oopul

Rank: 2

帖子: 2097
积分: 1984
贡献: 315
鲜花: 0
臭蛋: 0
来自: 地球
在线时间: 1695 小时
注册时间: 2005-1-25

楼主 跳转到 » 倒序看帖

打印

字体大小: tT

发表于 2006-12-22 11:48 | 只看该作者

加入全国站长圈！站长QQ登记! 落伍中介

[其它内容] 电信ADSL用户注意了

最近你们上网会不会跳转到
类似
http://59.42.71.245:88/ndatin.aspx?param=ABdXNlcm5hbWU9Z3pEU0wxNzI3MTAwNSTIxOC4xNi4xMjQuMTUyL1Byb3h5Q0lGL01vdmllTG9naW4ucGhw
或者类似
http://61.144.122.9/index.jsp?url=http://www.im286.com
接着弹出一个小广告。然后弹出
http://welcome.gd.vnet.cn/

别以为你不用IE就不会弹，用FireFox 和 Opera 也一样会弹，想不要他弹出来，不用电信的宽带就可以

这段过程将记录了您的IP和你的帐号信息发送到一个指定的邮箱openet@www.openet.com.cn
同时记录你浏览的网页地址，保存到服务器的Oracle数据库中
里面记录着白名单和黑名单，如果访问的是黑名单中的网址，直接让你无法访问。

如果出现以上症状，请不要怀疑你中了木马或者装了什么插件引起的。
这个是用了电信的ADSL宽带才会出现这种问题。
他们太霸道了，大家有这个问题的请打爆10000投诉吧，要不我们以后上网隐私都被曝光了，还有安全隐患

广州的是
http://59.42.71.245/
http://61.144.122.9/
http://59.42.71.245:88
深圳的是
http://219.133.33.39:7000/
http://219.133.33.39:6000/

[ 本帖最后由 oopul 于 2006-12-22 17:18 编辑 ]

