谷姐靓号网2.23晚update
重启飞行模式，切换IP 以及切换浏览器，用不同的浏览器复现的几率较高
刚刚验证 http://gubo.org 可以复现，同为大葱省联通的MJJ可以试试
更多出现问题的网站正在验证
======
RT，最近发现我的1IP小站跳在联通4G的网络下，每天第一次访问跳H网。因为种种原因并没有开HSTS，因此第一次访问还是HTTP，每天第一次访问必跳H网，跳转完之后哪怕强制使用HTTP访问都不能再复现了，每天只会出现一次。复现的话每天只有一次机会，每天0点重置。
tcpdump用wireshark分析如下，正常的TTL是49，可是突然返回了TTL为230的一个包，这个包有问题：
很长时间了，去年夏天就有，访问古博测评站天天跳，没想到自己的站也开始了，是联通在搞HTTP劫持吗？请教大佬如何排查和硬刚联通？
抓包的时候开了DOT，因此应该不是DNS劫持，就是HTTP劫持。
我把一个子域名解析到了联通测速平台上，明天再试试，看看是不是根据域名SNI判断是否要劫持的，因为直接访问CF IP的80端口并没有被劫持。
另外我在cf worker上新起了一个hello world，明天试试，排除服务器挂马问题。
======
多半是联通干的，找到了类似的受害案例，20年就开始了，联通内鬼应该赚大了
热议
推荐楼 zutianrun 昨天16:51
老早就发现这个问题了，我江苏联通的卡，在山东省会用，拜访地接入，有时候就会跳H网，而且还不能复现
推荐楼 逼哥 昨天12:29
可能不止4G网（只是你在4G网络下用移动设备会跳转误以为只有4G才会跳转）山东联通家宽用手机访问网站也跳XX，应该是做了识别，移动设备下才会跳转，毕竟现在都是app了，PC跳没什么意义！
去年下半年开始已经出现好几次了，只是不知道什么样的情况下能复现，反正偶尔就会跳一次。
推荐楼 simonw 昨天09:58
先看服务器WEB日志，请求有没有到达服务器，注意内容size，是不是正常，可以URI使用一个不存在的地址，返回404，更容易对比。
可以试试换本地IP，应该能复现。
2楼 FeiLai 昨天09:47
联通的内鬼搞的
3楼 Xiaomage2333 昨天09:54
联通的内鬼搞的
我感觉也是 联通劫持一搜一把 电信干的就很少
5楼 机长 昨天10:01
51.la maccms lnmp .org 这三个养马场排查下
6楼 simonw 昨天10:08
看了下包里的IP，你是开了CF的PROXY吧，关了试试。有可能是劫持的CF的IP。
7楼 Xiaomage2333 昨天10:09
51.la maccms lnmp .org 这三个养马场排查下
感谢提醒，但是这三个都没用到，只是我树莓派上的一个smokeping，docker搭的，用cloudflare tunnel内网穿透出来我自己看 你提到的这三个确实容易出问题
8楼 蜗牛也是牛 昨天11:34
试试打电话投诉到联通宽带投诉下，我以前的电信宽带，有段时间经常跳广告，去投诉dns劫持，客服还说没劫持，投诉后一两天，就不跳广告了
9楼 hcy123q 昨天11:51
直接投诉，以前https没普及的时候电信都会跳小广告，习惯了
10楼 hfhfg 昨天12:08
其实只要把网址发出来，让别人试一下，就知道是不是挂马了还是营运商问题。
12楼 Typeboom 昨天12:28
想办法加上HSTS，再加入 preload 名单
13楼 逼哥 昨天12:29
可能不止4G网（只是你在4G网络下用移动设备会跳转误以为只有4G才会跳转）山东联通家宽用手机访问网站也跳XX，应该是做了识别，移动设备下才会跳转，毕竟现在都是app了，PC跳没什么意义！
去年下半年开始已经出现好几次了，只是不知道什么样的情况下能复现，反正偶尔就会跳一次。
14楼 Xiaomage2333 昨天12:39
想办法加上HSTS，再加入 preload 名单
已经打算上HSTS了，十有八~九是联通干的了，网上搜到和我类似情况的了，跳转代码都一模一样 在想办法怎么投诉联通了
15楼 Xiaomage2333 昨天12:57
可能不止4G网（只是你在4G网络下用移动设备会跳转误以为只有4G才会跳转）山东联通家宽用手机访问网站也跳XX ...
应该是做了UA检测，手机UA才会跳转。
我找到了贴吧上的贴子，最早可以追溯到20年 打算投诉了
16楼 zutianrun 昨天16:51
老早就发现这个问题了，我江苏联通的卡，在山东省会用，拜访地接入，有时候就会跳H网，而且还不能复现
17楼 loukky 昨天17:41
这种就是内鬼搞的，以前四川联通访问推特的一个静态文件地址直接跳菠菜，后来我联系了省公司的技术人员反映了才给搞好。
18楼 Xiaomage2333 昨天18:31
loukky 发表于 2024-2-23 17:41
这种就是内鬼搞的，以前四川联通访问推特的一个静态文件地址直接跳菠菜，后来我联系了省公司的技术人员反映 ...
确实是，下午我用cf workers搞了个HelloWorld都跳，就是中间链路出了问题，有内鬼。请问你是怎么联系上省技术人员的呢？今天投诉说专员会联系我，我感觉大概率是市里专门接投诉打太极的，技术问题够呛能讲明白
19楼 Xiaomage2333 昨天18:34
simonw 发表于 2024-2-23 10:08
看了下包里的IP，你是开了CF的PROXY吧，关了试试。有可能是劫持的CF的IP。
去年夏天的时候我访问其他不是CF的网站的时候也有跳过 符合境外IP+非主流域名就可能跳
20楼 hfhfg 昨天18:53
确实是，下午我用cf workers搞了个HelloWorld都跳，就是中间链路出了问题，有内鬼。请问你是怎么联系上省 ...
最好同时找出几个网站，这样就耍不了太极。
22楼 Xiaomage2333 昨天19:32
其实只要把网址发出来，让别人试一下，就知道是不是挂马了还是营运商问题。 ...
主题里面补了一个网站 同样的症状，抓包跳转的代码都一模一样
不过不是我的站 我的站一摸就死（就不公开了
23楼 loukky 昨天22:02
确实是，下午我用cf workers搞了个HelloWorld都跳，就是中间链路出了问题，有内鬼。请问你是怎么联系上省 ...
打的10010就说有正常网站跳转非法网站,让10010联系省公司处理.主要是那时候这个网站是100%跳转,我让客服小姐姐用她的手机测试也会跳转,后来就是省公司的技术人员联系的我
24楼 Xiaomage2333 4分钟前
loukky 发表于 2024-2-23 22:02
打的10010就说有正常网站跳转非法网站,让10010联系省公司处理.主要是那时候这个网站是100%跳转,我让客服 ...
100%复现那还真好说 我这个情况复现有点难度 看投诉工单已经转到市营销中心了 跟他们讲道理更难
申明：本文内容由网友收集分享，仅供学习参考使用。如文中内容侵犯到您的利益，请在文章下方留言，本站会第一时间进行处理。
评论前必须登录！
立即登录 注册