京东的"内鬼级"劫持

[miyuki]

curl http://182.131.4.1 -H "Host: www.jd.com" -A "Mozilla/5.0 (Windows; x86_64) AppleWebKit/537.36 (KHT ML, like Gecko) Chrome/70.0.3538.80 Safari/537.36"

第一次返回

<!DOCTYPE html><html><head><meta name="referrer"content="never"></head><body>
<script>window.location.href="/*union 地址*/";</script>
</body></html>

再请求一次返回

<html>
<head><title>302 Found</title></head>
<body bgcolor="white">
<center><h1>302 Found</h1></center>
<hr><center>JDWS/2.0</center>
</body>
</html>

• 只在 http 会起作用
• 只识别 UA Windows
• 结合相关讨论可知覆盖范围为西南地区

任意地区(国内外)皆可复现

不排除这台节点的出口被人做了无差别劫持的可能

如果是公司故意覆盖其他推广，也会误杀少数正当京东联盟的广告主收入，而且只有这一台节点（只发现了这一个）可用，似乎说不过去。

抓包结果中恶意的 200 响应是抢答内容

tcpdump -i eth0 -n ne t 182.131.4.0/24
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
12:31:25.053674 IP ___MY_IP___.46396 > 182.131.4.1.80: Flags [S], seq 2750153281, win 29200, options [mss 1460,sackOK,TS val 1274758968 ecr 0,nop,wscale 7], length 0
12:31:25.098860 IP 182.131.4.1.80 > ___MY_IP___.46396: Flags [S.], seq 529135627, ack 2750153282, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 9], length 0
12:31:25.098894 IP ___MY_IP___.46396 > 182.131.4.1.80: Flags [.], ack 1, win 229, length 012:31:25.098994 IP ___MY_IP___.46396 > 182.131.4.1.80: Flags [P.], seq 1:167, ack 1, win 229, length 166: HTTP: GET / HTTP/1.1
12:31:25.144171 IP 182.131.4.1.80 > ___MY_IP___.46396: Flags [.], ack 167, win 31, length 0
12:31:25.144246 IP 182.131.4.1.80 > ___MY_IP___.46396: Flags [FP.], seq 1:326, ack 167, win 1026, length 325: HTTP: HTTP/1.1 200 OK
12:31:25.144263 IP 182.131.4.1.80 > ___MY_IP___.46396: Flags [P.], seq 1:389, ack 167, win 31, length 388: HTTP: HTTP/1.1 302 Moved Temporarily
12:31:25.144282 IP ___MY_IP___.46396 > 182.131.4.1.80: Flags [R], seq 2750153448, win 0, length 0

水落石出 #385 @JDSecOffical

感谢您的支持和关注，京东已监测到这一问题，发现该劫持在到达京东 CDN 节点前已发生，涉及到的相关第三方公司的行为严重违反了京东规定，京东已终止与其合作，并将对其违规行为进行严肃处理。

[luofan004]

吃瓜吃瓜，老铁们赶紧抢先更新公众号抢板凳哇

[huafang]

科技先生 表示关注

[freewind]

这返利的钱会加用到用户身上吗，比别人售价高一点？

[crystone]

年度系列？？

[nange151]

吃瓜

[cnbobolee]

用欧洲 IP 测试已经无法复现了，有人看到改了。

[pisser]

劫持这种东西被发现就躲猫猫，风头过后悄悄又搞起来，问你服不服。

[k8ser]

182.131.4.1 不明白你们各个几点测试这个 IP,山东联通 的 cdn 是 119.188.142.1 这个，我测试复现

[Hakka]

胆子这么肥，持续关注

[wangluwl]

已经修复了？没法复现了。

[green15]

@laoganbu 相当于打 98 折……

[cont]

吃瓜围观，被发现开始躲风头？

[DeepCold]

我说咋之前直接输入 jd.com 一直跳转
https://rtbs24.com/?target=https%3A%2F%2Fytthn.com%2Fclick-IQL4686A-HFDQCIIE%3Fbt%3D25%26tl%3D1__%26url%3Dhttps%3A%2F%2Funion-click.jd.com%2F
和
https://union-click.jd.com
这两个地址，逼得我没办法每次都直接输入 jd.com/index.html
现在我这里想访问 union 的地址都直接给我 302 到 jd.com 了

[server]

前排出售广告位

[issue]

@green15 对购买的人而言没打折，甚至不知情
钱是返利给了 利益相关的人

[hujihuihuhu]

@freewind 不会，对购买人而言毫无区别。其实包括淘宝，京东等各大电商网站都存在隐形的返佣。只是很多人利用信息的不对称，私吞了这部分返利。

[zizaiv2]

吃瓜

[suroi]

牛逼啊~

[cat9life]

#13 警告楼主是什么操作..

