ___MY_IP___.46396 > 182.131.4.1.80: Flags [S], seq 2750153281, win 29200, options [mss 1460,sackOK,TS val 1274758968 ecr 0,nop,wscale 7], length 0
12:31:25.098860 IP 182.131.4.1.80 > ___MY_IP___.46396: Flags [S.], seq 529135627, ack 2750153282, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 9], length 0
12:31:25.098894 IP ___MY_IP___.46396 > 182.131.4.1.80: Flags [.], ack 1, win 229, length 012:31:25.098994 IP ___MY_IP___.46396 > 182.131.4.1.80: Flags [P.], seq 1:167, ack 1, win 229, length 166: HTTP: GET / HTTP/1.1
12:31:25.144171 IP 182.131.4.1.80 > ___MY_IP___.46396: Flags [.], ack 167, win 31, length 0
12:31:25.144246 IP 182.131.4.1.80 > ___MY_IP___.46396: Flags [FP.], seq 1:326, ack 167, win 1026, length 325: HTTP: HTTP/1.1 200 OK
12:31:25.144263 IP 182.131.4.1.80 > ___MY_IP___.46396: Flags [P.], seq 1:389, ack 167, win 31, length 388: HTTP: HTTP/1.1 302 Moved Temporarily
12:31:25.144282 IP ___MY_IP___.46396 > 182.131.4.1.80: Flags [R], seq 2750153448, win 0, length 0
Supplement 4  ·  Nov 27, 2018

水落石出 #385 @JDSecOffical

感谢您的支持和关注，京东已监测到这一问题，发现该劫持在到达京东 CDN 节点前已发生，涉及到的相关第三方公司的行为严重违反了京东规定，京东已终止与其合作，并将对其违规行为进行严肃处理。

  • HTML
  • head
  • body
  • CENTER
    410 replies  •  2018-11-28 21:49:36 +08:00
    1  2  3  4  5  
    ❮ ❯
    tatelucky
    tatelucky
    Nov 26, 2018
    101
    @liuyanjun0826 都是拿钱做事的，你为什么这么秀？
    hheng101
    hheng101
    Nov 26, 2018
    102
    如果是私人搞的，那真的早就财务自由了
    yd1044738303
    yd1044738303
    Nov 26, 2018
    103
    搜了下 Wy6RM7，还不少相关的帖子
    yejinmo
    yejinmo
    Nov 26, 2018
    104
    新加坡，没有
    goodryb
    goodryb
    Nov 26, 2018
    105


    复现成功 0571 电信
    TomVista
    TomVista
    Nov 26, 2018
    106
    双十一那天赚了多少啊```
    xiaqi
    xiaqi
    Nov 26, 2018 via Android
    107
    aws 美区成功复现
    Halry
    Halry
    Nov 26, 2018 via Android
    108
    @ken863103 跳转到破解 idm 的帖子了
    yukiww233
    yukiww233
    Nov 26, 2018
    109
    Wy6RM7 一搜，已经持续几个月，按这个流量估计当事人早就捞够跑路了
    OrbitTerminus
    OrbitTerminus
    Nov 26, 2018❤️1
    110
    @7654
    lizhenda
    lizhenda
    Nov 26, 2018
    111
    内鬼这么猖獗？
    fbcskpebfr
    fbcskpebfr
    Nov 26, 2018 via Android❤️1
    112
    从楼上都能看出来，不少人都有惯性思维了，习惯性运营商背锅。怪不得有人敢这么动手脚
    atz
    atz
    Nov 26, 2018
    113
    看戏 mark
    yukiww233
    yukiww233
    Nov 26, 2018
    114
    @icebreaker #71 想了想也是那么回事
    tsui
    tsui
    Nov 26, 2018 via iPhone
    115
    用了下家里的 Comcast，依然是 Wy6RM7
    这个劫持牛逼了
    Joyboo
    Joyboo
    Nov 26, 2018
    116
    留名
    98jiang
    98jiang
    Nov 26, 2018
    117
    想看后续。。
    meik2333
    meik2333
    Nov 26, 2018
    118
    北京联通，成功复现
    hws8033856
    hws8033856
    Nov 26, 2018
    119
    如果真是内鬼，这个鬼起码是已经渗透到高层了，肯定需要先搞定整条财务流程才可能把钱提出来。
    但是如果是这个级别的内鬼，还需要这种小伎俩？
    skylancer
    skylancer
    Nov 26, 2018
    120
    MITM 了解一下？
    什么事都甩到人家身上说是内鬼真的好么？
    coderscala
    coderscala
    Nov 26, 2018
    121
    持续关注
    Arrowing
    Arrowing
    Nov 26, 2018
    122
    之前家里访问京东的 http 就会一直这样，有毒。
    PolarisTime
    PolarisTime
    Nov 26, 2018
    123
    香港 GIGSGIGSCLOUD 成功复现
    zephyru
    zephyru
    Nov 26, 2018
    124
    我这没有复现..
    阿里云和杭州电信..
    改了改 UA 也没出现
    allen9527
    allen9527
    Nov 26, 2018
    125
    复现成功，mark 看后续。
    strive
    strive
    Nov 26, 2018
    127
    @liuyanjun0826 刚好我的也是这个节点的 https://i.loli.net/2018/11/26/5bfb549b5674a.png
    heimeil
    heimeil
    Nov 26, 2018
    128
    @icebreaker 想想也不会啊，自己内部做手脚不就没人能知道了吧，搞了一道跳转，现在让人发现了不也是很傻吗
    ericgui
    ericgui
    Nov 26, 2018
    129
    圣地亚哥人民发来贺电：

