京东的"内鬼级"劫持

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

For Existing Member Sign In

工单节点使用指南

• 请用平和的语言准确描述你所遇到的问题

• 厂商的技术支持和你一样也是有喜怒哀乐的普通人类，尊重是相互的

• 如果是关于 V2EX 本身的问题反馈，请使用反馈节点

This topic created in 2712 days ago, the information mentioned may be changed or developed.

curl http://182.131.4.1 -H "Host: www.jd.com" -A "Mozilla/5.0 (Windows; x86_64) AppleWebKit/537.36 (KHT ML, like Gecko) Chrome/70.0.3538.80 Safari/537.36"

第一次返回

<!DOCTYPE html><html><head><meta name="referrer"content="never"></head><body>
<script>window.location.href="/*union 地址*/";</script>
</body></html>

再请求一次返回

<html>
<head><title>302 Found</title></head>
<body bgcolor="white">
<center><h1>302 Found</h1></center>
<hr><center>JDWS/2.0</center>
</body>
</html>

只在 http 会起作用
只识别 UA Windows
结合相关讨论可知覆盖范围为西南地区

Supplement 1 · Nov 26, 2018

任意地区(国内外)皆可复现

Supplement 2 · Nov 26, 2018

不排除这台节点的出口被人做了无差别劫持的可能

如果是公司故意覆盖其他推广，也会误杀少数正当京东联盟的广告主收入，而且只有这一台节点（只发现了这一个）可用，似乎说不过去。

Supplement 3 · Nov 26, 2018

抓包结果中恶意的 200 响应是抢答内容

tcpdump -i eth0 -n ne t 182.131.4.0/24
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
12:31:25.053674 IP ___MY_IP___.46396 > 182.131.4.1.80: Flags [S], seq 2750153281, win 29200, options [mss 1460,sackOK,TS val 1274758968 ecr 0,nop,wscale 7], length 0
12:31:25.098860 IP 182.131.4.1.80 > ___MY_IP___.46396: Flags [S.], seq 529135627, ack 2750153282, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 9], length 0
12:31:25.098894 IP ___MY_IP___.46396 > 182.131.4.1.80: Flags [.], ack 1, win 229, length 012:31:25.098994 IP ___MY_IP___.46396 > 182.131.4.1.80: Flags [P.], seq 1:167, ack 1, win 229, length 166: HTTP: GET / HTTP/1.1
12:31:25.144171 IP 182.131.4.1.80 > ___MY_IP___.46396: Flags [.], ack 167, win 31, length 0
12:31:25.144246 IP 182.131.4.1.80 > ___MY_IP___.46396: Flags [FP.], seq 1:326, ack 167, win 1026, length 325: HTTP: HTTP/1.1 200 OK
12:31:25.144263 IP 182.131.4.1.80 > ___MY_IP___.46396: Flags [P.], seq 1:389, ack 167, win 31, length 388: HTTP: HTTP/1.1 302 Moved Temporarily
12:31:25.144282 IP ___MY_IP___.46396 > 182.131.4.1.80: Flags [R], seq 2750153448, win 0, length 0

Supplement 4 · Nov 27, 2018

水落石出 #385 @JDSecOffical

感谢您的支持和关注，京东已监测到这一问题，发现该劫持在到达京东 CDN 节点前已发生，涉及到的相关第三方公司的行为严重违反了京东规定，京东已终止与其合作，并将对其违规行为进行严肃处理。