oopul

落伍者-千帖级

Rank: 2

帖子: 2097
积分: 1984
贡献: 315
鲜花: 0
臭蛋: 0
来自: 地球
在线时间: 1695 小时
注册时间: 2005-1-25

沙发

发表于 2006-12-22 11:50 | 只看该作者

加入全国站长圈！站长QQ登记! 落伍中介

<%@ Page language="c#" Codebehind="default.aspx.cs" AutoEventWireup="false" Inherits="ICS.UserLogin" %>
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN" >
<HTML>
<HEAD>
<title>傲天互联网内容控制系统（Openet ICS）</title>
<meta content="Microsoft Visual Studio 7.0" name="GENERATOR">
<meta content="C#" name="CODE_LANGUAGE">
<meta content="JavaScript" name="vs_defaultClientScript">
<meta content="http://schemas.microsoft.com/intellisense/ie5" name="vs_targetSchema">
<SCRIPT language="javascript" src="/js/ui.js"></SCRIPT>
<meta http-equiv="Content-Type" content="text/html; charset=gb2312">
<link href="css/style.css" rel="stylesheet" type="text/css">
</HEAD>
<body leftmargin="0" topmargin="0" MS_POSITIONING="GridLayout" scroll="no">
<form id="UserLogin" method="post" runat="server" hight="100%" width="100%">
<table bgcolor="#0041dd" width="788" height="100%" border="0" cellpadding="0" cellspacing="0"
align="center">
<tr>
<td valign="top"><FONT face="宋体"></FONT>
<br>
<table width="666" border="0" align="center" cellpadding="0" cellspacing="0">
<tr>
<td colspan="3"><img src="images/default_table_top.gif" width="666" height="77"></td>
</tr>
<tr>
<td><img src="images/default_table_left.gif" width="81" height="257"></td>
<td width="505" valign="top">
<table width="100%" border="0" cellspacing="0" cellpadding="0">
<tr>
<td colspan="2" align="center"><img src="images/ctlogo.gif" width="128" height="47"></td>
</tr>
<tr>
<td colspan="2" align="center"><img src="images/default_title.gif" width="400" height="34"></td>
</tr>
<tr>
<td width="75%" align="center"> </td>
<td width="25%">
<asp:label ID="Label1" runat="server" Font-Size="10px" BackColor="Transparent" Height="2px"
ForeColor="White" Font-Bold="True"></asp:label></td>
</tr>
</table>
<table border="0" align="center" cellpadding="0" cellspacing="0">
<tr>
<td height="55" colspan="3" background="images/login_top.gif">
<table width="80%" border="0" align="center" cellpadding="0" cellspacing="0">
<tr align="center" valign="bottom">
<td height="25">用户</td>
<td height="25">密码</td>
</tr>
<tr align="center">
<td height="25">
<asp:textbox ID="txtHandsetNumber" runat="server" EnableViewState="False" CssClass="defaultinput"></asp:textbox></td>
<td height="25">
<asp:textbox ID="txtPassword" runat="server" EnableViewState="False" TextMode="Password" CssClass="defaultinput"></asp:textbox></td>
</tr>
</table>
</td>
</tr>
<tr>
<td width="76" height="56"><img src="images/login_left.gif" width="76" height="56">
</td>
<td width="226" valign="top">
<asp:imagebutton ID="btnLogin" runat="server" text="Login" ImageUrl="images/login_button.gif" Width="226px"
Height="55px"></asp:imagebutton></td>
<td width="72" valign="top"><img src="images/login_right.gif" width="72" height="56"></td>
</tr>
</table>
<table width="95%" border="0" align="center" cellpadding="0" cellspacing="0">
<tr align="center">
<td height="18">
<asp:requiredfieldvalidator ID="RequiredFieldValidator1" runat="server" ControlToValidate="txtHandsetNumber"
ErrorMessage="用户名必须输入" EnableClientScript="False"></asp:requiredfieldvalidator>
<asp:regularexpressionvalidator ID="RegularExpressionValidator3" runat="server" ControlToValidate="txtHandsetNumber"
ErrorMessage="32个字符以内的字母或者数字" ValidationExpression="\w{0,32}" EnableClientScript="False"></asp:regularexpressionvalidator>
<asp:requiredfieldvalidator ID="RequiredFieldValidator2" runat="server" ControlToValidate="txtPassword" ErrorMessage="密码必须输入"
EnableClientScript="False"></asp:requiredfieldvalidator>
<asp:regularexpressionvalidator id="RegularExpressionValidator1" runat="server" ControlToValidate="txtPassword"
ErrorMessage="32个字符以内的字母或者数字，允许包含下列特殊字符!@#$%^&*()" ValidationExpression="([a-zA-Z0-9_!@#$%^&*()]){4,16}"
EnableClientScript="False"></asp:regularexpressionvalidator>
<asp:label ID="txtResult" runat="server"></asp:label></td>
</tr>
</table>
</td>
<td><img src="images/default_table_right.gif" width="80" height="257"></td>
</tr>
<tr>
<td colspan="3"><img src="images/default_table_bottom.gif" width="666" height="69"></td>
</tr>
<tr align="center">
<td colspan="3">地址：深圳科技园南区科技南十路深圳国际技术创新研究院A座二楼电话：0755－26727778
<br>
传真：0755-26727199 邮编：518057 服务邮箱： srv@openet.com.cn</td>
</tr>
</table>
<asp:textbox ID="TextBoxflag" runat="server" Width="104px" Visible="False"></asp:textbox></td>
</tr>
</table>
</form>
</body>
</HTML>

