气愤！四川电信

上一篇 / 下一篇 2007-03-09 17:50:56

这几天进入网站经常看到原本正常的代码经常显示成了

可是以为是我网站被黑了，后来又发现进的网站也是经常有这种情况，而且有时候还要自动弹出窗口，于是我怀疑是自己的电脑有病毒了。下载了360安全卫士没发现什么不正常；通常不装杀毒软件的我又特别安装了卡巴，升级到最新，还是没发现什么不对；安装了正版的瑞星升级到最新，问题依旧；气愤中重装了系统，但问题还是依旧存在！！！

气死人了，抱着试试看的态度到各大搜索引擎搜搜看，没想到结果得到了答案：

这段时间电信用户站长们反映他们打开网页时老是弹出一个小窗口，自己的机器好好的，只要一打开网页就会弹出来，还有的站长反映只要连网就会每隔几十分钟弹出一次，对于像CS 爱好者来说这是一个巨大的打击，无法忍受，很多人怀疑是木马，用金山用瑞星用诺顿都杀一次，还是没有查出问题，最后非常无奈到网络上来求救。为了让大家少走很多冤枉路，我这里进行一次比较客观的说明，如果有不正确或不足的还请修正补充；

如果你网络经验比较多的话你可以从源文件中获取下面这段代码：

<HTML><scrīpt language="Javascrīpt">
function newwin()
{var urlname;var win_attr;win_attr='toolbar=no,menubar=no,scrollbars=no,status=no,location=no,resizable=no,fullscreen=no,directories=no,width=1,height=1,top=10000,left=10000 ';window.open('http://220.167.29.103:9123/ndatin.aspx?param=ABdXNlcm5hbWU9YWNjZXNzdGliZXR0b3VyJnBvbGljeWlkPTM=&ref=1','ips_win0',win_attr);
}
</scrīpt>
如果你够细心，你会发现你打开每个网页的时候都会刷新两次,比如你打开 http://www.anywolfs.com ，浏览器不会直接转到这个网址上来，而是转道一个http://220.167.29.103:9123?..... 后面跟一段非常长的参数，如果你查看源代码你会发现是这些代码：

<HTML><frameset border='0' frameSpacing='0' rows='0,100%' frameBorder='0'>
<frame id ='frm123' name='frm123' src='http://220.167.29.103:9123 /ndatin.aspx?param=ABdXNlcm5hbWU9MjIyMDAwOTBAcXphZHNsJnBvbGljeWlkPTIx&ref=1'><frame id ='frmOLD' name='frmOLD' src='http://www.anywolfs.com/?'></frameset></HTML>

之后才会从新跳转到http://www.anywolfs.com的主页上面来，为什么会有上面这段代码呢？细心的用户会发现，这段代码只出现在电信用户群中，网通和铁通用户都没有这些问题：

其实以上这段代码是用来验证和传递我们上网的一些信息的，它会将我们上网的一些记录传递给电信的这台服务器，目的是监视我们上网状况。

当然它本身不会对我们的使用造成多大的伤害，只是给人感觉好象自己的秘密被人窃听了，非常的不舒服。

我想看了我这片文章的站长们应该了解具体问题了，希望大家不要浪费时间去查杀它，我们只能无奈的被电信强奸，而且没有反抗余地

还有其他的ip是：219.133.33.37:7010
219.133.33.46
211.147.5.121
220.167.29.102:5001
220.167.29.103
61.153.48.121
219.133.33.37:7010
59.42.71.245
222.77.14.235:8787
59.42.71.245:9123
59.42.71.199

其他我就不列举了--------

关于IE弹出窗口指向地址：220.167.29.103的真相。悲哀。可怜的中国人民。以下转自http://bbs.newssc.org/dispbbs.asp?boardid=70&id=478603。

网上流氓软件声讨闹的沸沸扬扬，偶一向窃喜自己米有中标。在X年X月X日一个月黑风高的晚上。被XX同学看小说时不小心点了个对话框的YES后~~偶滴噩梦就来临了~~~3721、YAHOO、SOSO、SOGOU……天啊~~~~T。T~~看着满屏幕飞舞的广告页~~那个爽啊~~~没事还给你来个EXPLORER错误~看着偶都要吐血了~~ARCHEY在边上就2个字：重装。系统用了2年了都还米重装过~~用出感情了嘛~~所以坚决不重装~~（其实是偶很懒……）在经过2小时动工之后（比重装系统都废时。我怎么不重装啊~~~后悔ING）~~呼~~~整个世界终于清净了~~~窃喜~~~
　　可惜好景不长，还米到半个小时，偶亲爱的浏览器又拦截了个弹出页，TITLE=AD~~当时还以为是流氓软件没卸完又仔细搜查了一次~结果还是没有~~快疯了。突然想起看看弹出页的内容。结果看了后汗死我~~
　　“http://220.167.29.103:9123/ndatin.aspx?param=ABdXNlcm5hbWU9Y2Q4NDQ3MjM0MCZwb2xpY3lpZD0z&ref=1”
　　一看是IP地址开头的网址心里就觉得不妙了~肯定不是普通服务商的~~ABdXNlcm5hbWU9Y2Q4NDQ3MjM0MCZwb2xpY3lpZD0z加密页~再一看源码更汗……