[jookr]

这就是所谓的吃了下家吃上家，够黑的啊。

[jookr]

@cat9life 解决不了问题,难道还不能把发现问题的人解决吗？是不是很有特色？::doge::

[lusheldon]

关注了一天了，想知道是不是利益相关的人发现威胁网友没有用，赶紧修复了

[lzsadam]

这个问题至少几年了
自己换过好几个 DNS 都不行，我一直以为是电信运营商劫持
同楼上某位同学，HTTPS 没事就没管了
这下终于。。。

[luofan004]

感觉大佬们被 被动褥羊毛很愤怒，我只能在角落里颤抖，哈哈

[1KN6sAqR0a57no6s]

所以有没有人算一下就双十一期间大概薅了多少。

[Seanfuck]

牛 B，这事上微博了

[xueshen]

我推测这是京东自己的，然后通过 CPS 来赚钱商家的钱，比如商家本来只需要给京东 5%费用，现在通过联盟这么一搞可能就是 8%了，还可以通过其他公司避税，又不影响整体销售额。

[EZG997]

Wy6RM7 岂不赚翻？

[CCNemo]

这账户每日入账滴多少呀

[miyuki]

@Seanfuck 求地址 :p

[keikeizhang]

## https://www.52pojie.cn/forum.php?mod=viewthread&tid=782828

[c090817]

持续关注，还是 mark 一下吧

[keikeizhang]

## https://www.llss.us/5969

[niceworld]

....终于是要破案了啊，以前我还投诉过，后来不了了之后发现 https 可破就没管了.....
随便安利下 https-everywhere 这个插件

[4everYang]

这种事除了不了了之 还能怎么地 🐶

[kingcc]

666

[66beta]

好刺激，看大佬破案

[Hconk]

能做到这个量级的劫持，手里应该有资源能让这事不了了之。

[ExcellentHzj]

一直发现有这问题。因为不影响使用就没排查过。关注一下。

[HangoX]

原来是真的有，一直以为是自己插件问题，但是又是随机的，不好复现，原来是直接访问就有

[zhangchioulin]

@keysona #278 同等 13 楼

[jimmyczm]

看戏看戏~~~

[Microi]

吃瓜看戏美滋滋。

[devsox]

mark

[leo7476040305]

腾讯云香港 阿里云美国 阿里云新加坡 Googlecloud 香港 搬瓦工香港全部复现！

[avrillavigne]

https://weibo.com/1419096542/H4qwdDT7R 微博没啥讨论

[FEDT]

@laoganbu 这个是怎么看到的

[eastlhu]

@DeepCold 对啊，我访问 jd.com 也是跳到这里，为啥，跟楼主的发现有关吗

[Samuel021]


[Peanut666]

@sobigfish 成都电信的确实一直有劫持京东，我也投诉到京东联盟过

[Peanut666]

四川电信一直有劫持各种购物网站，京东、淘宝、1 号店，从省级运营商到市级运营商的我都遇到过，只能说撑死胆大的

[shanigan]

@liuyanjun0826

"利益相关，京东员工，警告楼主不要造谣"

不是做公关的，公共场合代表你司发言要再三斟酌。公司不是你家的。

[FakeLeung]

我就贴一张图，坐标成都。

[PP]

@xueshen 不排除这种可能。

[xmlf]

@lijiawei 你这个是免费试用的吗？

[nicevar]

这么大的胃口，不是集体作案根本吃不下去

[0xcb]

这劫持太广了吧，要火

[zzth370]

mark

[dianxin]

吃瓜关注

[wyfyw]

感觉好像修复了，坐标美国

[zts1993]

围观 13 楼。 送你上去

[envylee]

@liuyanjun0826 MDZZ

[zomco]

13 楼下次发利益相关前先换马甲吧


[crack105]

13 楼你莫着急 莫慌

[yinanc]

懒得开命令行，用 dev tools 看了下，默认输入 jd.com 是进 https 的，首页直接是 200 没有 302，也不能地址栏改 HTTP 换到 HTTP，直接访问这个 ip 的话被跳到 127.0.0.1 了。

[yinanc]

所以一般方法根本访问不了 HTTP 页面吧，如果是这样的话，影响也不会很大吧？

[tsui]

@yinanc request 是由 load balancer 决定哪台 host 响应的，不用 curl 或者其他工具，你的 request 是由别的 host 响应的，自然无法复现。本来全文说的就是这一台 host 有问题。

[brblm]

