Home Sign Up Sign In
工单节点使用指南
• 请用平和的语言准确描述你所遇到的问题
• 厂商的技术支持和你一样也是有喜怒哀乐的普通人类，尊重是相互的
• 如果是关于 V2EX 本身的问题反馈，请使用 反馈 节点
miyuki

京东的"内鬼级"劫持

  miyuki · Nov 26, 2018 · 55891 views
This topic created in 2909 days ago, the information mentioned may be changed or developed.
curl http://182.131.4.1 -H "Host: www.jd.com" -A "Mozilla/5.0 (Windows; x86_64) AppleWebKit/537.36 (KHT ML, like Gecko) Chrome/70.0.3538.80 Safari/537.36"

第一次返回

<!DOCTYPE html><html><head><meta name="referrer"content="never"></head><body>
<script>window.location.href="/*union 地址*/";</script>
</body></html>

再请求一次返回

<html>
<head><title>302 Found</title></head>
<body bgcolor="white">
<center><h1>302 Found</h1></center>
<hr><center>JDWS/2.0</center>
</body>
</html>

  • 只在 http 会起作用
  • 只识别 UA Windows
  • 结合相关讨论可知覆盖范围为西南地区
Supplement 1  ·  Nov 26, 2018
任意地区(国内外)皆可复现
Supplement 2  ·  Nov 26, 2018
不排除这台节点的出口被人做了无差别劫持的可能

如果是公司故意覆盖其他推广，也会误杀少数正当京东联盟的广告主收入，而且只有这一台节点（只发现了这一个）可用，似乎说不过去。
Supplement 3  ·  Nov 26, 2018

抓包结果中恶意的 200 响应是抢答内容

tcpdump -i eth0 -n ne t 182.131.4.0/24
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
12:31:25.053674 IP ___MY_IP___.46396 > 182.131.4.1.80: Flags [S], seq 2750153281, win 29200, options [mss 1460,sackOK,TS val 1274758968 ecr 0,nop,wscale 7], length 0
12:31:25.098860 IP 182.131.4.1.80 > ___MY_IP___.46396: Flags [S.], seq 529135627, ack 2750153282, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 9], length 0
12:31:25.098894 IP ___MY_IP___.46396 > 182.131.4.1.80: Flags [.], ack 1, win 229, length 012:31:25.098994 IP ___MY_IP___.46396 > 182.131.4.1.80: Flags [P.], seq 1:167, ack 1, win 229, length 166: HTTP: GET / HTTP/1.1
12:31:25.144171 IP 182.131.4.1.80 > ___MY_IP___.46396: Flags [.], ack 167, win 31, length 0
12:31:25.144246 IP 182.131.4.1.80 > ___MY_IP___.46396: Flags [FP.], seq 1:326, ack 167, win 1026, length 325: HTTP: HTTP/1.1 200 OK
12:31:25.144263 IP 182.131.4.1.80 > ___MY_IP___.46396: Flags [P.], seq 1:389, ack 167, win 31, length 388: HTTP: HTTP/1.1 302 Moved Temporarily
12:31:25.144282 IP ___MY_IP___.46396 > 182.131.4.1.80: Flags [R], seq 2750153448, win 0, length 0
Supplement 4  ·  Nov 27, 2018

水落石出 #385 @JDSecOffical

感谢您的支持和关注，京东已监测到这一问题，发现该劫持在到达京东 CDN 节点前已发生，涉及到的相关第三方公司的行为严重违反了京东规定，京东已终止与其合作，并将对其违规行为进行严肃处理。

