怀疑校内网 https 被劫持了

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 1914 天前的主题，其中的信息可能已经有所发展或是发生改变。

昨天晚上开始发现 qq 邮箱还有用到 qq 认证的网站全部都被浏览器提示证书错误了。
https://imgur.com/DaYDMqr
https://imgur.com/kbPRzsj
而换用手机流量或者用梯子则没有这个问题。不知道是不是学校在搞的。
浏览器报错的两份证书如下
第一份：
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
第二份：
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

第 1 条附言 · 2019-09-02 22:37:30 +08:00

学校搞了两天后。已经默默把这个劫持给关掉了。

23 条回复 • 2019-09-02 16:17:55 +08:00

imWBB

2019-09-01 11:03:21 +08:00 via Android

不用 Firefox 用别的浏览器呢？

zyp38263547

2019-09-01 11:14:50 +08:00

@imWBB 用 chrome 也一样，而且不止我一台电脑是这样的，手机连 wifi 用浏览器打开这些网站也会出现一样的问题。

b1rdb0y

2019-09-01 11:16:04 +08:00 via Android

学校都会监控流量的吧

yzwduck

2019-09-01 11:24:05 +08:00

tcp ping 443 端口，如果路由和正常外网有很大差异的话，才可能是学校搞的鬼。
也可能是 DNS 出问题了，但不管怎样，这个证书明显是恶意的。
不过，你应该把完整的证书链给贴上来，不然就很难从证书角度上去分析。

zyp38263547

2019-09-01 11:31:00 +08:00

@yzwduck

zyp38263547

2019-09-01 11:31:27 +08:00

@yzwduck
在火狐上显示是自签名证书
“可能有人试图冒充该网站，您不应该继续访问。各个网站通过证书证明自己的身份。Firefox 不信任 ssl.ptlogin2.qq.com ，因其证书颁发者未知，证书是自签名的，或者服务器未发送正确的中间证书。”

zyp38263547

2019-09-01 11:36:03 +08:00

@yzwduck 试了下 tcp ping 443 端口和 tcp ping 80 端口，443 端口的延时明显低了
https://imgur.com/IUE5h74

lizy001

2019-09-01 11:44:31 +08:00 via iPhone

好奇你们用 Imgur 图床的，是常年上梯子吗？每次我都得挂梯子才能看，难道是我宽带给 ban 了？

zyp38263547

2019-09-01 11:48:19 +08:00

@lizy001 我看着别人都用。就跟着用了

Kowloon

2019-09-01 11:48:49 +08:00 via iPhone

@lizy001
以前可以，现在应该是了。

zyp38263547

2019-09-01 11:50:07 +08:00

用了 tcptraceroute，确定是学校搞的了
https://imgur.com/JphyPxJ

lizy001

2019-09-01 11:50:52 +08:00 via iPhone

@zyp38263547 原来这样啊。我都是随便找个能用就行的
@Kowloon 确实被墙了，没办法上梯子吧

imWBB

2019-09-01 12:16:53 +08:00 via Android

@lizy001
imgur 很稳定比很多自建图床稳定
上传可以用 API
图片还可以 NGINX 反代

比如
https://i.staticdn.net/
https://i.staticdn.net/i.imgur.com/3QrPToe.jpg

lostberryzz

2019-09-01 12:21:09 +08:00

全局代理大法好

ks3825

2019-09-01 12:36:32 +08:00 via Android

上一个出去的隧道吧…这样的网络环境

just1

2019-09-01 12:47:13 +08:00 via Android

@lizy001 不是被墙，是主动屏蔽了大陆访问

cwbsw

2019-09-01 13:07:55 +08:00

traceroute to imgur.com

1 192.168.0.1 192.168.0.1 局域网 0.3 / 0.2 / 0.2
2 113.59.224.1 113.59.224.1 北京电信 AS4134 7.9 / 2.3 / 3.2
3 202.80.195.181 202.80.195.181 北京电信 AS4134 0.7 / 0.7 / 0.8
4 *
202.80.192.13
* *
202.80.192.13
* N/A
北京电信
N/A *
AS4134
* *
0.9
*
5 *
*
42.99.32.9 *
*
42.99.32.9 N/A
N/A
北京电信 *
*
AS4134 *
*
52.6
6 * * N/A * *
7 * * N/A * *
8 * * N/A * *
9 * * N/A * *
10 * * N/A * *
11 * * N/A * *