Home Sign Up Sign In
Bryan0Z

移动宽带真是长出息了

  •   
  •   Bryan0Z · Jul 2, 2016 via Android · 7921 views
    This topic created in 3627 days ago, the information mentioned may be changed or developed.
    运营商往 http 插广告的事不新鲜了，现在各大网站都上了 https ，应该没这事了吧？我太天真了，今天连移动宽带打开淘宝，浏览器提示证书不可信，首页直接飘着一个悬浮窗… 我开始还以为见鬼了，连了 ss 访问正常才发现是移动的锅。

    你以为这就完了吗？

    刚刚重启路由器，再打开淘宝，跳到了这个网址，我明明有输 https 的啊…
    http://m.intl.taobao.com/?sprefer=sypc00
    图见这里:
    ![Screenshot_2016-07-02-23-42-16.png]( https://ooo.0o0.ooo/2016/07/02/5777e4a41687b.png)


    移动还做了两手准备？要么给你跳回 http ，要么给你个假证书
  • 移动
  • 宽带
  • 证书
  • 淘宝
    39 replies  •  2016-07-05 17:45:10 +08:00
    xmoiduts
        1
    xmoiduts  
       Jul 3, 2016 via Android
    长春教育网， uc 手机浏览器， http 正常， https 证书异常。

    这个淘宝国际站没有 https 。

    楼主一定是开着手机版 ss 上淘宝，被定向到了国际版。
    gywo
        2
    gywo  
       Jul 3, 2016
    移动此种行为已经涉嫌违法，要是大家的大大能注重这件事，把各大运营商的老虎抓几个判个终身监禁就好了。
    Bryan0Z
        3
    Bryan0Z  
    OP
       Jul 3, 2016 via Android
    @xmoiduts refer=sypc00 后面有这个后缀，看着像推广的，讲道理我 ss 关了呀，看到这个网址还反复打开了几遍淘宝
    millson
        4
    millson  
       Jul 3, 2016 via iPhone   ❤️ 1
    chrome 使用 https everywhere ，添加 www.jd.com ，结果 http https 循环重定向，设置公司电信宽带 ping 到的 ip 到 hosts ，可以正常 https 访问
    yexm0
        5
    yexm0  
       Jul 3, 2016 via Android
    对，先看下是不是网站的问题，不是的话可以工信部投诉了。
    DoraJDJ
        6
    DoraJDJ  
       Jul 3, 2016 via Android
    被运营商中间人了？
    Bryan0Z
        7
    Bryan0Z  
    OP
       Jul 3, 2016 via Android
    @gywo 这事儿真的去查，最后也是临时工背锅
    g5
        8
    g5  
       Jul 3, 2016 via Android
    山西移动死不承认这种事，连 1688.com 上面都飘着卖石油的广告
    Bryan0Z
        9
    Bryan0Z  
    OP
       Jul 3, 2016 via Android
    @DoraJDJ 我觉得是…

    @yexm0 投诉过，被电话烦的不行，一直说不是他们问题
    yexm0
        10
    yexm0  
       Jul 3, 2016 via Android
    @Bryan0Z 继续投诉啊，连 https 都敢乱来那以后就真没有一个安全的网络环境了。
    Bryan0Z
        11
    Bryan0Z  
    OP
       Jul 3, 2016 via Android
    @yexm0 上次换了四五个人，没一个知道 http 劫持是什么，最后好不容易给我换个技术，然后和我解释半天不是他们问题，最后都快哭了…一整天就耗在一大堆扯皮上，我估计那技术也是真无辜，移动那么多部门，其中一个部门搞得幺蛾子，其他部门怎么知道
    yeeyeung
        12
    yeeyeung  
       Jul 3, 2016
    江苏移动， https 不给连接，必须 http
    yexm0
        13
    yexm0  
       Jul 3, 2016 via Android
    @Bryan0Z 他们部门之间怎么扯皮我们不用管啊。作为客户，只需要一个结果就行了。另外你看看其他 https 页面有没有类似问题吧。特别是银行的。还有我也觉得奇怪，你怎么打开的是淘宝国际。。。
    Marfal
        14
    Marfal  
       Jul 3, 2016
    @gywo 太天真了，这种事一不敏感，二不重要，三是利益链上的人都会受益，谁会去管才怪了。
    gywo
        15
    gywo  
       Jul 3, 2016
    @Marfal 正因为这样，受害的才是 p 民，而且会一直持续下去，只有受害人自己在乎，但没有人管，然后慢慢就变得习以为常，运营商更加变本加厉
    xmoiduts
        16
    xmoiduts  
       Jul 3, 2016 via Android
    题主啊，你开的是 uc ， uc 有判定的，只要你触发了什么条件，比如 ss 到了外网，一段时间内都会是国际站。
    laoyur
        17
    laoyur  
       Jul 3, 2016   ❤️ 1
    @yeeyeung 有这么叼？哪个网站？为嘛我用的好好的
    Marfal
        18
    Marfal  
       Jul 3, 2016
    @gywo 我只是说他天真，权利这东西是要自己去争取的。
    BSD
        19
    BSD  
       Jul 3, 2016
    不是低估手机浏览器的毛病吧？我也用移动的， PC Chrome 访问 https 的淘宝，没这种现象。
    yeyeye
        20
    yeyeye  
       Jul 3, 2016
    HTTPS 协议是无法劫持的 唯一能做到无提醒跳转的 就是你的信任 CA 伪造了证书