  • HTML
  • head
  • body
  • CENTER
    410 replies  •  2018-11-28 21:49:36 +08:00
    1  2  3  4  5  
    ❮ ❯
    sigmapi
    sigmapi
    Nov 26, 2018❤️1
    201
    以前碰到过，一开始以为是国产梅林的锅，刷了 ddwrt 还存在，以为是电信劫持，用 https 可破就没管了
    Rubbly
    Rubbly
    Nov 26, 2018
    202
    北京联通 复现
    hahastudio
    hahastudio
    Nov 26, 2018
    203
    LA 复现，后排吃瓜
    firedsxist0
    firedsxist0
    Nov 26, 2018
    204
    他说他是京东员工，你们真信啊...都不求证一下的嘛？
    scnace
    scnace
    Nov 26, 2018
    205
    返利鬼才。。。
    tongz
    tongz
    Nov 26, 2018
    206
    战略性 mark
    zhoumushui
    zhoumushui
    Nov 26, 2018
    207
    深圳电信复现，持续关注
    xujiang
    xujiang
    Nov 26, 2018
    209
    杭州电信复现
    affyun
    affyun
    Nov 26, 2018 via Android
    210
    二手套路内鬼狗东
    zhangfeiwudi
    zhangfeiwudi
    Nov 26, 2018
    211
    上海电信复现
    qk3z
    qk3z
    Nov 26, 2018
    212
    后排吃瓜看戏
    QK8wAUi0yXBY1pT7
    QK8wAUi0yXBY1pT7
    Nov 26, 2018
    213
    如果真是京东自己内部做的，可以坐实地域歧视了吧？
    另一方面，四川有的人，天高皇帝远，做事太大胆...
    raycheung
    raycheung
    Nov 26, 2018
    214
    杭州移动复现。
    november
    november
    Nov 26, 2018❤️2
    215
    @DylanZ 不会发图。这是 google 搜索缓存的能够看到的最后的回复。你可以自己关键字搜索下。
    该账号直至今日也无任何活动现象，估计被 ban 了。


    @eddiewithyou 1 天前 via iPhone ♥ 1
    20181027
    15:30 左右
    今天收到客服电话，说她会争取 2 万-2 万 5 的赔偿额，谈好了让我签个和解函。

    我拒绝了。我的主张是退一赔三。
    不满足就周二中院起诉。
    目前等对方协商。
    JmmBite
    JmmBite
    Nov 26, 2018
    216
    又有封口费可以拿了。
    Osk
    Osk
    Nov 26, 2018
    217
    贴一下我的测试结果:
    四川联通 vs 四川电信



    我觉得 ISP 要背锅
    ooeyunarika
    ooeyunarika
    Nov 26, 2018
    218
    ggc hk 复现,mark
    C2G
    C2G
    Nov 26, 2018 via Android
    219
    浙江 电信&4g/移动 4g&宽带 /联通 4g 均复现
    lilydjwg
    lilydjwg
    Nov 26, 2018 via Android
    220
    看起来更像是这个 cdn 节点被人做了手脚啊。
    Osk
    Osk
    Nov 26, 2018
    221
    还有就是可能这个 cdn 节点被动手脚了
    easylee
    easylee
    Nov 26, 2018
    222
    坐标南昌，发现此问题。

    和楼主描述一模一样。
    Hconk
    Hconk
    Nov 26, 2018 via Android
    223
    关注下
    ferock
    ferock
    Nov 26, 2018
    224
    看起来更像是这个 cdn 节点被人做了手脚啊。
    heimeil
    heimeil
    Nov 26, 2018
    225
    @sobigfish 抓包和#191 一致，一次 Request 两次 Response，应该就是这个 CDN 被人动手脚了，其他 CDN 暂时没发现有这种情况
    applesbananas
    applesbananas
    Nov 26, 2018 via iPhone
    226
    杭州电信，成功复现
    heyesterday
    heyesterday
    Nov 26, 2018
    227
    Azure 新加坡、美西 复现
    alexZmy
    alexZmy
    Nov 26, 2018
    228
    吃个大瓜
    sjt1949
    sjt1949
    Nov 26, 2018
    229
    大佬们，这个东西是怎么操作的？-A 是设置 user-agent -H 是设置 header 然后下载“ 182.131.4.1 ”的网页，得到了一个重定向 href “ union-click.jd.com ” 参数为 Wy6RM7，我理解的没错吧。
    但是“ 182.131.4.1 ”是一个四川的 ip 吧，访问 jd 的时候怎么会被劫持呢？难道"182.131.4.1"是 jd 西南地区的服务器？只有西南地区访问 jd 才会被劫持？不明白。
    chashao
    chashao
    Nov 26, 2018❤️1
    230
    可以，板凳瓜子关注一波
    Ico945
    Ico945
    Nov 26, 2018❤️1
    231
    后排吃瓜 目测要火 这得赚多少钱了
    zsdroid
    zsdroid
    Nov 26, 2018
    232
    这指鹿为马是真的牛逼
    pnongrata
    pnongrata
    Nov 26, 2018❤️1
    233
    https://www.llss.us/5969

