【请MJJ复现】大葱省联通4G跳huang网 求教排查方案

Xiaomage2333

2.23晚update
重启飞行模式，切换IP 以及切换浏览器，用不同的浏览器复现的几率较高
刚刚验证 http://gubo.org 可以复现，同为大葱省联通的MJJ可以试试
更多出现问题的网站正在验证

======
RT，最近发现我的1IP小站跳在联通4G的网络下，每天第一次访问跳H网。因为种种原因并没有开HSTS，因此第一次访问还是HTTP，每天第一次访问必跳H网，跳转完之后哪怕强制使用HTTP访问都不能再复现了，每天只会出现一次。复现的话每天只有一次机会，每天0点重置。

tcpdump用wireshark分析如下，正常的TTL是49，可是突然返回了TTL为230的一个包，这个包有问题：




很长时间了，去年夏天就有，访问古博测评站天天跳，没想到自己的站也开始了，是联通在搞HTTP劫持吗？请教大佬如何排查和硬刚联通？

抓包的时候开了DOT，因此应该不是DNS劫持，就是HTTP劫持。

我把一个子域名解析到了联通测速平台上，明天再试试，看看是不是根据域名SNI判断是否要劫持的，因为直接访问CF IP的80端口并没有被劫持。
另外我在cf worker上新起了一个hello world，明天试试，排除服务器挂马问题。

======

多半是联通干的，找到了类似的受害案例，20年就开始了，联通内鬼应该赚大了

zutianrun

老早就发现这个问题了，我江苏联通的卡，在山东省会用，拜访地接入，有时候就会跳H网，而且还不能复现

逼哥

可能不止4G网（只是你在4G网络下用移动设备会跳转误以为只有4G才会跳转）山东联通家宽用手机访问网站也跳XX，应该是做了识别，移动设备下才会跳转，毕竟现在都是app了，PC跳没什么意义！
去年下半年开始已经出现好几次了，只是不知道什么样的情况下能复现，反正偶尔就会跳一次。

simonw

先看服务器WEB日志，请求有没有到达服务器，注意内容size，是不是正常，可以URI使用一个不存在的地址，返回404，更容易对比。

可以试试换本地IP，应该能复现。

FeiLai

联通的内鬼搞的

hhwxyhh

不会是跳含羞草吧？我之前遇到过，是光猫有后门，会在浏览器首页插入一段JS代码，不定时弹出H站，重装系统都是没用的。

Xiaomage2333

Yzindex 发表于 2024-2-24 12:03
丧心病狂啊……1IP也跳？

小博客 还是有一些访客的，但是不多，不算大站 子域名上的服务就我自己知道，照样跳

Xiaomage2333

hfhfg 发表于 2024-2-24 11:36
录视频，拍照，收集更多证据，然后去工信部投诉。

如果能找到朋友更加好，两个人一起举证，它就不能说是 ...

感谢提醒 复现过程都是录屏的 抓包出来的pcap文件我都有留好 今天联系我了，问了我一些问题，说是要再确认一下具体情况，态度还是很好的

Yzindex

丧心病狂啊……1IP也跳？

hfhfg

Xiaomage2333 发表于 2024-2-24 07:18
100%复现那还真好说 我这个情况复现有点难度 看投诉工单已经转到市营销中心了 跟他们讲明白更难 ...

录视频，拍照，收集更多证据，然后去工信部投诉。

如果能找到朋友更加好，两个人一起举证，它就不能说是你的个人设备问题了。

lwsg1987

山东联通日常操作，其他还有dns劫持

im2828

山东联通正常。

Xiaomage2333

loukky 发表于 2024-2-23 22:02
打的10010就说有正常网站跳转非法网站,让10010联系省公司处理.主要是那时候这个网站是100%跳转,我让客服 ...

100%复现那还真好说 我这个情况复现有点难度 看投诉工单已经转到市营销中心了 跟他们讲明白更难

loukky

Xiaomage2333 发表于 2024-2-23 18:31
确实是，下午我用cf workers搞了个HelloWorld都跳，就是中间链路出了问题，有内鬼。请问你是怎么联系上省 ...

打的10010就说有正常网站跳转非法网站,让10010联系省公司处理.主要是那时候这个网站是100%跳转,我让客服小姐姐用她的手机测试也会跳转,后来就是省公司的技术人员联系的我