@liuyanjun0826 我吃瓜的。想看热闹

[Orz]

新闻还没出来吗，好奇京东这一波怎么公关。

[senduy]

京东警告

[snakejia]

up up

[nneedd]

dalas 小鸡，302

[gimp]

真 · 利益相关，哈哈哈

大新闻后排围观

[puC4Vf0pPO2A6V4e]

京东最低价离发行价还差几毛，股票跌成这样，裁员 10%，哪有心情管这等小事，安心吃瓜

[youngster]

股价下跌还不是强东哥哥干的好事

[yxcoder]

不管，虽然看不太懂，占个坑

[udqg3v0ZL6h6sHu8]

都散了吧，我觉得大概率是小天搞的鬼。😜你在外头乱搞我在家里乱搞哼！

[Seanfuck]

@miyuki https://weibo.com/1419096542/H4qwdDT7R?type=comment#_rnd1543281259129

[csx163]

jd 能不能取消这种返利

[pryhub]

围观

[zengzizhao]

@liuyanjun0826 你的警告真是让人害怕啊，你真是比东哥还牛 B 啊

[linxy]

真的太狠了，这至少收入有几百万了吧。。。

[ruihe]

@zomco
@zengzizhao
@brblm
@crack105
@envylee
@shanigan

进他的知乎看了下，头像直接吓蒙我，真的是宝藏，呵呵，不知道怎么贴图，给各位贴个网址吧
https://www.zhihu.com/people/liuyanjun0826/answers

[allure1008]

关注中。。

[JDSecOffical]

感谢您的支持和关注，京东已监测到这一问题，发现该劫持在到达京东 CDN 节点前已发生，涉及到的相关第三方公司的行为严重违反了京东规定，京东已终止与其合作，并将对其违规行为进行严肃处理。

[rb6221]

@JDSecOffical #385 新号哇？看名字像官方的，是不是真的啊？

[PerFectTime]

不知道楼上是不是官方。果然还是 V2 的工单厉害

[18601294989]

@liuyanjun0826 请问你是怎么解决的呢 手动吃瓜

[tt67wq]

这是 Wy6RM7 是不是京东老板娘？

[miyuki]

@JDSecOffical

建议完善一下风控问题，从 google 记录来看 "Wy6RM7" 的最早记录是今年 8 月份（实际开始行为可能更早）

[heyesterday]

@xmlf #355 肯定不是呀

[ffffish]

@fffflyfish #132 哈哈哈哈 id 抱住

[sergio10]

13 楼活体

[bwael]

写稿去，赚点稿费😂

[lmfx89]

建议楼主保护好自己的隐私。

[ffffish]

新加坡无法复现 看来是修复了？

[run2]

京东联盟没发声 京东安全的微博没发声
ls 那个是假冒的官方，让大家偃旗息鼓的吧

[w274189159]

@sobigfish #397 微博里有京东客服回复里。内容是一样的 https://weibo.com/1419096542/H4qwdDT7R?type=comment#_rnd1543281259129

[run2]

@w274189159 #397 客服级别的回复我持怀疑态度， 因为这个 cps 账号有点久了，不是几个人投诉 不可能他们没注意到的
我 emai 到 [email protected] 6 月 14 日 回复说无异常，再发，19 日回复过说正在核实 就没有下文了

[vvv3r]

之前了解过 cps 广告这块，简单说下自己的理解。
1. cps 广告，一般为第三方推广商或联盟站长；
2. 跟京东的关系？从被劫持的域名来看（简单搜了下 https://www.google.com.hk/search?newwindow=1&safe=strict&ei=C7T8W5jLHYT4vgTBrrOYDA&q=site%3Aunion-click.jd.com+inurl%3Ajdc ）得知，域名为京东的广告推广链接，而后面的 d 参数对应的字段则是 cps 广告主在京东推广生成的（综合域名+参数+经验猜测）
3. 利益是什么？ cps 广告商一般会在流量大的厂商（如 BATJ ）注册去做广告推广，也就是做引流从而赚取佣金，佣金由流量大的厂商（如 BATJ ）根据流量来计算费用
4. 劫持是什么情况？个人经验看来：cps 广告在用户访问京东后将返回的响应包劫持替换成对应 cps 广告从而最大化的去赚佣金（这里也就是去赚佣金）
5. 385 楼的回复，猜测应该是 JD 内部已经查到 cps 对应的广告联盟是谁了
另外，劫持一般都不是个人作案，互联网圈里不少做广告流量推广的厂商联合地区运营商暗箱搞这种。比如在双 11、618 等大流量的点，劫持一下带来的佣金岂止百万...