    [![微信截图_20181125180521.png]( https://i.loli.net/2018/11/26/5bfb55079b1f6.png)]( https://i.loli.net/2018/11/26/5bfb55079b1f6.png)
    mydns
    mydns
    Nov 26, 2018
    130
    东哥不在家，就可以乱来吗
    jiujiuKA
    jiujiuKA
    Nov 26, 2018
    131
    wow 我还跟京东联盟发邮件讲说遇到了运营商劫持，没想到是内鬼
    fffflyfish
    fffflyfish
    Nov 26, 2018
    132
    mark,要火，看戏
    fbcskpebfr
    fbcskpebfr
    Nov 26, 2018 via Android
    133
    @skylancer 全球都能复现，你这个 in middle 的 man 有点厉害哈
    ccnccy
    ccnccy
    Nov 26, 2018 via iPhone❤️1
    134
    京东自己干的吧
    京东又不是傻子
    要不账号早干掉了
    你们推广的再厉害，我自己劫持，
    替换掉你的链接，帮它免费推广
    NotNil1
    NotNil1
    Nov 26, 2018
    135
    @ccnccy 有可能，但是这也太坑人了啊。
    skylancer
    skylancer
    Nov 26, 2018
    136
    @ruimz 你大概也是不知道运营商干这事也不少了
    skadi
    skadi
    Nov 26, 2018
    137
    whois 查出的东西不知道真假.
    netname: CHINANET-SC
    descr: CHINANET Sichuan province network
    descr: Data Communication Division
    descr: China Telecom
    notify: [email protected]
    person: Xiaodong Shi
    nic-hdl: XS16-AP
    e-mail: [email protected]
    address: No.72,Wen Miao Qian Str.
    address: Data Communication Bureau Of Sichuan Province
    address: Chengdu
    address: PR China
    phone: +86-28-6190785
    fax-no: +86-28-6190641

    china telecom???
    aino
    aino
    Nov 26, 2018
    138
    坐等明天新闻
    shuangmu
    shuangmu
    Nov 26, 2018 via iPhone
    139
    复现
    strive
    strive
    Nov 26, 2018
    140
    @strive 放图是要加标签吗
    zyp0921
    zyp0921
    Nov 26, 2018
    142
    还是可以复现耶，换了个谷歌版本就能复现了 ， 有内鬼吗？这是 我擦勒
    zepto
    zepto
    Nov 26, 2018
    143