<scrīpt language="javascrīpt">
window.opener='';
window.close();
</scrīpt>

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN" >
<HTML>
<HEAD>
<title>ad</title>
<meta name="GENERATOR" Content="Microsoft Visual Studio .NET 7.1">
<meta name="CODE_LANGUAGE" Content="C#">
<meta name="vs_defaultClientscrīpt" content="Javascrīpt">
<meta name="vs_targetSchema" content="http://schemas.microsoft.com/intellisense/ie5">
<META HTTP-EQUIV="Pragma" CONTENT="no-cache">
<scrīpt language="Javascrīpt">
function closeit()
{
setTimeout("window.opener=null;window.close()",10);
}
</scrīpt>
</HEAD>
<body MS_POSITIONING="GridLayout" onload="javascrīpt:closeit()">
<form name="ad" method="post" action="ndatin.aspx?param=ABdXNlcm5hbWU9Y2Q4NDQ3MjM0MCZwb2xpY3lpZD0z&ref=1" id="ad">
<input type="hidden" name="__VIEWSTATE" value="dDwtNjU0MzcyMTk1Ozs+wvgAJRNX/UMv+HvJKM5Bf/strRI=" />

<FONT face="宋体"></FONT>
</form>
</body>
</HTML>

再看一看IP WHOIS 让我很吃惊：

% [whois.apnic.net node-2]
% Whois data copyright terms http://www.apnic.net/db/dbcopyright.html

inetnum: 220.166.0.0 - 220.167.127.255
netname: CHINANET-SC
descr: CHINANET sichuan province network
descr: Data Communication Division
descr: China Telecom
country: CN
admin-c: CH93-AP
tech-c: XS16-AP
mnt-by: MAINT-CHINANET
mnt-lower: MAINT-CHINANET-SC
changed: hostmaster@ns.chinanet.cn.net 20021212
status: ALLOCATED NON-PORTABLE
source: APNIC

person: Chinanet Hostmaster
nic-hdl: CH93-AP
e-mail: anti-spam@ns.chinanet.cn.net
address: No.31 ,jingrong street,beijing
address: 100032
phone: +86-10-58501724
fax-no: +86-10-58501724
country: CN
changed: lqing@chinatelecom.com.cn 20051212
mnt-by: MAINT-CHINANET
source: APNIC

person: Xiaodong Shi
nic-hdl: XS16-AP
e-mail: ipadmin@my-public.sc.cninfo.net
address: No.72,Wen Miao Qian Str.
address: Data Communication Bureau Of Sichuan Province
address: Chengdu
address: PR China
phone: +86-28-6190785
fax-no: +86-28-6190641
country: CN
changed: ipadmin@my-public.sc.cninfo.net 20030317
mnt-by: MAINT-CHINANET-SC
source: APNIC

这个是四川电信的东东啊~在网上GOOGLE一下ndatin.aspx：

点击这儿打开新的窗口

看到有ndatin.aspx的基本都是说电信滴~~
HTTP劫持啊~~
愤怒ING~
然后打10000号
客服MM到是在说实话：这个是绿色上网工程，如果您不需要请到www.greensc.net取消~
我按指引去了后发现我根本没注册这个东西嘛。然后点取消时系统提示：您不是绿色上网工程的用户。
那为什么我还要弹这个出来啊。MM说：请问您怎么知道是电信的问题。我说我查IP WHOIS查到是北京注册的IP段。是属于四川电信的。那MM说了句让我崩溃的话：那不是我们四川电信做的。请您联系北京电信。我晕死~我是你们四川电信用户啊~~~！！！我说你劫持了我浏览器。她说：这个不是劫持，我们电信技术都能保证网络是安全的。。。我汗死~~~~挂电话~~~~~

IP进HOST黑名单~~只有通过这个手段来临时处理下了~~~~
连续过了4天都没什么动静~~觉得应该处理了~~~

然而，让我崩溃的东西又出现了~~~
早上打开电脑~发现又弹出了一个广告页~

点击这儿打开新的窗口

通过上个广告页的IP我终于发现了电信的罪证（原来死不承认有这样的东西，居然被合作商暴露出来）：

这个是四川电信和成都美迪亚哥有限公司开发的！

美迪亚哥有限公司位于成都市高新技术开发区,是一家从事虚拟运营领域技术开发、服务和通信领域发展的专业化公司，公司自成立以来,一贯秉承高度的社会责任感，以推动中国信息化建设为己任。公司致力于虚拟运营模式的开发建设和相关核心技术的研发与服务.公司倡导“务实、创新”的企业精神，发挥人才优势，顺应市场变化, 整合市场资源,积极拓展业务,乃行业内之快速发展企业。公司以“服务第一，人才为本”为市场营销和人才战略第一宗旨，在全国范围内支持着金融、地产、交通、电信等行业及政府部门各种领域的需要，并将以最快的响应速度满足用户的需求.

其中部分资料让我震惊：
NO1.

NO.2

这个已经不是流氓软件了。在用户不知情情况下搜集用户资料并分类！这个是违反网络安全法则的！这些行为是违反法律的！

大家一起来谴责这些非法的公司吧。我也不想说什么请政府或相关部门督导了。那就是放屁！

激情,进取的美迪亚哥欢迎您!
您可以通过以下途径和我们取得联系:
地址：成都高新区高朋大道12号
邮政编码：610041
电话：028—85177339 85120897
传真：028—85120913
邮箱: mediage@163.com

小周刚玩完流氓软件的无间道~
电信你呢？