    这种事情是可以做到 但是没有哪个 CA 会为了劫持用来放广告而作

    所以如果你确定 HTTPS 被劫持的话 把证书信息发出来 保证是全球性的大新闻

    但是更多的时候是 根本就不是劫持 不懂技术真可怕 胡乱猜测是不对的
    dixyes
        21
    dixyes  
       Jul 3, 2016 via Android
    求给出这个签假证书的 ca 我们先禁了再说
    dixyes
        22
    dixyes  
       Jul 3, 2016 via Android
    能理解 intl 这很没问题 但是 refer 就有点奇怪了 如果是 https 中间人的话务必提供证书信息
    rockpk008
        23
    rockpk008  
       Jul 3, 2016 via iPhone
    要不要换一家宽带试试？
    bugeye
        24
    bugeye  
       Jul 3, 2016
    我试了一下，淘宝海外站应该没配制 https 。只要用 https 访问，就会出证书安全问题，你点查看证书，是不是说证书名称不区配，而不是“证书由非信任机构发出”这样的错误。

    “首页直接飘着一个悬浮窗”。。。
    那个是不是让你下载 APP 的窗，是的话也是正常的。

    “连了 ss 访问正常才发现是移动的锅。。。”
    如果你第一次选了继续，很多 browser 就不会再提示安全证书问题，你得手工确定关闭 browser 才会再次提示。你可以再次访问你那个网址，看看第二次会不会出。

    http://m.intl.taobao.com/?sprefer=sypc00
    sypc00 也确实不太像劫持用的值，一般不会这么简单吧。
    Bryan0Z
        25
    Bryan0Z  
    OP
       Jul 3, 2016 via Android
    @yeeyeung 同江苏移动

    @xmoiduts 试了一下，各种 ss 都连了一遍，并没有跳到海外站
    https://ooo.0o0.ooo/2016/07/03/5778b4809ed6c.png
    shyling
        26
    shyling  
       Jul 3, 2016 via iPad
    发个证书详情吧
    Bryan0Z
        27
    Bryan0Z  
    OP
       Jul 3, 2016 via Android
    @shyling 当时用的手机，查看不了证书
    vimffs
        28
    vimffs  
       Jul 3, 2016 via Android
    为什么不考虑是你的手机软件问题?浏览器，操作系统。。。
    shyling
        29
    shyling  
       Jul 3, 2016 via iPad
    @Bryan0Z uc 好像可以的
    fromdaytonight
        30
    fromdaytonight  
       Jul 3, 2016 via Android
    intl 域下就是淘宝国际，是你用了 SS 后。
    不玩游戏的话最好把 UDP 转发关闭，否则你的 DNS 解析也会被转发到 SS 服务器上，导致你淘宝只能上国际版，微博图片会从国外取，速度比直连慢多了。
    曾经在山东移动蜂窝数据下访问某 https 站点(同样手工输入)，提示证书有问题。
    看了 V2 上的帖子，目测是 CDN 回源链路被劫持，导致引用的某些页面资源被注入了恶意代码。
    https://www.v2ex.com/t/272022
    yuhaaitao
        31
    yuhaaitao  
       Jul 3, 2016 via Android
    京东也是自动跳转到 http
    rust
        32
    rust  
       Jul 3, 2016
    @yeeyeung 同江苏移动,一切正常
    Bryan0Z
        33
    Bryan0Z  
    OP
       Jul 3, 2016 via Android
    @vimffs 操作系统安卓 4.4.2 ，没有 root
    浏览器 uc ，阿里再流氓也不至于坑自己

    @shyling 咦？怎么做，搜了一下没找到相关说明
    shyling
        34
    shyling  
       Jul 3, 2016 via Android
    @Bryan0Z 工具箱，网页信息，证书信息，查看
    bugeye
        35
    bugeye  
       Jul 4, 2016
    @Bryan0Z 不是说谁会坑你。。。

    我在 24 楼的贴子已经说了，淘宝国际站没有配制 https ，任何用 https 访问该网站都会提示证书问题(而你提供的截图恰恰是淘宝国际），这是正常现像。我也可以理解你之前被移动 http 劫持伤害过，一旦出问题自然会觉得这一次又被移动害了，这也是人之常情。但从你所有的描述看，很可能是因为你误用 https 进了淘宝国际站造成的误会。

    有个很简单的测试方法，你在浏览器输入 https://www.163.com ，一样会出现安全证书有问题的警告。这并不是有人做 https 中间人攻击，仅仅是这个网站没有配制 https ，但却开放了 443 端口。

    至于为什么你会进入淘宝国际战，这可能是因为你的 DNS 解析的问题，也可能是淘宝用了基于 IP 分析位置的技术，但移动的 IP 淘宝经常识别错，把你当成在国外也很正常。
    ucun
        36
    ucun  
       Jul 4, 2016
    @bugeye https://www.163.com 为什么查看证书是 12306 的?
    LGA1150
        37
    LGA1150  
       Jul 4, 2016
    @ucun 163 用了网宿的 CDN ，网宿 CDN （网页）默认安装 12306 证书
    Akamai 也类似
    bugeye
        38
    bugeye  
       Jul 4, 2016
    @ucun 没配制，所以显示的是访问到的 CDN 的证书。我这边看到的是 fastwebcdn 。至于 12306.。。铁道部？我不清楚，可能原因是楼上那兄弟说的。
    imiin
        39
    imiin  
       Jul 5, 2016
    发现 jd 过了 618 就可以 https, 618 期间强制 http
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Solana   ·   1807 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 65ms · UTC 16:13 · PVG 00:13 · LAX 09:13 · JFK 12:13
    ♥ Do have faith in what you're doing.