老黃賣瓜::自打嘴巴

昨天在 Sidekick 看到的，今天蘋果日報也有報導，陸續也看了船山筆記，香港仔公國，MK 的記事簿，MO’s notebook等BLOG，看了很多討論，但大多討論都是猜測﹐以下也只是我個人的猜測﹐但我希望提供一些資料供大家討論。

#include < disclaimer.h>

以下只是我個人的猜測﹐我已盡力確保所提供資料之準確性及可靠性，惟並不擔保該等資料之百分之百準確性及可靠性，且概不會就因有關資料之任何不確或遺漏而導致之任何損失或損害承擔任何責任。

想起屋企是用HGC，剛好公司有一條無人用嘅電盈 broadband﹐而我又有另一條 HKBN 嘅 broadband﹐不囉嗦！馬上broadband！

係公司一試電盈 broadband 可以去到 ntscmp.com，無問題喎﹗返到屋企開個 Firefox 再試，結果 blank page!!! 好彩去唔到如果唔係就無野寫﹗於是即刻開個 ethereal 望望﹐今次開個 Terminal 再 telnet 試試﹕

steve@home:~$ telnet www.ntscmp.com 80
Trying 69.49.101.19…
Connected to www.ntscmp.com.
Escape character is ‘^]’.
Connection closed by foreign host.

從 packet 15 可以看到當完成 TCP 3-way handshake 之後就收到對方的 FIN,ACK packet，即對方主動 Terminate connection，有點古怪，同MK 的記事簿嘅分析有 d 唔同。好再試 HKBN 嘅broadband

[steve@hkbn ~]$ telnet www.ntscmp.com 80
Trying 69.49.101.19…
Connected to www.ntscmp.com (69.49.101.19).
Escape character is ‘^]’.
GET

又無問題喎﹗無主動 Terminate 個 connection，但是由於呢部機唔係擺係屋企，要遲啲先可以 capture ethereal 個 screenshot。

時間已經不早了，明天再繼續。

Update 1:

尋日太忙﹐今日先 Update。看完 Sidekick 的讀者的留言有點迷網﹗以下是其中一段留言(好似好 Technical 咁喎)﹕

照如此情形看似乎是server用IP Deny manager block了整個class A…
事情要說有點複雜…因為可能性很多, 而且要對香港ip分佈及server blocking有一定了解:

香港ISP有幾個ISP class A是有ovelapping (class B幾乎沒有)…最經典是203這個class A ip(203.x.x.x): i-cable, hgc, 網上行都有…而除了香港外還有幾個亞洲國家（印象中有韓國和中國）共用這個block. 即是說，如果block一個203受災範圍可以有幾家ISP以及那幾個亞洲國家

而一個ISP是有很多個IP Block的(i-cable就有61和203開頭的)，所以如果只是局部user去不到百分百是block IP.

基本上用IP Deny manager block整個ISP是有點難的(它不能用IP range或者是部分host name, 只可以用局部IP block下去)…如果server不給user用mod_access或者Admin不會用，而又有大量203.x.x.x的user攻擊 server，Admin真的會整個class A鎖下去…
不過剛剛進試了，203開頭的可以進去，建議進不了的人留下IP開頭兩組數字以供參考

IP Deny manager？class A，class B？ovelapping？

呢段留言望落好似有啲問題，203.x.x.x 唔係 class A 嚟喎，由於我唔係做 Network 嘅，以下嘅分析可能有錯誤。IP Deny manager？係唔係 Firewall 之類嘅東東呢？Google 一下先，原來係 cPanel 其中一部份，好多 hosting 公司都用 cPanel 俾 user 去 manager 個 website，由於小弟嘅 paranoid 性格，本着 DATA 都係擺係自己嘅地方安全啲嘅精神，信唔過 shared hosting 所以未用過 IP Deny manager。但係 203.x.x.x 係 Class C 嘅 IP Address 唔係 class A 嚟喎，每個 Class C 嘅 IP Address Block 可以有 254 個 IP Address，即係話 203.x.x.0/24 可以分俾 ISP A，203.x.y.0/24 可以分俾ISP B，絕對無問題又何來 ovelapping？ 真係越睇越唔明，唔明﹗

之前只係試過 telnet 今次試真啲開個 Firefox 再試﹕

今次試一個去到嘅 Website 做 reference 先試 http://stevewong.org﹕

可以由 packet 24 睇到當完成 TCP 3-way handshake 之後就 firefox 就 send out HTTP GET request. 跟住 data 就由 packet 25 開始傳回 firefox.

再試 http://www.ntscmp.com﹕

packet 13 再次收到 FIN ACK

packet 7, 13, 19 都是由 69.49.101.19(ntscmp.com) send 回來的，TCP sequence 分別是b1 28 f4 45, b1 28 f4 46, b1 28 f4 47。從 TCP sequence 可以看到 sequence no 是相連的，同其他遇到 GFW 嘅人唔同，所以不能下定論住。

今次 packet 19 收到 RST packet，RST 可以快啲斷個 connection。但係同其他遇到 GFW 嘅人唔同，可以參考 spacehunt.info，明天再繼續分析。

Update 2:

今次事件引起好多網友嘅注意，但好多網友一口咬定係網上審查，我覺得應該以事實作根據，再細心分析，未有真憑實據，HGC同電盈都係無違規。但如果我們懷疑 HGC同電盈，為公平起見我們應該同樣懷疑 ntscmp.com。

一齊睇睇 alexa.com 嘅 data﹕

綜合其他網友嘅發現同分析，我覺得有以下幾個疑點﹕

1. 我一向都無睇 ntscmp.com﹐都係由今次事件先注意這個網站。由 alexa.com 嘅 data 中可以發現，ntscmp.com 由三個月平圴排名1,306,455上升至今日排名33,330，足足上升1,774,537位。如果用HGC同電盈不能連上該網站就懷疑ISP封殺該網 站的話，我覺得這更值得懷疑﹗懷疑是否有人為吸引 eyeball 而做手脚？
2. 有部分網友用HGC同電盈都可連上該網站，為何網站上仍然堅稱用HGC同電盈嘅網友不能連上該網站呢？
3. 作為香港其中兩大 ISP ，有無必要為一個不太知明嘅網站而去進行封殺呢？
4. 正如有部分網友用HGC同電盈都可連上該網站，如果這樣也叫封殺的話，我想這兩位 System Administrator 及 Network Administrator 應該正在忙於找工作吧﹗

Update 3:

這應該是最後的 Update。Ben Crox 有一些猜測，蘋果日報也有跟進。好吧﹗去 http://dshield.org 看看有沒有線索，果然，看一看以下 screenshot﹕

“Your IP (69.49.101.19) appears as an attacker 363 times in the DShield database.” 這當然不是我的 IP﹐ 我只是用69.49.101.19 去查一查﹐69.49.101.19 就是 ntscmp.com 的 IP Address ，再看一看以下更祥細 screenshot﹕

在過去三十日，在 dshield.org 嘅 Database IP Address 69.49.101.19 有二十一次 submission。所以被其他 ISP Block IP Address 也不足為奇﹗這樣也可以解釋奇怪現像。看來 George Adams 應該向他的 hosting company 投訴﹗