求助：大家有见过这种劫持么？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 4123 天前的主题，其中的信息可能已经有所发展或是发生改变。

我直接打开 http://baike.baidu.com/ ，然后就会跳转到一个页面：

查看了一下代码，如下：
<HTML><HEAD><meta http-equiv="content-type" content="text/html;charset=gb2312"><TITLE></TITLE><style>body {overflow: hidden; height: 100%; margin: 0px;}</style></HEAD><BODY><iframe id="wys_gg_http_index_jsp" style="z-index:-1;visibility: inherit; width: 100%; height: 100%;" src="http://adv.unionabcd.com:7272/adv/196.jsp?uid=FBM-641_7DB6-3E0F24-40EDC3&ip=192.168.3.100&mac=1C-6F-65-B4-E1-2B&js=0&surl=baike.baidu.com" frameBorder=0 scrolling="auto"></iframe></BODY></HTML>

但是我在百度百科后面加了一个英文问好的时候，却正常，如下图：

我检查了一下hosts和注册表，没发现相关的信息，进程也没有。。改了DNS之后依旧有这个情况出现。。大家知道这个是什么劫持么？？？

style

index

26 条回复 • 1970-01-01 08:00:00 +08:00

Hyperion

2013-08-13 17:43:31 +08:00

回话劫持, 默哀...

拨打几次运营商的客服电话投诉下就可以了...

nazor

2013-08-13 17:43:55 +08:00

你不会是用的 360 危险浏览器吧。

xspoco

2013-08-13 17:45:05 +08:00

好神奇。。。路由器被劫持了?

BOYPT

2013-08-13 17:45:43 +08:00

你的是什么接入方式？有可能是出口的透明代理劫持。

xdeng

2013-08-13 17:50:52 +08:00

我正常

你要么本地hosts文件被改要么路由被劫持最后只有路由之后被劫持。。。

xdeng

2013-08-13 17:51:22 +08:00

跟网页无关吧

yanwen

2013-08-13 18:09:22 +08:00

@nazor 运营商估计不会做这些私服的游戏吧？好坑爹啊。之前有弹过电信的广告。。但是后来投诉一下之后就没有了。。

@nazor 不管用什么浏览器都是这样的结果。。试过很多个浏览器了IE9 QQ浏览器火狐之类的。。都有这样的问题。

@BOYPT 用的是广州电信呢。唉。。

@xdeng 我删除了hosts文件。结果还是这样。。好坑爹啊。。以为中毒了。。下载个360修复了一下。还是这样子。。估计没救了。。唉。。

nazor

2013-08-13 18:13:31 +08:00

@yanwen 怎么感觉像是 arp 攻击，你的c段安全么？连的路由是否有其他连接？

nazor

2013-08-13 18:15:07 +08:00

@yanwen 用 dsploit 可以很简单地劫持同路由用户

yanwen

2013-08-13 18:16:18 +08:00

@nazor 不会吧？擦。。这么恐怖？

why

2013-08-13 20:11:48 +08:00

你用技嘉主板，是有木马吗

yanwen

2013-08-14 07:00:13 +08:00

@why 用技嘉主板为什么会有木马？？

wzzyj8

2013-08-14 08:28:47 +08:00

@yanwen 应该是ARP spoofing了，改大网站body做法是某些二流黑客arp的一贯手迹
win+r > cmd，然后键入arp -a
看记录，是不是有两个不一样的内网Internet Address的Physical Address一样（一般表现为Default Gateway和局域网内某主机相同。路由设置下mac-ip绑定可以有效解决这个问题，还有x60浏览器真还是别用了。

yanwen

2013-08-14 10:05:24 +08:00

@wzzyj8
晕。我重装系统了。。结果发现还是一样。。。没有用360浏览器。

arp-a 得出下面结果：

Microsoft Windows XP [版本 5.1.2600]
(C) 版权所有 1985-2001 Microsoft Corp.

C:\Documents and Settings\Administrator>arp -a

Interface: 192.168.3.142 --- 0x2
Internet Address Physical Address Type
192.168.3.1 80-81-00-ed-c3-91 dynamic

C:\Documents and Settings\Administrator>

yanwen

2013-08-14 10:06:04 +08:00

@wzzyj8 142 是我的ip

wzzyj8

2013-08-14 10:21:40 +08:00

@yanwen 如果重装用，甚至用一些live CD打开都是一样的效果，就说明不是你本机的问题。
看下网关的mac是否的确为80-81-00-ed-c3-91。顺带确认下网关是否安全，国内的ISP再流氓也很少可能插这个类型的广告吧。。
另，可以看下代码里的：http://adv.unionabcd.com:7272/adv/196.jsp?uid=FBM-641_7DB6-3E0F24-40EDC3&ip=192.168.3.100&mac=1C-6F-65-B4-E1-2B&js=0&surl=baike.baidu.com

看起来，也许，大概，或许，你的网关有问题：
http://inetge.net/thread-7883-1-1.html
http://bbs.pxecn.com/thread-101612-1-1.html

phuslu

2013-08-14 10:22:41 +08:00

tracetcp 看一下，能检测透明 HTTP 网关的

yanwen

2013-08-14 11:50:03 +08:00

@wzzyj8

坑爹了。。貌似是路由问题。。

yanwen

2013-08-14 11:59:08 +08:00

@phuslu 慢慢学一下tracetcp 。。。还不会用。。貌似是路由的问题。。

phuslu

2013-08-14 12:34:45 +08:00

@yanwen 路由被人入侵后改了 DNS ?

yanwen

2013-08-14 14:34:12 +08:00

@phuslu 是路由器固件本身有问题。。看16楼的描述

wzzyj8

2013-08-14 14:43:45 +08:00

@yanwen 看看能不能刷第三方rom。。如果不能的话，这种路由可能只能丢掉了。。敢这种方式加广告难说会不会做其他手脚

yanwen

2013-08-14 17:21:35 +08:00

@wzzyj8 谢谢。

luleung

2014-01-12 13:23:51 +08:00

@yanwen 楼主你好，我是谷歌到你这个页面的，因为我和你遇到了一模一样的问题，请问你最后是如何解决的？我也排除了是我个人电脑，个人路由器的问题，现在怀疑是我的网络提供商的原因（外面的什么不知道名的中国电信的那些分支商）但是和他们的技术人员交谈后无果。

yanwen

2014-01-12 23:06:49 +08:00

@luleung 最后这个问题自己消失了。。（不过还是会时不时出现。。刚才我也看到你的帖子了。。估计是运营商的问题。。）我懒得理了。。

luleung

2014-01-20 17:38:16 +08:00

@yanwen 真是匪夷所思呢，虽然不怎么影响使用，我是怕那些后台钓鱼。不过现在这个情况下我在路由里绑定了静态IP解决了应该不是我电脑的问题了。