复制代码

TOP

大目

落伍者-千帖级

Rank: 2

帖子: 2448
积分: 2295
贡献: 0
鲜花: 0
臭蛋: 0
在线时间: 3070 小时
注册时间: 2005-7-9

板凳

发表于 2006-12-22 11:52 | 只看该作者

加入全国站长圈！站长QQ登记! 落伍中介

东莞也是

785小游戏

TOP

oopul

落伍者-千帖级

Rank: 2

帖子: 2097
积分: 1984
贡献: 315
鲜花: 0
臭蛋: 0
来自: 地球
在线时间: 1695 小时
注册时间: 2005-1-25

地板

发表于 2006-12-22 11:55 | 只看该作者

　最近几天，我一打开浏览器(IE/Maxthon都是)，输入任何网站，就不断提示“禁止了一个弹出窗口”，机器差点都会给整死。感觉不对径，马上查看页面源代码，发现都被篡改为一下HTML内容：
　　
　　--代码开始----------------------
　　<HTML><script language="JavaScript">
　　function newwin()
　　{var urlname;var win_attr;win_attr='toolbar=no,menubar=no,scrollbars=no,status=no,location=no,resizable=no,fullscreen=no,directories=no,width=1,height=1,top=5000,left=5000 ';window.open('http://59.42.71.245:9123/Blank.aspx?param=ABdXNlcm5hbWU9Z3pEU0wzNzY2MTI1M0AxNjMuZ2QmcG9saWN5aWQ9MTIx','ips_win0',win_attr);
　　}
　　</script>
　　<head><title></title><META HTTP-EQUIV="Pragma" CONTENT="no-cache"><META http-equiv="Content-Type" content="text/html;charset=gb2312"><meta http-equiv="Refresh" content="0; url=http://www.maxthon.com/"></head><body onload='newwin()'> </body></html>
　　--代码结束----------------------
　　
　　
　　注意点：
　　１、访问任何网站，都马上被改为以上脚本！
　　２、“body onload='newwin()'”这个动作，它是要打开一个没有任何样式、而且位置不可能显示的窗口（目的就是要隐藏！）；
　　３、该窗口都无一例外地指向“http://59.42.71.245:9123/Blank.a ... 2QmcG9saWN5aWQ9MTIx”；
　　
　　终于明白为什么了。马上用纯真IP数据库查询地址“59.42.71.245”，结果是“地址：广东省广x市 CZ88.NET”，也就是广x市。
　　
　　马上上网搜索，因为这个东西的存在，所以我安装了FireFox，它能勉强地允许我浏览网站。到google和baidu搜索“59.42.71.245:9123/Blank.aspx”，果然，中招的人很多！矛头都指向广x电信的所谓“绿色上网”。
　　
　　本人是经验丰富的开发人员，有着超过4年的.NET开发经验，一看“Blank.aspx”，马上意识到这是用ASP.NET写的Web应用。马上用FireFox浏览“http://59.42.71.245:9123/Blank.aspx”，获得页面HTML源代码，如下：
　　
　　--代码开始----------------------
　　<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN" >
　　<HTML>
　　<HEAD>
　　<title>Blank</title>
　　<meta name="GENERATOR" Content="Microsoft Visual Studio .NET 7.1">
　　<meta name="CODE_LANGUAGE" Content="C#">
　　<meta name="vs_defaultClientScript" content="JavaScript">
　　<meta name="vs_targetSchema" content="http://schemas.microsoft.com/intellisense/ie5">
　　<META HTTP-EQUIV="Pragma" CONTENT="no-cache">
　　
　　<script language="JavaScript">
　　function closeit()
　　{
　　//setTimeout("self.close()",10) //毫秒
　　setTimeout("window.opener=null;window.close()",10);//十秒后关闭
　　}
　　</script>
　　</HEAD>
　　<body MS_POSITIONING="GridLayout" onload="javascript:closeit()">
　　<form name="Blank" method="post" action="Blank.aspx" id="Blank">
　　<input type="hidden" name="__VIEWSTATE" value="dDwtNjU0MzcyMTk1Ozs+jPunIYP0tyLmcNLWqLTPhdY8wNc=" />
　　
　　<FONT face="宋体"></FONT>
　　</form>
　　</body>
　　
　　</HTML>
　　--代码结束----------------------
　　
　　很明显，这是用C#写的。经验告诉我，可以访问“http://59.42.71.245:9123/”看看。果然，这个目录允许文件列表查看：
　　
　　--列表开始----------------------
　　59.42.71.245 - /bin/
　　
　　--------------------------------------------------------------------------------
　　
　　[To Parent Directory]
　　2005年6月20日 13:53 77824 CommonModule.dll
　　2005年6月28日 13:29 24576 localhost.dll
　　2005年6月28日 13:29 28160 localhost.pdb
　　2005年6月20日 13:53 28672 SDPSysUtility.dll
　　2005年6月20日 13:54 335872 UserAccessComponent.dll
　　--列表结束----------------------
　　
　　
　　OK，看见这些文件，我马上想到下载，很搞笑，竟然允许下载！把以下文件下载：
　　１、localhost.dll(就是blank.aspx所在的ASP.NET程序的主程序集)；
　　２、localhost.pdb(localhost.dll的调试库，没有用)；
　　３、CommonModule.dll(公用模块);
　　４、SDPSysUtility.dll(做安全和加密用的)；
　　５、UserAccessComponent.dll(这是关键！等一下大家看看广X电信的丑恶嘴脸！)；
　　
　　现在，有经验的.NET开发人员知道怎么做了吧？当然是请出Reflector(www.denisbauer.com/NETTools/)了！真是服了开发人员，很明显前端(ASP.NET)写代码的程序员水平不高，编码又不规范。。。呃，不要扯远了。最关键的是它们没有使用混淆，那我们的反编译就能达到目的了！在Reflector配合Reflector.FileDisassembler(http://www.denisbauer.com/NETTools/FileDisassembler.aspx)之下，我将这４个程序集大卸八块，把所有的源代码都反编译出来。
　　
　　先看localhost.dll的源代码：
　　１、C# 1.0写的，即VS2002；
　　２、WebForm1没有值得关注的代码；
　　３、重点在Global.cs：#41行，Application_Start(即整个应用启动的时候)，计时器启动－》#66行，TimerUp_Elapsed(计时器间隔)：在这里，我们看到它不断将你要访问的网站的信息写到temp\下面的新文件中，并且上传到FTP。
　　４、核心在ICS.IllegalUserAccess.ShareAccess.Blank中：
　　a).看命名空间(名字)，我们明白这是用以控制非法用户访问网站的程序，从ICS这３个字母，我猜是Internet Control System的缩写，也就是互联网控制系统。
　　b).在#34行Page_Load(Blank页面加载)，在对param(就是“ABdXNlcm5hbWU9Z3pEU0wzNzY2MTI1M0AxNjMuZ2QmcG9saWN5aWQ9MTIx”这个参数)几次运算之后，获取了你的机器外部IP(#67行)，并且将你的用户名、IP地址加密之后(#77行)，写到你本机的Cookie中(#85行)，为期10天(#86)，并且将这个Cookie信息写入服务器的文件中(刚才的第三步)。
　　
　　再看SDPSysUtility.dll的源代码：
　　１、这个代码主要是进行加密；
　　２、主要类是“SecretProcess.cs”，调用了TicketTool，使用了TripleDES加密算法；
　　３、其它OpTicket和OperAuthen都是对所谓的访问“令牌”和操作认证而实现的；
　　
　　再看CommonModule.dll的源代码：
　　１、这是公用模块；
　　２、使用了Oracle数据库；
　　３、会把用户密码发送到“openet@www.openet.com.cn”，查了一下“http://www.openet.com.cn/”这个网站，是“傲x信息技术（深圳）有限公司”，可以理解为：这个所谓的“绿色上网”的东西是这家公司开发的，至于为什么把密码发送到它们公司，呵呵，可能是这家公司操守有问题，留后门吧