    前排吃瓜。
    shmon
    shmon
    Nov 26, 2018
    234
    复现成功
    yexm0
    yexm0
    Nov 26, 2018
    235
    @sjt1949 是的,这是一个提供给普通用户访问的 ip 地址,所以他的危害才那么大.
    miyuki
    miyuki
    OP
    Nov 26, 2018
    236
    @heimeil
    @sobigfish

    感谢提醒，我也抓了一下，是被抢答了，已经 append
    abux1024
    abux1024
    Nov 26, 2018
    237
    复现成功
    Fe1Fan
    Fe1Fan
    Nov 26, 2018 via iPhone
    238
    吃瓜
    zsdroid
    zsdroid
    Nov 26, 2018
    239
    京东的 CDN 节点就不需要经过运营商了？？
    你们是怎么排除运营商劫持的？？

    运营商劫持分出口和进口。
    出口劫持，访问任何网站都会被劫持。
    进口劫持，访问这些服务器会被劫持。
    这情况明显是运营商进口劫持。
    zbinlin
    zbinlin
    Nov 26, 2018
    240
    liuyanjun0826 你应该与楼主联系，找我干嘛

    @sjt1949 可能不止一个 IP，这些都可能是的：
    182.131.4.1 OK
    182.131.4.13 OK
    182.131.4.11 OK
    182.131.4.15 OK
    182.131.4.12 OK
    182.131.4.14 OK
    182.131.4.16 OK
    182.131.4.17 OK
    182.131.4.18 OK
    pandasoda
    pandasoda
    Nov 26, 2018
    241
    坐等吃瓜
    Raymon111111
    Raymon111111
    Nov 26, 2018
    242
    @liuyanjun0826 啊 楼主造什么谣了 好奇
    ZhLTE
    ZhLTE
    Nov 26, 2018
    243
    内鬼级 666
    kkzxak47
    kkzxak47
    Nov 26, 2018 via Android
    244
    @zsdroid 说排除运营商了吗？并没有啊。不要脑补，虽然标题有催化脑补的嫌疑。
    wangfei324017
    wangfei324017
    Nov 26, 2018
    245
    要火要火，BWG 香港：
    lifeintools
    lifeintools
    Nov 26, 2018
    246
    香港节点复现
    zsdroid
    zsdroid
    Nov 26, 2018
    247
    @kkzxak47 看看前面就知道了，都在指责京东，说是运营商问题的寥寥无几。
    langliu
    langliu
    Nov 26, 2018
    248
    有没有大佬可以通俗易懂地讲解一下，我一个外行没搞清楚是什么情况
    awah
    awah
    Nov 26, 2018
    249
    mark, 这是怎么发现的?
    xxgirl2
    xxgirl2
    Nov 26, 2018
    250
    日本 NTT （ vps ）复现
    leido
    leido
    Nov 26, 2018 via Android
    251
    @langliu 访问京东四川的 cdn 节点，跳转到一个给特定人返利的京东页面，类似于推荐链接
    davidqw
    davidqw
    Nov 26, 2018
    252
    战略性 mark
    lanry
    lanry
    Nov 26, 2018
    253
    吃瓜看戏。。。北京联通可以复现
    kkzxak47
    kkzxak47
    Nov 26, 2018 via Android
    254
    @zsdroid 原因可能在于 13 楼的“京东员工”……
    Mohanson
    Mohanson
    Nov 26, 2018
    255
    mark. 法国复现
    yyuueexxiinngg
    yyuueexxiinngg
    Nov 26, 2018 via Android
    256
    mark，泰国 True 复现
    leido
    leido
    Nov 26, 2018 via Android
    257
    @sjt1949 正常是影响四川范围的没错
    pohoulong
    pohoulong
    Nov 26, 2018
    258
    @davidqw 战略性跟随
    965380535
    965380535
    Nov 26, 2018
    259
    湖北联通成功复现
    JCZ2MkKb5S8ZX9pq
    JCZ2MkKb5S8ZX9pq
    Nov 26, 2018
    260
    上海台湾日本 ip 复现……
    Aruforce
    Aruforce
    Nov 26, 2018 via Android
    261
    坐等上新闻
    simple11
    simple11
    Nov 26, 2018
    262
    看戏
    zhila
    zhila
    Nov 26, 2018
    263
    mark
    lifeintools
    lifeintools
    Nov 26, 2018
    264
    @langliu 就是恶意跳转到返利推广链接了。。。。