410 replies • 2018-11-28 21:49:36 +08:00

1 2 3 4 5

❮

❯

201

sigmapi

Nov 26, 2018

以前碰到过，一开始以为是国产梅林的锅，刷了 ddwrt 还存在，以为是电信劫持，用 https 可破就没管了

202

Rubbly

Nov 26, 2018

北京联通复现

203

hahastudio

Nov 26, 2018

LA 复现，后排吃瓜

204

firedsxist0

Nov 26, 2018

他说他是京东员工，你们真信啊...都不求证一下的嘛？

205

scnace

Nov 26, 2018

返利鬼才。。。

206

tongz

Nov 26, 2018

战略性 mark

207

zhoumushui

Nov 26, 2018

深圳电信复现，持续关注

208

chioplkijhman

Nov 26, 2018

河北电信。
https://i.loli.net/2018/11/26/5bfb6c94ab347.jpg

209

xujiang

Nov 26, 2018

杭州电信复现

210

affyun

Nov 26, 2018 via Android

二手套路内鬼狗东

211

zhangfeiwudi

Nov 26, 2018

上海电信复现

212

qk3z

Nov 26, 2018

后排吃瓜看戏

213

QK8wAUi0yXBY1pT7

Nov 26, 2018

如果真是京东自己内部做的，可以坐实地域歧视了吧？
另一方面，四川有的人，天高皇帝远，做事太大胆...

214

raycheung

Nov 26, 2018

杭州移动复现。

215

november

Nov 26, 2018

@DylanZ 不会发图。这是 google 搜索缓存的能够看到的最后的回复。你可以自己关键字搜索下。
该账号直至今日也无任何活动现象，估计被 ban 了。

@eddiewithyou 1 天前 via iPhone ♥ 1
20181027
15:30 左右
今天收到客服电话，说她会争取 2 万-2 万 5 的赔偿额，谈好了让我签个和解函。

我拒绝了。我的主张是退一赔三。
不满足就周二中院起诉。
目前等对方协商。

216

JmmBite

Nov 26, 2018

又有封口费可以拿了。

217

Osk

Nov 26, 2018

贴一下我的测试结果:
四川联通 vs 四川电信

我觉得 ISP 要背锅

218

ooeyunarika

Nov 26, 2018

ggc hk 复现,mark

219

C2G

Nov 26, 2018 via Android

浙江电信&4g/移动 4g&宽带 /联通 4g 均复现

220

lilydjwg

Nov 26, 2018 via Android

看起来更像是这个 cdn 节点被人做了手脚啊。

221

Osk

Nov 26, 2018

还有就是可能这个 cdn 节点被动手脚了

222

easylee

Nov 26, 2018

坐标南昌，发现此问题。

和楼主描述一模一样。

223

Hconk

Nov 26, 2018 via Android

关注下

224

ferock

PRO

Nov 26, 2018

看起来更像是这个 cdn 节点被人做了手脚啊。

225

heimeil

Nov 26, 2018

@sobigfish 抓包和#191 一致，一次 Request 两次 Response，应该就是这个 CDN 被人动手脚了，其他 CDN 暂时没发现有这种情况

226

applesbananas

Nov 26, 2018 via iPhone

杭州电信，成功复现

227

heyesterday

Nov 26, 2018

Azure 新加坡、美西复现

228

alexZmy

Nov 26, 2018

吃个大瓜

229

sjt1949

Nov 26, 2018

大佬们，这个东西是怎么操作的？-A 是设置 user-agent -H 是设置 header 然后下载“ 182.131.4.1 ”的网页，得到了一个重定向 href “ union-click.jd.com ” 参数为 Wy6RM7，我理解的没错吧。
但是“ 182.131.4.1 ”是一个四川的 ip 吧，访问 jd 的时候怎么会被劫持呢？难道"182.131.4.1"是 jd 西南地区的服务器？只有西南地区访问 jd 才会被劫持？不明白。

230

chashao

Nov 26, 2018

可以，板凳瓜子关注一波

231

Ico945

Nov 26, 2018

后排吃瓜目测要火这得赚多少钱了

232

zsdroid

Nov 26, 2018

这指鹿为马是真的牛逼

233

pnongrata

Nov 26, 2018

https://www.llss.us/5969

前排吃瓜。

234

shmon

Nov 26, 2018

复现成功

235

yexm0

Nov 26, 2018

@sjt1949 是的,这是一个提供给普通用户访问的 ip 地址,所以他的危害才那么大.

