阅读更多

13顶
0踩

非技术
从昨天中午(7曰5日)开始,很多JavaEye用户可能都发现了JavaEye网站出现了间歇性无法访问,或者页面出现乱码的问题,还有用户报告所谓的JavaEye网站被挂木马的报告,我们感觉非常有必要向用户及时解释事情的真相和来龙去脉。

要搞清楚这究竟是怎么回事,我们先要了解什么叫做“ARP欺骗”。

ARP是路由器维护的一个服务器网卡IP地址和网卡Mac地址的对照表,根据这个ARP对照表,路由器才能决定将外网请求过来的数据发给网段内的哪台服务器。但是ARP往往并不是路由器静态写死的(如果静态写死,那路由器管理员会累死),而是由服务器自己不停的把自己的ARP数据发送给路由器,通知路由器更新ARP对照表。因此ARP对照表的正确与否往往取决于服务器的自觉性。

说到这里大家就可以明白了,ARP机制有非常大的漏洞!如果有台叫做Fake的服务器心怀不轨,他想攻击JavaEye服务器,他就可以疯狂的向路由器发送更新ARP的通知,不停的告诉路由器,我才是JavaEye,我才是JavaEye,由于他发送欺骗性ARP数据包频率非常高,在路由器刷新ARP对照表的瞬间,他抢在JavaEye服务器之前通知了路由器,那么他就得逞了。

从这个时候开始,凡是用户访问JavaEye的请求,路由器都会错误的发给fake服务器,而fake服务器会把请求路由给真正的JavaEye服务器,然后再添加上早已准备好的木马js,于是用户的浏览器接收到的网页就被挂马了!

这仅仅是一个最简单的ARP欺骗,实际的ARP攻击手段多种多样,但是最基本的解决ARP攻击的手段需要路由器具有足够好的安全性,正确的识别和拒绝异常的ARP数据欺骗包。但遗憾的是中国的IDC机房的网络安全性,中国IDC网管的技术水平都是惨不忍睹的!截止目前,中国IDC机房的网管们对付ARP欺骗的唯一手段还仅仅只是在出现问题的时候,一个IP一个IP的拔网线的方式去排查fake服务器。

然而这还不是最糟糕的情况,最糟糕的情况是这个网段并不是属于某个服务器托管商的,而是分配给好几个不同的托管商。这些托管商都没有权限去登录整个网段的路由器。于是在v01托管商机柜里面的JavaEye服务器被fake服务器冒名顶替之后,v01托管商根本找不出来fake究竟在哪里,因为他没有权限去拔别人机柜的网线寻找fake服务器,他只能判断出来fake不在自己的机柜之内,要求别的托管商去自查。

这里就引出了第二个问题?为什么cracker对JavaEye的服务器这么敢兴趣?因为JavaEye服务器流量大用户多,可以最大化达到它控制木马的目的。

试想你是一个卑鄙龌龊的人,你想控制尽可能多的桌面电脑,盗窃他们的帐号、密码和其他有价值的数据,那么你必须想办法给他们的桌面安装木马。要做到这一点,你就必须挑选一个访问量庞大用户多的网站挂马,这样用户访问这个网站的时候就会被下木马,否则你等于白费功夫。所以当JavaEye服务器所在的网段地址之内出现了某台存在安全缺陷的Windows服务器,这台Windows服务器就成了cracker的肉鸡了。

当然cracker并不是和JavaEye有宿怨,但是当它一旦控制了一台肉鸡,它想最大化的发挥肉鸡的作用,就肯定要逐个调查该网段的每台服务器,看看究竟哪台服务器流量大,那台流量最大的服务器就是它理想的冒名顶替的对象了。

这就是JavaEye服务器目前面临的问题!

首先这个问题并不是JavaEye服务器本身的问题,而是服务器所在的网段的网关被ARP攻击欺骗了,因此JavaEye服务器本身无论做什么工作都不解决问题。(当然JavaEye如果自己发起ARP攻击是可以自卫的,但是也有很大的风险被弱智的管理员发现以后拔掉网线,所以这种以cracker对cracker的手段不解决根本的问题)

其次这个问题的解决依赖于路由器的安全性和网管们的技术素养,不过可叹的是,中国网络技术水平之低劣是令人发指的!以我这种对网络技术外行的人都可以去指点他们怎么做,你就不要对他们能够解决问题报任何希望。

更令人可耻的是他们的职业道德水平问题,当晚上再次出现ARP攻击的时候,该托管商技术人员说下班了已经回家,明天上班以后再给你解决!