    我有点好奇 是怎么发现的。
    Nicoco
    Nicoco
    Nov 26, 2018
    265
    旧闻： https://www.llss.us/5969
    平常心，平常心，这不是第一次发现了。
    战略性 mark，感觉要🔥
    araraloren
    araraloren
    Nov 26, 2018
    266
    看戏
    OpenJerry
    OpenJerry
    Nov 26, 2018 via Android
    267
    围观围观
    xrr2016
    xrr2016
    Nov 26, 2018
    268
    !()[ ]

    珠海复现
    MicroPan
    MicroPan
    Nov 26, 2018
    269
    围观~
    yangzhaofeng
    yangzhaofeng
    Nov 26, 2018❤️1
    270
    182.131.4.0/24 屬於 AS38283， 是電信的 AS。上級走 AS4134，即電信骨幹網。也就是說從外面訪問一定會經過電信骨幹網。
    如果有成都阿里雲或者騰訊雲的朋友可以拿這兩家測一下。如果發現沒有劫持，那麼就可以斷定劫持發生在電信骨幹網。如果有劫持，那麼依然無法判斷是京東做的還是電信做的。除非能夠拿到 182.131.4.0/24 的公網地址。但是這個地址段是 IDC 在使用。
    MuscleOf2016
    MuscleOf2016
    Nov 26, 2018
    271
    上海可以，持续吃瓜
    zhuoyan
    zhuoyan
    Nov 26, 2018
    272
    围观
    zjsxwc
    zjsxwc
    Nov 26, 2018
    273
    浙江联通和移动网络表示不能复现，还没有电信网络。。
    zbinlin
    zbinlin
    Nov 26, 2018
    274
    @yangzhaofeng 关键看这个网段是否是 JD 自己使用的，这个其实 JD 内部查起来应该不难的，就怕它查清楚后后不想公开结果罢了。
    kelestudio
    kelestudio
    Nov 26, 2018
    275
    北京联通，北京腾讯云，美国 VPS，均未复现
    ryan123
    ryan123
    Nov 26, 2018
    276
    mark
    wobushizhangsan
    wobushizhangsan
    Nov 26, 2018
    277
    赶紧把发现问题的人解决掉，问题就没了。
    keysona
    keysona
    Nov 26, 2018
    278
    13 楼怎么不说话了...

