Zvlastni chovani stranek u lokalniho ISP

[Špeta Marek]

Cim muze byt zpusobeno, ze kdyz jsem doma v Hodonine tak mi napr. pri strance lost.cz nabehne jeji verze z roku 2007 kdy byla hacknuta a byl tam napis Fuck-off, s tim stejnym pc mi to v Brne nedela. Jednou jsem mel dokonce jednu stranku zobrazenou v Brne a Hodonine s ruznymi styly ale s aktualnimi daty...

[puki]

A co DNS zaznamy, su rovnake ?
Nepouziva nejaku proxy ten lokalny ? Skus pozret nejake stranky ktore ti z requestu vytiahnu data o prehliadaci/PC co sa na ne pripaja a porovnaj...

[Paolo]

Má pravdu ten chlapec...
Když dáš PING www.lost.cz tak to napíše jakou IP adresu v Brně a jakou v Hodoníně?
Druhou možností by mohla být reverzní nebo transparentní proxy (webového obsahu) toho Hodonínského providera.

[Špeta Marek]

Má pravdu ten chlapec...
Když dáš PING www.lost.cz tak to napíše jakou IP adresu v Brně a jakou v Hodoníně?
Druhou možností by mohla být reverzní nebo transparentní proxy (webového obsahu) toho Hodonínského providera.

Zjistim zitra, ale panove, kamarad co bydli nedaleko, tak mu ta stranka normalne najede. Provider stejny

[puki]

Tak ak sa ti stym chce hrat sprav packet capture toho jedneho HTTP requestu, napr cez http://www.wireshark.org/
To pripojenie doma je priamy ethernet ?
Este taka otazka, pouzivas rovnaky fzicky interface pri oboch pripojeniach ? Tj ci nestriedas wifi a ethernet.
Nejak ma nic nenapada, ale je to zaujimave.

[Špeta Marek]

Tak uz jsem se k tomu konecne dostal, v Brne mi Wireshark vyhazuje krasnou tabulku, ale podivejte co mi to vyhazuje v Hodonine:

[Paolo]

IP adresu dostává stejnou, je mě zaráží dvě věci:
1. proč se po sekundě ptá DNS na ten samý A záznam (www.lost.cz), když Widle mají keš.
2. proč je v těch odchozích TCP requestech [CHECKSUM INCORRECT].

Možná už je to tím, že mám teď už příliš nízkou hladinu krve v alkoholu

[puki]

1.) To neviem, ale prvu odpoved z DNSka si overuje na Opera Fraud Protection sajte. Mozno ze to nejak ovplyvnuje. Aj tak by som tu ficuru vypol, lebo pokial vies kam lezies tak moc toho nechyti

2.) Skor by som povedal, ze zaujimavy je paket 22. Neviem preco mu da redirect na www.lost.cz/fuckoff.asp
Skus sem hodit obsah toho paketu...

[Špeta Marek]

1.) To neviem, ale prvu odpoved z DNSka si overuje na Opera Fraud Protection sajte. Mozno ze to nejak ovplyvnuje. Aj tak by som tu ficuru vypol, lebo pokial vies kam lezies tak moc toho nechyti

2.) Skor by som povedal, ze zaujimavy je paket 22. Neviem preco mu da redirect na www.lost.cz/fuckoff.asp
Skus sem hodit obsah toho paketu...

Tady:


Mimochodem dela to i v XP i ve Vistach na dvou ruznych PC. Jo a dela to i v IE, takze to neni jen v Opere.

[Špeta Marek]

no idea?

[puki]

ako vravim, ono to vyzera, ze redirect na tu stranku posiela priamo server
Ked si dam www.lost.cz/fuckoff.asp tak tiez vidim nieco 'cudne'
Ale preco, to netusim, na sietovej urovni to vyzera byt v pohode. Dokonca odpoved pride od tej IPcky co vracia DNS ako www.lost.cz
Skus napisat adminovi, ak by ta stranka nemala plnit nejaky ucel tak ju tam nenechava

[monsoon]

IP adresu dostává stejnou, je mě zaráží dvě věci:
1. proč se po sekundě ptá DNS na ten samý A záznam (www.lost.cz), když Widle mají keš.
2. proč je v těch odchozích TCP requestech [CHECKSUM INCORRECT].

Možná už je to tím, že mám teď už příliš nízkou hladinu krve v alkoholu

Ten nespravny checksum je dany tim, ze se pouziva TCP checksum offloading, to znamena, ze tcp checksum nepocita operacni system a cpu, ale prenechava to sitovce, ktera ma na to patricne obvody. Diky tomu v moment zachyceni toho packetu jeste checksum neni spocitan a ukazuje se tedy jako nespravny, checksum se pocita az pozdeji, kdy packet skutecne dojde na sitovku k odeslani.

[Paolo]

Udělej i dump z druhého připojení, ať se to dá porovnat. Nejlépe, když nastavíš velikost zachytávaného paketu na max (1.5kB) a pak oba dumpy přiložíš jako soubor - ne jako obrázek.
Jedna idea je:
- protože z obou míst jsi odkazován na stejný server, tak předpokládám, že provozovatel serveru limituje připojení k serveru jen na skupinu IP adres (např. jen pro ČR) a má tam drobnou chybku v tom, že rozsah, který máš v Hodoníně není zařazen mezi povolené (a proto tě přesměruje na fuckoff).