    0571 电信已经复现
    november
    november
    Nov 26, 2018❤️2
    144
    复现成功。

    感觉这个帖子会消失。

    参考前些天的，关于 JD 第三方出售 macbook 展示机即将被起诉的那个帖子。
    chen26
    chen26
    Nov 26, 2018
    145
    求科普。。这么做的利益。。。
    lorryo
    lorryo
    Nov 26, 2018❤️1
    146
    @skylancer 国外的也一样复现成功，还运营商呢？你不看帖就回的？
    tyhunter
    tyhunter
    Nov 26, 2018
    147
    美国 加利福尼亚 成功复现
    wildcat007
    wildcat007
    Nov 26, 2018
    148
    mark
    yiqiao
    yiqiao
    Nov 26, 2018
    149
    @chen26 你在京东购买的东西，他会有一部分提成。
    dozer47528
    dozer47528
    Nov 26, 2018
    150
    上海电信成功复现
    DylanZ
    DylanZ
    Nov 26, 2018
    151
    @november 对对，我还收藏了都不见了，后续结果怎么样？
    xemtof
    xemtof
    Nov 26, 2018
    152
    上海电信成功复现
    zaqzaq0125
    zaqzaq0125
    Nov 26, 2018
    153
    mark，等后续。
    HSvng
    HSvng
    Nov 26, 2018
    154
    持续关注。
    JaminT
    JaminT
    Nov 26, 2018
    155
    mark
    goofool
    goofool
    Nov 26, 2018
    156
    我觉得也不一定是内鬼吧，也有可能服务器被劫持了
    111111111111
    111111111111
    Nov 26, 2018 via Android
    157
    海外复现，不过需要改改 UA 头
    fbcskpebfr
    fbcskpebfr
    Nov 26, 2018 via Android
    158
    @skylancer 如果可以的话，愿闻其详。确实没见过直接访问不劫持，换一个解析到西南地区的 IP 访问就劫持的情况
    564425833
    564425833
    Nov 26, 2018
    159
    大新闻
    xxlong
    xxlong
    Nov 26, 2018
    160
    后排看戏了
    3s6i2o
    3s6i2o
    Nov 26, 2018
    161
    等看后续吧
    love060701
    love060701
    Nov 26, 2018
    162
    厉害了。这得赚多少钱。
    pkoukk
    pkoukk
    Nov 26, 2018
    163
    mark,这个瓜可不小
    youyaang
    youyaang
    Nov 26, 2018
    164
    后排看戏
    hinate
    hinate
    Nov 26, 2018
    165
    会有 jd 的人内部调查吗...
    JRay
    JRay
    Nov 26, 2018
    166
    这..就是表示所有请求那个域名的都被劫持了？
    chen26
    chen26
    Nov 26, 2018
    167
    @yiqiao 谢谢大佬科普。。。。。
    jacklin96
    jacklin96
    Nov 26, 2018
    168
    这个 UA 已经封掉了 把 UA 删的只剩 Mozilla/5.0 (Windows; x86_64) AppleWebKit/537.36 时成功复现
    77alex
    77alex
    Nov 26, 2018
    169
    这个劫持厉害了，at 大佬出来处理掉这个推广账号吧
    Hoegl
    Hoegl
    Nov 26, 2018
    170
    US, California 成功复现。
    irgil
    irgil
    Nov 26, 2018
    171
    捞这么多，会被抓住吗?
    deadEgg
    deadEgg
    Nov 26, 2018
    172
    深入了解一下，好像是运营商搞的鬼？
    bayker
    bayker
    Nov 26, 2018
    173
    看戏，持续关注，
    Hoegl
    Hoegl
    Nov 26, 2018
    174
    广州电信也成功复现。
    goofool
    goofool
    Nov 26, 2018
    175
    @ruimz 也有可能服务器的 IP 被劫持了
    skylancer
    skylancer
    Nov 26, 2018
    176
    @yzkcy 用点脑子
    toou123
    toou123
    Nov 26, 2018
    177
    mark，这也太……
    enenaaa
    enenaaa
    Nov 26, 2018
    178
    太嚣张了， 不把东哥放眼里啊
    run2
    run2
    Nov 26, 2018
    179
    我也就这个投诉过电信，也给 jd 的写过 email
    我一直以为是成都电信的锅
    对比试过电信宽带，电信移动数据，都有跳转和不正常的数据包 和 ack
    联通移动数据下（其他相同，设备、浏览器、系统）就没有异常。
    houskii
    houskii
    Nov 26, 2018
    180
    北京联通，成功复现
    ScottAlone
    ScottAlone
    Nov 26, 2018
    181
    如果非内部人员的话，推广可能产生的巨额奖励要如何提现呢..
    enjoyCoding
    enjoyCoding
    Nov 26, 2018 via iPhone
    182
    杭州电信 没问题 浏览器输入 http 默认跳到 https 网络协议。
    run2
    run2
    Nov 26, 2018
    183
    @yzkcy #146 你国外复现也是指定了服务器 IP，国外 dns 不大可能指到那个服务器，而电信 ISP 指向那个服务器不是很可能么？
    pofycn
    pofycn
    Nov 26, 2018
    184
    @goodryb ZSH 主题是啥
    badbye
    badbye
    Nov 26, 2018
    185
    厉害了
    nicebird
    nicebird
    Nov 26, 2018
    186
    mark
    LiHaiWordGe
    LiHaiWordGe
    Nov 26, 2018
    187
    啧啧啧 好猛，收入可观啊
    goodryb
    goodryb
    Nov 26, 2018
    189
    @pofycn #183 robbyrussell
    pkoukk
    pkoukk
    Nov 26, 2018
    190
    @sobigfish 所以你的意思是电信在京东不知情的情况下劫持了京东的服务器？
    run2
    run2
    Nov 26, 2018
    191
    这个服务器很可能是电信的一个 cdn，选择性的偶尔返回带 cps “错误”的首页的包 （不是普通 http 的回复，是比正常包早到）


    这个是我电信投诉时的抓包 （怕被电信查到报复，涂了我的 IP ）
    andyL
    andyL
    Nov 26, 2018
    192
    好像是有大戏上演，后排关注先
    huangzhe8263
    huangzhe8263
    Nov 26, 2018
    193


    国内国外均已复现

    默默吃瓜
    Dreamerwwr
    Dreamerwwr
    Nov 26, 2018 via iPhone
    194
    这个很利益，关注。
    stop9125
    stop9125
    Nov 26, 2018
    195
    万一有封口费呢
    ranxfan
    ranxfan
    Nov 26, 2018
    196
    围观......
    memorycancel
    memorycancel
    Nov 26, 2018
    197
    吃枣💊
    taikobo
    taikobo
    Nov 26, 2018
    199
    最早 8 月份就有了！这家伙至少赚了几百万吧

    https://www.52pojie.cn/forum.php?mod=viewthread&tid=782828
    2L
    1  2  3  4  5  
    ❮ ❯
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   1310 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 195ms · UTC 21:00 · PVG 05:00 · LAX 13:00 · JFK 16:00
    ♥ Do have faith in what you're doing.