現象：神秘的 ?curtime=xxxxxxxxxx 與彈窗廣告

約從 2004 年初開始，大量網民發現：瀏覽網頁時，網址列後方莫名加上 ?curtime= 加時間戳，隨即彈出廣告視窗。跨瀏覽器（IE、Firefox、Opera）、跨作業系統（Windows、Linux），甚至訪問自管網站也會發生，排除了網站自身植入、本機廣告軟體/間諜軟體的可能。

技術偵測與鐵證

1. 封包分析實驗

對曾出現異常的網站鄰近網段 IP 發送 HTTP 請求，正常應回傳 404。連續 120 次請求中，118 次正常回傳 404；但 2 次回傳偽造封包：

HTTP/1.1 200 OK
Content-type: text/html

2. 劫持流程重構

1. 旁路設備監聽： 在骨幹路由器側邊部署旁路設備，鏡像/分流所有經過的 HTTP 會話。
2. 序號劫持： 設備根據請求封包的 SEQ/ACK，偽造回應封包直接發送給客戶端。僅耗時 0.008 秒（正常伺服器不可能這麼快）。
3. 真實回應被丟棄： 因 SEQ/ACK 已被偽造封包佔用，真實伺服器回應到達時被視為錯誤封包丟棄。
4. 瀏覽器二次請求： 瀏覽器解析 meta Refresh 重新請求原 URL（此次帶上 ?curtime=），獲得真實頁面，同時 window.open 彈出廣告頁。

3. 定位劫持節點

• TTL 分析法： 真實回應 TTL=107（經過 21 跳），偽造回應 TTL=53（經過 11 跳）。對目標伺服器 traceroute，第 11 跳即為劫持設備所在位置。
• 多點回溯法： 收集多個被劫持網站的 traceroute 路徑，尋找共同節點（如文中範例中的節點「89」）。
• 廣告伺服器溯源： 211.147.5.121 Whois 指向 DYNEGY-COMMUNICATION CO.LTD (北京)，管理聯繫人 Pang Patrick、ShouLan Du。

暫時緩解方案

1. 網管/個人防火牆 完整封鎖 211.147.5.121。
2. Firefox/Opera/GreenBrowser/MyIE 等支援彈窗過濾的瀏覽器，將 * 加入彈窗黑名單。
3. 使用 HTTPS/VPN/SSH 隧道加密流量，繞過平面劫持（但若劫持設備具備 SSL 剝離能力則無效）。

深層隱憂

今天是強制看廣告，明天就能在你下載軟體時植入 Adware/病毒，竊取銀行帳密，竄改金融交易。全中國網民的 HTTP 通訊完全被他人掌控。

呼籲

• 監管部門立即調查、查封劫持設備，追究運營商與廣告公司法律責任。
• 網民廣泛傳播技術細節，倒逼運營商部署加密傳輸（全站 HTTPS）、啟用 DNSSEC、部署 HSTS、HPKP 等防劫持機制。
• 推動立法明確定義「網路劫持」犯罪構成要件與刑罰標準。

結語

這不是簡單的廣告騷擾，而是對通訊自由、資訊安全、消費者權益的赤裸裸侵犯。唯有技術揭露、輿論監督、法律制裁三管齊下，才能還原乾淨的網路空間。