　　
　　最后看UserAccessComponent.dll的源代码：
　　１、这是整个应用的最核心地方，里面的安全操作与Oracle数据库交互，让你大开眼界！
　　２、我最感兴趣的是:
　　a).“BlackList.cs”：黑名单；
　　b).“BlackListManage.cs”黑名单管理；
　　c).“BlackUserManage.cs”：黑用户管理；
　　d).“DefyUserManage.cs”：拒绝用户管理；
　　e).“DoubtUser.cs”：置疑用户；
　　f).“ExpiredUser.cs”：过期用户；
　　g).“WhiteList.cs”：白名单(竟然还有白名单！嘿，我才应该是一些zf网站吧！)；
　　h).“WhitePortManage.cs”：白端口管理(天！端口都控制了！)；
　　i).“WhiteUserManage.cs”：白用户管理；
　　３、因为这个东西实在大，我就不一一分析，有兴趣的看家可以自行研究。
　　
　　
　　说明：
　　１、以上对英文代码的中文注释或者说明皆为我自己的理解和翻译的，可能跟实际情况有差异；
　　２、这里对每个敏感名词都进行了忌讳处理，如有雷同，纯属巧合！
　　３、我们公司有另外一个同事跟我的遭遇一样，开始以为是在本地对IE安装了插件进行了篡改，但找遍了注册表和硬盘都没有踪迹，用了各种木马和杀毒软件也没有找到，但有另外几个同事却没有，实在想不通它是在哪里开始进行篡改的。

TOP

sogeek

落伍者-千帖级

Rank: 2

帖子: 2490
积分: 2612
贡献: 7
鲜花: 0
臭蛋: 0
来自: alexa排名
在线时间: 1302 小时
注册时间: 2002-4-19

5楼

发表于 2006-12-22 11:56 | 只看该作者

电信VERY 垃圾。

...

