有没有人被自动跳转到 wpkg.org？

[KexyBiscuit]

某页游代理出现此情况，我自己的代理也有这个情况。
据说和 facebook.net 有关系，但是我也没有搞明白哪里出的问题。
出现问题的几个网站（中国大陆以外访问）：
https://microsoftstore.com/
http://dmm.com/

附上某页游代理提供的解决方案：hosts
127.0.0.1 facebook.net
127.0.0.1 wpkg.org

看来是这样了，中国大陆某些 DNS 又开始排污，岛风 Go 和我的 SS 都没有转发 DNS，于是就脏了。

[zhaohaozeng]

应该是防火墙的锅

[cmxz]

同样遇到了
请求http://connect.facebook.net/en_US/fbds.js 时会301跳到http://wpkg.org/my.js

[KexyBiscuit]

@zhaohaozeng 不是，SS 出去也一样。

[Laforet]

DNS的问题吧，这个域名正常情况下应该解析到Akamai的CDN上，部分省市解析到wpkg的这两个德国IP上

46.4.130.2
144.76.67.84

某软件因为各种js出问题不是一次了，让你们家背锅的那位不要那么懒，开个远端DNS或者默认屏蔽那些跨站脚本就行了，不影响使用的。

[laiyingdong]

我用香港ss访问appledaily时也跳转了这个网站，不过服务器不是自己的。没办法了

[kiritoalex]

@Laforet 岛风go吗？

[KexyBiscuit]

@kiritoalex 嗯是的

[kiritoalex]

@KexyBiscuit lol

[Laforet]

@kiritoalex 然也。这软件之前就有过因为跨站脚本载入失常导致部分本站网页元素失效的问题。经我验证屏蔽dmm域名和游戏前端之外的所有脚本不影响登陆和游戏，不知道为什么某专业背锅不能这样做。

[KexyBiscuit]

@Laforet 他们还开放了一些“正经又重要”的网站的访问，可能原因在此。

[kiritoalex]

@Laforet 你们认识真神吗？给他发一个邮件吧。。。。。。。。

[kiritoalex]

@Laforet 跨站脚本那个太烦人了，现在都还有这个问题。简直是烦死。要不是防猫我不会用的。。

[dofine]

原来如此。。我说怎么这会翻出不出去了。。提示证书错误

[Laforet]

@kiritoalex 这个靠自己吧，noscript和ghostery都是很好的东西。之前我也不怎么注意这方面的问题，上次大规模脚本劫持之后现在非常小心。

[kiritoalex]

@Laforet 是这样的

[yingluck]

遇到了 还没搞清楚是怎么回事 原来以为时运营商打广告

[Shennong]

我说呢，我还以为DNS 被劫持了呢

[Laforet]

暂时收回自己之前的说法，有报告称http://connect.facebook.net/ja_JP/sdk.js被替换成了http://wpkg.org/my.js，这样更符合莫名其妙跳转的症状。墙内的同学能不能帮忙Get一下或者connect.facebook.net/ja_JP/sdk.js看看返回的请求是否正常？

希望这不是新一轮脚本劫持的序幕。

[Xuanwo]

我在uBlock里面添加了facebook.net，就搞定了= =。
顺便问下，这次是谁的锅？

[jb]

@Laforet 表示墙内直接连，返回的是ERR_NAME_NOT_RESOLVED
DNS根本就被污染了嘛！不过换google的DNS却是可以正常撸出来的。
[环境：天津，教育网，今天校园网DNS被放倒除了内网外全部无法解析，chrome浏览器，用DNS114被污染无法解析，8.8.8.8正常]

[0x17e]

这个问题也遇到了

[jacob]

怎么解决啊

[Oi0Ydz26h9NkGCIz]

@jb
@Xuanwo
@Laforet
@Laforet
@cmxz 我怎么打开wpkg.org是“Google Chrome”到 wpkg.org 的连接尝试遭到拒绝。原因可能是该网站已崩溃，也可能是您的网络配置不正确“
ping wpkg.org返回的是127.0.0.1

[zxteloiv]

装 NoScript 扩展后已经能正常访问不会被重定向了

[tinkerer]

我今天访问 .pk 域名也出这情况了， 目前暂时 dns 查询添加 anyconnect 路由 + bind 缓存正常用。

[adamwang]

在求解决方案 = =#

[KexyBiscuit]

@adamwang
@jacob
主题帖就给出 hosts 了 - -+再发一次更新版

127.0.0.1 facebook.net
127.0.0.1 connect.facebook.net
127.0.0.1 wpkg.org

[adamwang]

之前试了一下没好使= = #，现在可以了。Thx~

[jianghu52]

大连 网通 直连 wpkg.org 正常。

[Oi0Ydz26h9NkGCIz]

微博上炸开锅了。

[mingyuan2011]

今天去下载 xmind客户端，也被redirect到了 wpkg.org

[Laforet]

大概明白是怎么回事了。wpkg的两个IP上的Nginx配置有点问题，如果用IP访问并请求任何.js的话会自动返回HTTP 301并跳转到http://wpkg.org/my.js，然后这个脚本会导致跳转。我已经发邮件给wpkg的两位管理员，希望可以尽快得到解决。

[bobopu]

@Laforet 这么大的流量冲击他们能不知道么。需要知道这个wpkg到底是什么背景。

[shangyingao]

今天我打开自己的博客(iyin.me)也跳转到 wpkg.org
这是WordPress的问题还是域名的问题呢？

[laoyuan]

我刚刚也碰到了，IMDB的首页

[laoyuan]

http://www.imdb.com/

[microka]

@laiyingdong 我也是ss访问appledaily出现这个情况，昨晚和今早都用得好好的。

[Laforet]

@bobopu 这是个软件分发的开源项目，我觉得是他们服务器配置有漏洞，被人利用了。欧洲现在是半夜，过几个小时应该就会有答复。

[zyc92118]

刚刚遇到，开了一下VPN，然后几乎所有的日文攻略WIKI站都自动跳转wpkg.org............