236

miyuki

Nov 26, 2018

@heimeil
@sobigfish

感谢提醒，我也抓了一下，是被抢答了，已经 append

237

abux1024

Nov 26, 2018

复现成功

238

Fe1Fan

Nov 26, 2018 via iPhone

吃瓜

239

zsdroid

Nov 26, 2018

京东的 CDN 节点就不需要经过运营商了？？
你们是怎么排除运营商劫持的？？

运营商劫持分出口和进口。
出口劫持，访问任何网站都会被劫持。
进口劫持，访问这些服务器会被劫持。
这情况明显是运营商进口劫持。

240

zbinlin

Nov 26, 2018

liuyanjun0826 你应该与楼主联系，找我干嘛

@sjt1949 可能不止一个 IP，这些都可能是的：
182.131.4.1 OK
182.131.4.13 OK
182.131.4.11 OK
182.131.4.15 OK
182.131.4.12 OK
182.131.4.14 OK
182.131.4.16 OK
182.131.4.17 OK
182.131.4.18 OK

241

pandasoda

Nov 26, 2018

坐等吃瓜

242

Raymon111111

Nov 26, 2018

@liuyanjun0826 啊楼主造什么谣了好奇

243

ZhLTE

Nov 26, 2018

内鬼级 666

244

kkzxak47

Nov 26, 2018 via Android

@zsdroid 说排除运营商了吗？并没有啊。不要脑补，虽然标题有催化脑补的嫌疑。

245

wangfei324017

Nov 26, 2018

要火要火，BWG 香港：

246

lifeintools

Nov 26, 2018

香港节点复现

247

zsdroid

Nov 26, 2018

@kkzxak47 看看前面就知道了，都在指责京东，说是运营商问题的寥寥无几。

248

langliu

Nov 26, 2018

有没有大佬可以通俗易懂地讲解一下，我一个外行没搞清楚是什么情况

249

awah

Nov 26, 2018

mark, 这是怎么发现的?

250

xxgirl2

Nov 26, 2018

日本 NTT （ vps ）复现

251

leido

Nov 26, 2018 via Android

@langliu 访问京东四川的 cdn 节点，跳转到一个给特定人返利的京东页面，类似于推荐链接

252

davidqw

Nov 26, 2018

战略性 mark

253

lanry

Nov 26, 2018

吃瓜看戏。。。北京联通可以复现

254

kkzxak47

Nov 26, 2018 via Android

@zsdroid 原因可能在于 13 楼的“京东员工”……

255

Mohanson

Nov 26, 2018

mark. 法国复现

256

yyuueexxiinngg

Nov 26, 2018 via Android

mark，泰国 True 复现

257

leido

Nov 26, 2018 via Android

@sjt1949 正常是影响四川范围的没错

258

pohoulong

Nov 26, 2018

@davidqw 战略性跟随

259

965380535

Nov 26, 2018

湖北联通成功复现

260

JCZ2MkKb5S8ZX9pq

Nov 26, 2018

上海台湾日本 ip 复现……

261

Aruforce

Nov 26, 2018 via Android

坐等上新闻

262

simple11

Nov 26, 2018

看戏

263

zhila

Nov 26, 2018

mark

264

lifeintools

Nov 26, 2018

@langliu 就是恶意跳转到返利推广链接了。。。。

我有点好奇是怎么发现的。

265

Nicoco

Nov 26, 2018

旧闻： https://www.llss.us/5969
平常心，平常心，这不是第一次发现了。
战略性 mark，感觉要🔥

266

araraloren

Nov 26, 2018

看戏

267

OpenJerry

Nov 26, 2018 via Android

围观围观

268

xrr2016

Nov 26, 2018

!()[

]

珠海复现

269

MicroPan

Nov 26, 2018

围观~

270

yangzhaofeng

Nov 26, 2018

182.131.4.0/24 屬於 AS38283，是電信的 AS。上級走 AS4134，即電信骨幹網。也就是說從外面訪問一定會經過電信骨幹網。
如果有成都阿里雲或者騰訊雲的朋友可以拿這兩家測一下。如果發現沒有劫持，那麼就可以斷定劫持發生在電信骨幹網。如果有劫持，那麼依然無法判斷是京東做的還是電信做的。除非能夠拿到 182.131.4.0/24 的公網地址。但是這個地址段是 IDC 在使用。

