異常現象

訪問網站時 URL 尾部被加上 ?curtime=xxxxxxxxxx 並彈出廣告。跨瀏覽器、跨操作系統（Linux 亦受影響），本機無廣告軟體/間諜軟體，排除網站自身行為。

技術驗證：旁路注入設備劫持 HTTP 會話

1. 選擇曾出現異常的網站鄰近網段 IP，腳本重複請求 120 次記錄數據包。
2. 118 次返回正常 404；2 次返回偽造響應：

   HTTP/1.1 200 OK
   Content-type: text/html
   
   

3. 偽造響應僅耗時 0.008 秒，遠快於正常服務器，證明為旁路設備根據 SEQ/ACK 偽造回應包發送給客戶端，真實服務器回應被視為錯誤報文丟棄。
4. 瀏覽器依 Refresh 重新請求原 URL 獲取真實頁面，同時彈出廣告窗口。

溯源分析

• Google 搜索 php?curtime 等關鍵字，受影響多為國內網站 → 設備部署於國內骨幹節點。
• 廣告服務器 211.147.5.121 WHOIS 指向北京 DYNEGY-COMMUNICATION CO.LTD。

用戶緩解措施

1. 網絡邊界/個人防火牆封鎖 211.147.5.121。
2. Firefox/Opera/GreenBrowser/MyIE 等將 * 加入彈窗過濾列表。

技術追蹤定位注入設備

1. TTL 分析： 真實響應 TTL=107，偽造響應 TTL=53。Traceroute 目標服務器，第 11 跳（64-53）即注入設備位置。
2. 多點路由回溯交叉驗證： 從多個被注入站點 Traceroute，公共節點即為注入點（示例中為第 5 跳「89」機房）。
3. 廣告服務器 WHOIS 反查： 定位運營實體。

作者聲明

強迫用戶觀看廣告嚴重侵犯選擇自由，今日廣告、明日或植入惡意代碼。呼籲有權力部門介入調查，附 Perl 簽名驗證身份。