TOP

oopul

落伍者-千帖级

Rank: 2

帖子: 2097
积分: 1984
贡献: 315
鲜花: 0
臭蛋: 0
来自: 地球
在线时间: 1695 小时
注册时间: 2005-1-25

6楼

发表于 2006-12-22 12:02 | 只看该作者

顶起来

TOP

skyson

落伍者-百帖级

Rank: 1

帖子: 782
积分: 758
贡献: 0
鲜花: 0
臭蛋: 0
来自: 浙江
在线时间: 4112 小时
注册时间: 2005-1-20

7楼

发表于 2006-12-22 12:03 | 只看该作者

杭州电信也一样,有差不多的玩意

沈家门住宿
沈家门宾馆
五金机电评价

TOP

shenqin

落伍者-千帖级

Rank: 2

帖子: 1092
积分: 664
贡献: 7
鲜花: 2
臭蛋: 1
来自: 海宁
在线时间: 1065 小时
注册时间: 2005-7-26

8楼

发表于 2006-12-22 12:09 | 只看该作者

嘉兴电信也一样

皮草 b2c 热水器

TOP

oopul

落伍者-千帖级

Rank: 2

帖子: 2097
积分: 1984
贡献: 315
鲜花: 0
臭蛋: 0
来自: 地球
在线时间: 1695 小时
注册时间: 2005-1-25

9楼

发表于 2006-12-22 12:16 | 只看该作者

大家想到办法解决了吗？

TOP

oopul

落伍者-千帖级

Rank: 2

帖子: 2097
积分: 1984
贡献: 315
鲜花: 0
臭蛋: 0
来自: 地球
在线时间: 1695 小时
注册时间: 2005-1-25

10楼

发表于 2006-12-22 12:18 | 只看该作者

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
<HTML>
<HEAD>
<meta http-equiv="pragma" content="no-cache">
<meta http-equiv="cache-control" content="no-cache">
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
<meta http-equiv="expires" content="0">
<META http-equiv="Content-Style-Type" content="text/css">
<LINK href="theme/Master.css" rel="stylesheet"
type="text/css">
<SCRIPT src="js/Master.js"></SCRIPT>
<SCRIPT><!--
//var _o1 = window.open;
//_o1("http://welcome.gd.vnet.cn/","_blank","toolbar=no,location=no,directories=no,status=no,menubar=no,scrollbars=yes,resizable=yes,left=0,top=0");
__o2('http://welcome.gd.vnet.cn/','height=688, width=562,toolbar=no,location=no,directories=no,status=no,menubar=no,scrollbars=no,resizable=yes,left=0,top=0');
//
function _back(){
location=unescape("http://61.144.122.9");
window.clearTimeout();
}
window.setTimeout("_back();",500);
--></SCRIPT>
<TITLE>about:blank</TITLE>
</HEAD>
<BODY>
</BODY>
</HTML>

复制代码

[ 本帖最后由 oopul 于 2006-12-22 12:21 编辑 ]

TOP

精品VPS 999/年 - 紫田网络	千次搜索税后周付11元,比百度赚钱!	为你留住流量的电影CMS系统	强氧清仓(新志强SAS)! 硬件普及专家
外链交易,买链接,卖链接,阿里微微	美国1G空间99元/年免备案-海腾数据	九九数据酷睿E5200 100M独享1299￥	超稳定VPS 325元/季度代理5折
广告联盟+七年品牌=挚盟 wauee.com	做高收益游戏弹窗CPM! 找: 六度联盟!	1G美国空间20元, 特价服务器299元	3A网络 1G 99元,海外(KT)主机88元起
广东浙江电信SAS百独1400/月网通9折	服务器租用 398元/月海外.国内合租50元	做优化－买外链－首选新传播	十强ISP服务商,美国空间,主机稳定之选
搜狗官方新产品寻合作, 收入翻番	英拓网络四核至强5506*2仅需269元	吉卜力导航出售PR6789友情链接	8U提供1G+不限流量,国内外免费空间

[其它内容] 电信ADSL用户注意了

[其它内容] 电信ADSL用户注意了

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]