271

MuscleOf2016

Nov 26, 2018

上海可以，持续吃瓜

272

zhuoyan

Nov 26, 2018

围观

273

zjsxwc

Nov 26, 2018

浙江联通和移动网络表示不能复现，还没有电信网络。。

274

zbinlin

Nov 26, 2018

@yangzhaofeng 关键看这个网段是否是 JD 自己使用的，这个其实 JD 内部查起来应该不难的，就怕它查清楚后后不想公开结果罢了。

275

kelestudio

Nov 26, 2018

北京联通，北京腾讯云，美国 VPS，均未复现

276

ryan123

Nov 26, 2018

mark

277

wobushizhangsan

Nov 26, 2018

赶紧把发现问题的人解决掉，问题就没了。

278

keysona

Nov 26, 2018

13 楼怎么不说话了...

等你回应。

279

leido

Nov 26, 2018

腾讯云成都服务器测试，直接 302，我随机改了 UA 的，所以应该是运营商劫持

280

yangzhaofeng

Nov 26, 2018

@leido 是否方便把 trace 的結果貼上來看一下

mtr -b -y0 182.131.4.1 -w

281

sky395

Nov 26, 2018

战略性 MARK ！

282

JiZhiDeboy

Nov 26, 2018

前排= =

283

Bigglesworth

Nov 26, 2018

估计 CSDN 的小编又开始写稿了，明天公众号就推送，《京东疑似出现“内鬼级”劫持》。哈哈哈

284

jimbray

Nov 26, 2018

厉害了，围观学习...

285

Hoegl

Nov 26, 2018

@leido 我广州电信上午可以复现，现在也 302 了。

286

hippocampi

Nov 26, 2018

好像已经复现不了

287

fanhaipeng0403

Nov 26, 2018

Reply 284
jimbray 6 分钟前
厉害了，

288

hahastudio

Nov 26, 2018

LA 复现不了了，大概是改回去了

289

xwander

Nov 26, 2018

mark，没搞懂技术原理，学习学习

290

lp10

Nov 26, 2018

@november #139
@DylanZ #145
/t/503259

291

leido

Nov 26, 2018

@yangzhaofeng
mtr -b -y0 182.131.4.1 -w
Start: Mon Nov 26 14:41:13 2018
HOST: VM_1_9_centos Loss% Snt Last Avg Best Wrst StDev
1. AS??? 100.88.215.130 0.0% 10 1.1 1.2 1.0 1.3 0.0
2. AS??? 100.88.247.242 0.0% 10 1.2 0.9 0.7 1.2 0.0
3. AS??? 10.196.70.45 0.0% 10 0.4 1.2 0.4 8.2 2.4
4. AS??? 10.200.5.109 0.0% 10 5.6 2.3 1.8 5.6 1.2
5. AS??? 10.196.0.74 0.0% 10 1.4 1.4 1.3 1.4 0.0
6. AS4134 182.150.16.101 30.0% 10 8.2 33.0 3.1 205.0 75.8
7. AS38283 182.140.229.201 50.0% 10 2.6 2.6 2.5 2.7 0.0
8. AS38283 118.123.223.58 0.0% 10 3.1 3.0 2.7 3.5 0.0
9. AS38283 118.123.223.194 0.0% 10 7.5 7.1 5.0 11.6 1.9
10. AS38283 182.131.4.1 0.0% 10 2.3 2.9 2.2 7.5 1.5
成都腾讯云 mtr 结果

292

C2G

Nov 26, 2018 via Android

@zjsxwc 早上是能复现的。但是我忘了截图

293

yangzhaofeng

Nov 26, 2018

@leido 這還是經過了骨幹網啊。。。看來這個測試方法還是不太可行