[hahastudio]

https://www.reddit.com/r/technology/comments/33xc0u/wpkgorg_currently_undergoing_possible_attack_from/

[bobopu]

@Laforet 已用OneDNS解决。另，这个问题似乎是从昨天中午就开始出现了，这都过去十几个小时了，他们应该知道了吧。我也是佩服这家的服务器，这么大流量居然没倒，看起来又不想是cloudflare的用户，竟自己能独抗如此巨量大炮不倒，神奇。

[nlzy]

我用墙外的2台VPS wget http://connect.facebook.net/ja_JP/sdk.js ，均返回正常
直连http://connect.facebook.net/ja_JP/sdk.js返回301，跳转至wpkg.org/my.js
挂ss返回正常
host修改为23.207.52.153 connect.facebook.net，返回正常
PS：23.207.52.153这个IP是墙外VPS ping返回的

[bobopu]

@Laforet
@nlzy 看solidot上的消息，大炮又修改了规则，打到另一个网站了，具体是哪个知道吗？http://www.solidot.org/story?sid=43854

[hezhile]

很多海淘相关的网站，也被劫持到这个wpkg.org的域名。
http://www.newsmth.net/nForum/article/HaiTao/141942?s=141942

[infinte]

我从国内和国外测试

curl http://connect.facebook.net/en-US/sdk.js -v --resolve 'connect.facebook.net:80:148.251.0.55'

使用 resolve 参数强制访问国内解析出的地址结果也是跳转，而测试

curl http://connect.facebook.net/en-US/sdk.js/www.v2ex.com -v --resolve 'connect.facebook.net:80:148.251.0.55'

在国内有遇到 RST，国外没，说明此服务器在国外。两条测试可以断定这不是会话劫持，solidot 的描述是错的。

我怀疑最大的可能性是对 connect.facebook.net 的 dns 污染刚巧碰到了这几个 ip……

[Laforet]

@bobopu 可能是挂在同一个IP上的http://www.ptraveler.com/，同一台服务器，自然症状是一样的。

solidot这里的说法也有问题，用DNS劫持XSS，只能靠远端DNS防污染，加密没什么意义。

[bobopu]

@Laforet 试了一下，的确现在又转到了http://www.ptraveler.com/pt.js
@infinte

[ScotGu]

who.is 就跳转到这货上。
我还纳闷是WPKG 收购了呢。

[infinte]

@bobopu 我怀疑不是有人故意劫持，只是 dns 污染的 ip 池刚好圈住了那几个 ip 罢了

[bobopu]

@infinte 发现有几个介绍如何用hosts绕过跳转的帖子都主动删帖了，这也太。。

[infinte]

@bobopu dig 出来的结果 ttl 都几十万……

[xiaopenyou]

同遇到，换成阿里dns就恢复了

[lugeek]

好神奇…

[armysheng]

改了hosts，清了cookie ，chrome也重启了怎么还是有问题

[armysheng]

已解决

[KexyBiscuit]

@bobopu 求具体

[ryd994]

加hsts也很好用

[miao]

到现在好像还在跳转
www.houzz.com

[orangemay]

昨天改了 hosts 清除缓存后成功解决.
然后现在还是会跳转了..

[vonnyfly]

遇到好些天了，clean dns无效，公司内网走日本也无效。
http://connect.facebook.net/en_US/all.js 301跳转。

[vonnyfly]

看这个直播chrome最近一直跳转： http://www.twitch.tv/jennythesquirrel fuck

[totmann]

Use an Adblocker extension in your web browser and block the following urls:
http://wpkg.org/my.js
http://www.ptraveler.com/pt.js

[pbdm]

......react 官网也被跳转了
http://facebook.github.io/react

[suifengtec]

我真是日了狗了，我是在某SDK中发现跳转，谷歌到这里的

[infinte]

事实上 connect.facebook.net 本身没有被污染，但是很奇怪的 a.ns.facebook.com 和 b.ns.facebook.com 被污染了，这两个域名的正常地址国内也 ping 不通，所以对于正常的国内 DNS 服务器，解析 connect.facebook.net 是不会解析出结果的……

[infinte]

另外 connect.facebook.net 正常状态下会 CNAME 到 connect.facebook.net.edgekey.net，这个域名全国解析都没问题，说明问题应该出在国内服务器访问 a.ns.facebook.com / b.ns.facebook.com 这一步上。

[arbipher]

@Xuanwo 可用

[acess]

我也碰到了
chrome还把这个js缓存了，搞得设置了代理也会被跳转，清除浏览器缓存就好了

[infinte]

大体知道是怎么回事了：劫持者把 a.ns.facebook.com / b.bs.facebook.com 劫持到的一批 IP 中有这样一个奇葩：178.208.90.143，这个 IP 开放了 DNS 服务，但是朝他无论解析哪个域名都会返回 604800 IN A 148.251.0.55。

[spyke44]

@infinte 根到底在墙内还是墙外？

[Laforet]

@infinte 本来以为是有意的导向，现在越来越看不懂了

https://www.shodan.io/host/178.208.90.143