我来帮冰血封情和EST炒作

文档来源：野路子

XFOCUS被人DOS后，一个叫EST（邪恶八进制）的地方也高调宣称自己被人拒绝服务攻击，并且提供了几个数据： 流量高达2.5G，并且还是在“省里面已经吸收了一半”的情况下的流量。(by sunware) 攻击者调集了5000-10000台机器群起攻击EST。(by 冰血封情) 今天有个哥们突然很纳闷地告诉我：“我一直能访问EST啊，速度还很快！那口口是不是口口啊，明明好好的非得搞得自己被口口一样，学得还挺快，懂得把IP指向127.0.0.1”。后来那哥们发现，原来他改过hosts文件，IP和域名是绑定的。俺也就在C:/windows/system32/drivers/etc/hosts文件中加了一行： 219.146.145.164    forum.eviloctal.com 果然，访问这个EST，嗖嗖的快。 [separator] 以前有朋友说，这个叫冰血封情的人很喜欢炒作，比如，自己搞了个“当今国内准高手黑客一览表”，将自己排在最前面。还到处找媒体“接受采访”，是个人才。当时一笑置之，这回看来，手法真不是一般的纯熟呀，佩服之余，我也该为他们炒作加把火。顺便跟EST的人说一句：料都给人爆了，DNS就指回来吧 :) 朋友提供的一些有意思的图片，两张大图里，有趣部份都做了红色标记，大家可以娱乐一下： SUNWARE在11-1宣称被2.5G流量攻击。  图片1 图片来源：包子的blog 我自己在11-4上午改了hosts文件后访问的EST论坛，在他们号称被攻击时段，至少11月1-3日，都有人发贴。图片来源：EST的论坛 11-3在论坛明明能访问的情况下，冰血封情在QQ群里说的一些有意思的话。图片来源：匿名 ;) 图片2 顺便注释一下： 冰血封情是那个EST论坛的创办者，自封，当然经过炒作后也成为“既定事实”的第四代黑客代表人物。 Sunware是EST论坛的版主，EST的积极分子。 19:23补记： 发完blog一段时间后，正主儿到这里留了言，并且加了我的qq，从言辞恳切程度上看，我觉得我可能是“误信人言”了，所以暂时将这条blog转为私密。其中部份沟通内容如下（也可以参见后面的留言）： 这个服务器58.57.127.197，是邪恶八进制的unix01，最早遭受到攻击的。不过我们的论坛是不久前就放在58.57.107.250的。因此一开始论坛上的友情链接里的logo不能访问，因为友情站点的logo图片都是传到58.57.127.197的。不过一天左右之后，58.57.107.250就被攻击了。攻击了几天，我们考虑到可能是只根据域名找IP，于是换了IP。219.146.145.164，这个是邪恶八进制很早以前的IP，后来没办法拿来用了。 我只是想，怕大家这样相互猜忌起来，真正攻击的人的目的也许就达到了。 请了几位朋友一起帮忙分析，TK擅长奇技淫巧，按照他的思路： 1、从webhosting上找到以58.57.127.197为虚拟主机的主机群，可以看这张截图，其中自然有EVILOCTAL.COM，大家再注意一下标记成红色的PVFANS.COM，呆会要让这个站点说话； 图片3 2、通过各种方法验证58.57.127.197上的一系列主机是否有受到“2.5G”之巨的拒绝服务攻击，比如：看他们的论坛上是否有人讨论“前几天为什么访问不了？”之类的问题、看他们论坛及页面的更新时间、看netcraft.com或archive.org等站点是否有收录这段时间的数据、看cnzz、alexa之类站点对这段时间内的数据统计； 3、PVFANS.COM是其中的一个典型数据：通过访问论坛可以找一找是否有人问过论坛不可访问的问题、以及在被DOS的1-4日是否有人发贴； 顺口补一句，现在(2006-11-4 20:18)访问http://forum.eviloctal.com/，变成403了。 这些只是数据，不代表事实，我起初是从朋友那里得到消息，发了这篇blog，之后在tk和诸位兄弟的帮助下又补记一笔，权作收尾，诸君自己判断谁是谁非，我就不妄语了。欢迎EST的成员来提他们的数据。   http://www.wulujia.com/Article_46961#comm_97297   冰血 于 11-07 00:37 评论     wlj前辈，一切都是巧合。 碰巧我们正巧在换服务器，刚将论坛移出到新服务器。于是攻击起初只到主站，论坛可以访问。 碰巧我们的论坛服务器在攻击那段时间中被电信批了新IP地址，后被攻击后，我们的确效仿焦点将域名指到127，导致大家可以通过修改hosts访问。 ... ... 所谓果园摘帽子，瓜地系鞋带。让人误会，是的确难免的。 而，前辈对我的批评，一定牢记在心