经过和服务器托管商的多次协商,我们将采取如下解决方案:JavaEye网站的服务器将于7月7日)点左右,切换到另外一个比较安全的网段之内,避开这个已经被ARP攻击控制的网关。

由于切换服务器IP导致的DNS域名失效,特别是由于NS记录需要修改和刷新,JavaEye网站将从今天下午(7月7日)5点左右开始无法访问,NS记录的刷新需要至少24小时时间,因此DNS的完全刷新大概需要24-48小时时间。预计从周四上午开始完全恢复JavaEye网站的访问。
13
0
评论 共 3 条 请登录后发表评论
3 楼 wumingjiayuan 2009-08-31 15:31
咱不是学网络的,但是发现现在局域网ARP攻击太普及了
学校上网ARP不停攻击,校区上网不停的ARP攻击
不晓得是怎么搞的
2 楼 snowhui 2009-08-31 14:49
嗯,还请大家多多注意吧!我以前的网站就中过招!
1 楼 fyting 2009-07-08 22:54
我说呢,前天晚上怎么突然访问不了了,还以为出啥事被墙了...还在饭否上问了一下……不过现在突然发现,饭否又访问不了了……

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • project-place:欢迎来到这个项目!

    项目地点欢迎来到这个项目!什么是项目地点? 项目地点是Roblox游戏,许多开发人员共同努力,以创造最佳的Roblox游戏体验。我该如何玩游戏? 您可以在玩游戏但请记住,暂时不会完成游戏。谁在该项目上工作? 团队在...

  • 用网站怎么赚钱?具体点!聊聊用网站赚钱的方法

    3、程序:根据你要做的网站选择不同的程序,做博客的选择wordpress和zblog,做商城的可以选择eshop,做论坛的选择discuz。SEO是搜索引擎的优化,是针对搜索引擎算法理解对网站做出相应的变化,但这个世界上没有任何...

  • 更新完简历,只有外包公司来找我?什么情况!!!

    你是否有过这么一段经历,一直做着OA,CRM管理系统等传统项目,简历技能开头第一行,基本都是“Java基础扎实”,然后下面接着就是熟悉XXX。然后不断列名词,举例一下:Java基础扎实熟...

  • 伪造【项目经验】?小心被拆穿!

    原文:https://www.cnblogs.com/JavaArchitect/p/10062015.html如何看穿 面试者 伪装的【项目经验】?这篇文章在博客园看到的,作者 hsm...

  • 真实项目?警惕人工智能培训机构陷阱!!!

    当你去咨询培训机构,问他们是否有真实项目的时候,此时他们的销售人员(即对人工智能一无所知,只会给你画大饼谈理想的人)会告诉你:有的,我们都是真实项目。 然而,难儿。。。一个专注做培训并以盈利为主要目的...

  • 群晖web文件服务器docker,用群晖玩游戏?没错!快使用Docker自建一个web版的dos游戏库!...

    DOS游戏网页版项目:https://github.com/rwv/chinese-dos-games官方体验地址:https://dos.zczc.cz/目前发现一个问题,...如果遇到这种情况不能进入游戏,可以关闭下载软件监控后,按ctrl+F5 强制刷新网页即可!该...

  • 当前网络真的连上网了么?!更真实的判断是否是离线网络的库.zip

    当前网络真的连上网了么?!更真实的判断是否是离线网络的库。.zip,We need to observe the REAL reachability of network. That's what RealReachability do.

  • 单片机工程师是程序员吗?真实的月薪到底有多少?

    做测试的时候大概是5K多, 做单片机软件开发之后,半年工资涨到9K,再加上项目奖金超过了10K, 工作一年之后,工资涨到了13K。 再过了两年,我离开公司的时候他的工资涨到了20K,加上绩效和奖金,年收入大概在25-27W...

