中国用户使用代理软件的分析

    1月21日下午，国内大量网站域名解析出现故障而无法访问，其域名IP均被解析到了65.49.2.178这个陌生IP上，整个过程持续近1小时。据估计此次事件影响全国三分之二以上网站，包括新浪、京东、淘宝等知名网站都受影响，有人戏称65.49.2.178必将载入中国互联网史册。


    对于本次互联网事故，某CDN加速服务对这个IP地址进行了一番分析，发现了一些有趣的数据。


    65.49.2.178是什么?


    65.49.2.178的IP归属地显示为美国Dynamic Internet Technology公司，而该公司的主要产品即为一款代理IP软件。


    在这家CDN服务日志中，共发现包括65.49.2.178在内的19个同一C段IP地址，也就是说，至少有19个同段IP在过去一个星期访问过该CDN节点网络。


    政府网站成攻击重点


    在19个IP中，发现其中有两个IP 65.49.2.171、65.49.2.184在过去一周曾经有过攻击行为。而攻击的主要目标为软件下载网站、政府网站，政府网站受攻击比率高达34%。据分析，攻击政府网站主要是使用已知应用漏洞对网站进行漏洞探测，尝试窃取敏感信息。其次为XSS跨站攻击，而XSS跨站攻击的一个主要应用方式即为网络钓鱼。


    为什么这个代理服务会出现攻击行为呢？仔细分析一下，发现这不奇怪，因为这个IP本身就是代理的IP，中国的黑客通过美国这个代理软件进行网络攻击，这是一个很常用的跳板技术，也就是说，为了防止被对方网站发现，通过一个跳板来扫描各个网站的漏洞，这样对方网站日志里留下的就是代理的IP地址，而不是黑客自己的真实IP，理论上讲跳板越长，攻击者越不容易被发现，这样，很多网站被黑客扫描了漏洞，却不知道是谁扫描的。


    不过，不能因为被攻击的网站留下了这个IP，因此就说这个代理软件公司是搞网络攻击的。