案例分析&网通在DNS服务器上利用会话劫持做广告

lovehuhu

这两天遇到的一个问题,有一个分公司不能登陆到总公司的ERP系统.这个网络结构我做一个描述:


  地点               性质        上网方式                     软件
集团总部        总公司     电信小区10M光纤        ERP服务器端

分部一          分公司       网通光纤                     ERP客户端      (出问题的分公司)
分部二          分公司       电信ADSL                   ERP客户端

  .           
  .
  .

分部N          分公司     电信ADSL                     ERP客户端


大概了解了情况,出问题的公司是通过网通的小区10M光纤连接Internet.并且只有公司的ERP主页不能访问,访问其它网站没有问题.每次打开会出现网通的"友情提示"如图:



什么友情提示,其实就是广告.

下面是用科来分析得出的,网通通过DNS服务器,进行会话劫持.(科来交流版不能用,用的是演示版,功能限制太多了)

首先我们先看看,正常情况下,我们在IE中输入正确的网址,访问的过程.以www.163.com为例:

在IE中输入www.163.com

电脑向网通的DNS服务器221.13.28.234发出查询请求:







网通的DNS服务器221.13.28.234会向电脑回这个请求,
并告诉电脑,WWW.163.COM 的规范名是www.cache.split.netease.com
并通过规范名查询到IP地址是202.108.9.38如图：




这时电脑就会通过202.108.9.38访问到www.163.com


现在我们再来看看,如果输入一个网通DNS不能解析的域名,结果会是什么:

在IE中输入www.rkmip.com.cn




同样电脑会请求网通的DNS服务器解析www.rkmip.com.cn的域名(这个域名并不存在)
服务器会做出回答,但是这个回答是并不是www.rkmip.com.cn的IP地址,而是网通的.




这是请求的图




这是DNS回答的图





然后电脑就打开了这个网页:



其实这个问题有点怪,我一直没有想通的是,网通为什么,有时可以解析到,有时又不能解析我们公司的域名.
最后的解决办法是,在装有ERP的电脑上手动输入了电信的DNS(虽然解析有点慢,但是不会出问题).

[ 本帖最后由 lovehuhu 于 2008-10-2 16:10 编辑 ]

lovehuhu

申请加分

[ 本帖最后由 lovehuhu 于 2008-10-2 13:57 编辑 ]

11047646

哈哈~~~终于知道他的原理了！谢谢你·~~其实电信也有类似的广告，我也用软路由弄过，就是客户要浏览www.163.com或者别的网站的时候，它会自动转向别的网站，不过软路由的原理和这个DNS 转向不太一样！

[ 本帖最后由 11047646 于 2008-10-2 10:33 编辑 ]

lovehuhu

好像，不同地方的ISP提供商，用的方法都不同，不管是电信还是网通，都在利用自己在这个行业的垄断地位来搞这种广告，赚钱。

我一直没有想通的是,网通为什么,有时可以解析到,有时又不能解析我们公司的域名.
是DNS的问题，还是有其它什么原因。

lovehuhu

我改成电信的DNS后，现在一直没有出过问题。

lovehuhu

稍后会附加一个拓扑图，愿与大家一起交流。

lovehuhu

原帖由 11047646 于 2008-10-2 10:30 发表
哈哈~~~终于知道他的原理了！谢谢你·~~其实电信也有类似的广告，我也用软路由弄过，就是客户要浏览www.163.com或者别的网站的时候，它会自动转向别的网站，不过软路由的原理和这个DNS 转向不太一样！

网通实现这种插件广告，方法不只这一种。

还有robur曾经介绍的，伪造GET包实现。
http://www.csna.cn/forum.php?mod ... 1%BB%B0%BD%D9%B3%D6

robur

太多了，把不能解析的域名给你劫持了，也不算是太坏，毕竟没人成天访问不可解析的域名。
但是我这里网通还劫持search.live.com，要知道这个是ie默认的搜索（很多情况下都会自动调用），真tm的黑呀。

dns的响应跟一个国家的国情是有很大关系的。我一直都在用“民主国家”的dns。。。

lovehuhu

原帖由 robur 于 2008-10-2 15:47 发表
太多了，把不能解析的域名给你劫持了，也不算是太坏，毕竟没人成天访问不可解析的域名。
但是我这里网通还劫持search.live.com，要知道这个是ie默认的搜索（很多情况下都会自动调用），真tm的黑呀。

dns的响应跟 ...