    等你回应。
    leido
    leido
    Nov 26, 2018
    279
    腾讯云成都服务器测试，直接 302，我随机改了 UA 的，所以应该是运营商劫持
    yangzhaofeng
    yangzhaofeng
    Nov 26, 2018
    280
    @leido 是否方便把 trace 的結果貼上來看一下

    mtr -b -y0 182.131.4.1 -w
    sky395
    sky395
    Nov 26, 2018
    281
    战略性 MARK ！
    JiZhiDeboy
    JiZhiDeboy
    Nov 26, 2018
    282
    前排= =
    Bigglesworth
    Bigglesworth
    Nov 26, 2018❤️2
    283
    估计 CSDN 的小编又开始写稿了，明天公众号就推送，《京东疑似出现“内鬼级”劫持》。哈哈哈
    jimbray
    jimbray
    Nov 26, 2018
    284
    厉害了，围观学习...
    Hoegl
    Hoegl
    Nov 26, 2018
    285
    @leido 我广州电信上午可以复现，现在也 302 了。
    hippocampi
    hippocampi
    Nov 26, 2018
    286
    好像已经复现不了
    fanhaipeng0403
    fanhaipeng0403
    Nov 26, 2018
    287
    Reply 284
    jimbray 6 分钟前
    厉害了，
    hahastudio
    hahastudio
    Nov 26, 2018
    288
    LA 复现不了了，大概是改回去了
    xwander
    xwander
    Nov 26, 2018
    289
    mark，没搞懂技术原理，学习学习
    lp10
    lp10
    Nov 26, 2018❤️2
    290
    @november #139
    @DylanZ #145
    /t/503259
    leido
    leido
    Nov 26, 2018
    291
    @yangzhaofeng
    mtr -b -y0 182.131.4.1 -w
    Start: Mon Nov 26 14:41:13 2018
    HOST: VM_1_9_centos Loss% Snt Last Avg Best Wrst StDev
    1. AS??? 100.88.215.130 0.0% 10 1.1 1.2 1.0 1.3 0.0
    2. AS??? 100.88.247.242 0.0% 10 1.2 0.9 0.7 1.2 0.0
    3. AS??? 10.196.70.45 0.0% 10 0.4 1.2 0.4 8.2 2.4
    4. AS??? 10.200.5.109 0.0% 10 5.6 2.3 1.8 5.6 1.2
    5. AS??? 10.196.0.74 0.0% 10 1.4 1.4 1.3 1.4 0.0
    6. AS4134 182.150.16.101 30.0% 10 8.2 33.0 3.1 205.0 75.8
    7. AS38283 182.140.229.201 50.0% 10 2.6 2.6 2.5 2.7 0.0
    8. AS38283 118.123.223.58 0.0% 10 3.1 3.0 2.7 3.5 0.0
    9. AS38283 118.123.223.194 0.0% 10 7.5 7.1 5.0 11.6 1.9
    10. AS38283 182.131.4.1 0.0% 10 2.3 2.9 2.2 7.5 1.5
    成都腾讯云 mtr 结果
    C2G
    C2G
    Nov 26, 2018 via Android
    292
    @zjsxwc 早上是能复现的。但是我忘了截图
    yangzhaofeng
    yangzhaofeng
    Nov 26, 2018
    293
    @leido 這還是經過了骨幹網啊。。。看來這個測試方法還是不太可行
    Mayuri
    Mayuri
    Nov 26, 2018
    294
    后排吃瓜
    justicelove
    justicelove
    Nov 26, 2018
    295
    6666666666
    Applenice
    Applenice
    Nov 26, 2018
    296
    吃瓜，Mark 一下
    liangdu
    liangdu
    Nov 26, 2018 via Android
    297
    要变成劫持发财贴了，目测要火，mark
    anjiannian
    anjiannian
    Nov 26, 2018
    298
    吃瓜，mark
    zhangalong69
    zhangalong69
    Nov 26, 2018
    299
    吃个大瓜
    issue
    issue
    Nov 26, 2018
    300
    已经修复了？换个地区继续赚钱？
    试了下返利好凶，一双孩子都能返几十块
    1  2  3  4  5  
    ❮ ❯
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   2116 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 182ms · UTC 12:49 · PVG 20:49 · LAX 04:49 · JFK 07:49
    ♥ Do have faith in what you're doing.