  • 抖音小游戏直播项目怎么做?不想真人出镜也可以直播吗?详解项目流程

    可以说是基本上人人都会玩,没有什么特别高的技术含量。 但是这个游戏的流量其实是不少的。首先就是因为大家都玩过,所以很多人看到了,并不会直接划走,而是会看一会。这个项目的操作方式也和其他的抖音项目不太...

  • 简历上的项目经历怎么写 ?这 3 条原则不可忽视 !

    阅读本文大概需要 5 分钟。 作者:黄小斜 ...作为一个程序员,想必大家曾经都做过一些项目,可能现在手头上也还有...其实不然,就算你是跟着一些课程做项目,你也可以通过丰富项目内容的方法把项目变成自己的...

  • Java后端真实面试题大全(有详细答案)--高频/真题

    本文分享Java后端真实高频面试题,有详细答案,保你稳过面试。题目包括:Java基础、多线程、JVM、数据库、Redis、Shiro、Spring、SpringBoot、MyBatis、MQ、ELK、SpringCloud、设计模式等。 本博客包含从简单到困难...

  • 什么是项目管理43210法?

    大企业如何做项目管理(一)? 1、 什么是项目 1)定义:项目是为创造独特的产品、服务或成果而进行的临时性工作(PMI®)。 2)特征:独特性、临时性 2、 IT公司的7大项目:营销、销售、研发、交付、基建、变革及...

  • 同学,你这简历上没项目啊!

    作者:朱小五大家好,我是小五同学,刚毕业或者转行去求职数据分析师的时候,你遭遇过这样的尴尬怪圈吗?比方说下面的jd就很真实:今天小五就跟大家聊聊,面试数据分析师时,如何彻底摆脱拿着单薄的...

  • 公司真实项目源码(java)

    这个是以前我们公司的项目 。只要布置到服务器,再把数据库导入就可以运行了。 共大家学习

  • 可以写进简历的软件测试电商项目,不进来get一下?

    说实话,在找项目的过程中,我下载过(甚至付费下载过)N多个项目、联系过很多项目的作者,但是绝大部分项目,在我看来,并不适合你拿来练习,它们或多或少都存在着“问题”,比如: 很少有统一的、能涵盖多端使用的...

  • 如何应对项目需求变更?

    当客户提出需求变更时,作为项目经理,首先要判断信息的正确性,了解客户的真实意图。 客户说了什么?为什么这么说?他的真实想法是什么?第二步,书面申请 原则上,谁提需求,谁申请。 申请书上要清晰描述需求变更...

  • 80个java开发项目经验.pdf

    80个java开发项目经验,适合应届生

  • 软件测试简历项目经验怎么写,没有项目经验?

    怎么办?只能接受低薪工作吗?No No No。本文就教大家如何解决这个问题。...没有项目经验可以通过找一些公开项目来练手。那么从哪里找呢? 1、可以在Github中搜索一些开源的项目 2...

  • 谁说程序员不浪漫?!

    后记:本文来自黄小游的投稿,我把文章改成了漫画,我偷个懒,把这篇文章的原文开头放到这里,凑足300字,点击阅读原文就可以查看完整版:前些天,他发过来两篇码农翻身公号投稿的文章,说,你也...

  • YOLO算法-城市电杆数据集-496张图像带标签-电杆.zip

    YOLO系列算法目标检测数据集,包含标签,可以直接训练模型和验证测试,数据集已经划分好,包含数据集配置文件data.yaml,适用yolov5,yolov8,yolov9,yolov7,yolov10,yolo11算法; 包含两种标签格:yolo格式(txt文件)和voc格式(xml文件),分别保存在两个文件夹中,文件名末尾是部分类别名称; yolo格式:<class> <x_center> <y_center> <width> <height>, 其中: <class> 是目标的类别索引(从0开始)。 <x_center> 和 <y_center> 是目标框中心点的x和y坐标,这些坐标是相对于图像宽度和高度的比例值,范围在0到1之间。 <width> 和 <height> 是目标框的宽度和高度,也是相对于图像宽度和高度的比例值; 【注】可以下拉页面,在资源详情处查看标签具体内容;

Global site tag (gtag.js) - Google Analytics