郁闷的是，对我们公司的域名也不能解析，（至少是有时不行）搞得那些天天要输帐的会计，一个不停的打我的电话

robur

原帖由 lovehuhu 于 2/10/2008 15:54 发表

郁闷的是，对我们公司的域名也不能解析，（至少是有时不行）搞得那些天天要输帐的会计，一个不停的打我的电话

你们用动态域名？？？

lovehuhu

是的，服务器是注册的二级域名，因为不是用的专线光纤，没有固定的IP，是通过花生壳，固定的域名绑定动态的IP实现外网的访问（动态域名）。

[ 本帖最后由 lovehuhu 于 2008-10-2 16:45 编辑 ]

robur

原帖由 lovehuhu 于 2/10/2008 16:31 发表
是的，服务器是注册的二级域名，因为不是用的专线光纤，没有固定的IP，是通过花生壳，固定的域名绑定动态的IP实现外网的访问（动态域名）。

要不然你用花生壳提供的dns看看，我是从来未遇到过，动态域名在境外dns上都更新得很及时。

oldjiang

在家上网，基本每天都看见“我的E家”，不固定是什么网站，有随机性，每天两三次，晚上居多。习惯了，随它去吧。

lovehuhu

我已把出问题的分公司,设置成电信的DNS,就没问题了,问题应该就是在我们这网通的DNS服务器上,我决定这两天和网通交涉一下

lovehuhu

每个地方的会话劫持都不一样,向我们这边,电信用户只要不装互连星空,是不会弹广告的

royallin

用OPENNDS的DNS，比你用电信的快多了。

oldjiang

搜索了一下
http://network.51cto.com/art/200709/56347.htm 更快更安全更稳定 OpenDNS上网新方式
那个DNS服务器的地址是美国的，比国内的还快？

lovehuhu

在中国,每个省份,每个地区的ISP都会提供一到多个DNS服务器,不管是电信还是网通,可以通过PING的方式来测试与DNS服务器之间的连接情况.

royallin

原帖由 oldjiang 于 2008-10-2 22:50 发表
搜索了一下
http://network.51cto.com/art/200709/56347.htm 更快更安全更稳定 OpenDNS上网新方式
那个DNS服务器的地址是美国的，比国内的还快？

网通接国外比较块的，200多MS，对于解析来说够的了，而且有DNS缓存，国内用OPENDNS的很多所以比较快得到解析。
当然就没有比在国内的快啦，但是用肉眼来是感觉不到差别的，关键一点是人家不是流氓。。。。

OPENDNS： 208.67.222.222
          208.67.220.220

----------------------------------------------



OpenDNS 这家网站提供免费的DNS解析，相比一般的ISP，它的DNS更快、更安全、更聪明：
更快
两个特点保证了OpenDNS更快，首先它拥有一个大型的、智能化的缓存，这能够保证用户可以从庞大的OpenDNS用户库中获利；OpenDNS有一个高性能的按地理分布的网络和多个冗余备份连接，它会根据你的访问选择最近的地理位置。

更安全
OpenDNS可以识别和阻止钓鱼（Phishing）网站，就像在你访问的网站和你之间设了一个检查站，保护你的安全。

更可靠
它可以保证长期有效，不会让您因为DNS服务器停止工作而无法访问互联网。OpenDNS也使用了分布式网络，在全球架设了服务器，使得每个访问者可以在离自己最近的服务器进行DNS查询 。

更聪明
OpenDNS可以自动纠正拼写错误，如果你不小心输入网址时拼写错误（比如少了个字母），OpenDNS也能将你引导到正确的网站，或者提供一个相似网站的搜索列表。
这一切都是全免费的。
想使用OpenDNS的服务非常简单，只需要将你现在的DNS换为如下两个地址就行了，安全和智能还没有机会感觉到，不过似乎访问一些国外的站点是要快一些了：

208.67.222.222
208.67.220.220
更详细的使用方法在这里：http://www.opendns.com/start/

下面这张图片很有意思，使用和没使用 OpenDNS 的时候会看到不同的图片：



设置完成后，你还可以访问 welcome.opendns.com 来验证你的设

royallin

原帖由 lovehuhu 于 2008-10-2 23:00 发表
在中国,每个省份,每个地区的ISP都会提供一到多个DNS服务器,不管是电信还是网通,可以通过PING的方式来测试与DNS服务器之间的连接情况.

是驴是马，试下就知道了。
包管好使

royallin

其实现在网通，电信，铁通那个不做错误会话后劫持到错误广告页面提示的？
我遇到更加无耻的强逼广告呢。幸好有robur同学做的好东西。
(前天恢复GHOST后，发觉无耻的强逼广告撤销了，但还是有错误页面广告劫持，呵呵）

http://www.csna.cn/forum.php?mod ... p;extra=&page=1

lovehuhu

发这个帖目的是把劫持过程以及原理发上来与大家一起研究探讨.
我感觉在中国,不同的地方的ISP用到的技术都不一样,但原理是相通的.
在下才疏学浅,做了些浅层次的分析,也是想抛砖引玉.
也希望大家也可以从中得到一点点启发,我就很高兴了.

liuheliuxi

恩，大家都把经验发帖写出来，大家的水平上升就快多了