关于6.cn/（六间房）弹广告分析(转帖）

神啊！救救我吧

最近发现有很多网友举报6.cn/(六间房)网站广告弹窗口。
6 H7 Y, K( N, c1 d9 W" X7 I. Z
早上无聊，去看看这破广告到底有什么能耐。
9 X2 F$ v5 t" ^" {5 \9 V: _% T! H& U
9 H, l$ V& o6 |找了好久，终于有点收获，据说跳广告窗口是这个网页：
# R4 _9 G3 ~  s
hXXp://union.mmtw.cn/liu.asp?id=chenlin_a17

3 W+ ?; a9 w5 ~一进入就弹广告，几秒循环一次，靠！！

( H% Z5 E6 |. G第一次来不及反映，浏览器直接卡死。

9 y" W' S- n3 @9 t" [怨，关浏览器，开SSM与嗅探器，重新进入，仍然弹广告

: l& A& e; C/ W: x8 J这次反映快了点，它边弹我边关，哈哈``终于赢了。

关闭后，开嗅探器，从几百记录中跟踪如下：

访问的IP：
7 R! X8 c6 ?  Y' b  T2 o, l  G9 E
+ v, J3 _( _! _+ T202.100.81.80
IP ： 202.100.81.80
地址： 甘肃省兰州市 电信  
- x( ?' `/ X6 G4 a$ ^hXXp://6.cn/watchtc/heywz/ay300.html

这个就是弹广告的地址。

61.139.37.26
" M9 n0 z' ?8 z" f) ^( A/ u. dIP ： 61.139.37.26
/ s4 @4 Z8 e) \; N& w$ w4 u+ {) r# d地址： 四川省成都市 电信
hXXp://union.mmtw.cn/liu.asp?id=chenlin_a17

这个是跳网页的主地址，一开始就是从这里进的。
  l1 y$ P% S3 L- l7 l" u

1 A3 s' J# f0 c  `5 n  C3 RIP ： 61.139.126.72
地址： 四川省绵阳市 电信机房
hXXp://www.mmtw.cn  

8 d+ E  Q. M, L! }% {. S1 x# u4 l这个才是罪魁祸首，大垃圾

222.191.251.102   
' j8 K, ~/ F% c6 v  H. X0 aIP ： 222.191.251.102
" N& h( n/ p% W地址： 江苏省 江阴机房
http://count.51yes.com/basicdata.aspx?id=90806476

, I( P0 H. Z1 X6 p8 a/ ^+ w是个连接的网站统计。

+ S0 A2 n- k% n, Q) R
, i! C7 P' D  \0 A! P7 ?* G122.224.146.43
2 |- X3 ^  T0 f( L( dIP ： 122.224.146.43
地址： 浙江省 电信
$ x; ?0 p; K6 t9 }. thttp://www.51.la/?1200858
4 M7 V2 Q3 K% b
51的网站流量统计
& y, F7 U% W% l

还发现了个奇怪的现象：

0 T, t6 ]! m# K* {

$ C4 [* J' |& y% U2 V' z) w
# a# @3 w, Y7 {8 W3 p3 S
) |( B$ U, ?3 m' ^# Z# ~4 i
. [& N) r6 g/ N; h+ H2 R这个明明是六间房的地址，为什么IP会是hXXp://www.mmtw.cn 的？

后来看了数据包，原来hXXp://www.mmtw.cn是在借刀杀人。

, _' l" m$ w- i" _, p3 l$ j通过在hXXp://www.mmtw.cn自己网站上，建立六间房电影的连接地址。

# u  i* T. j0 }2 {  T, {7 a8 |$ Z由于连接的是六间房的网页。所以大家都误以为六间房在弹广告。
. A& L' L; x3 \& @, S3 C& b: r
看看hXXp://union.mmtw.cn/liu.asp?id=chenlin_a17的代码：


# _6 U) W3 a" B0 |
! u% Z7 L* @( j7 l: P
& j1 B: y. w& x% A7 U/ k
利用框架方式挂了六间房的连接。下面另一个是流量统计。
, v  K3 J- z7 Y' E3 C2 B  b# B
8 I2 X/ V# S6 m2 ]3 E- t当打开hXXp://union.mmtw.cn/liu.asp?id=chenlin_a17的时候，它会不停的刷新。
! p/ s) ?" m$ v  q  N
0 t1 R- o0 ^# @% H. K在刷新过程中会不停执行上面的代码，并连接六间房电影的连接地址。
/ X0 ~5 E( Q7 W
而且是随机的，例如：

hXXp://6.cn/watchtc/pplive/ay383.html
" `0 V: o" i& z) ]8 fhXXp://6.cn/watchtc/heywz/ay300.html
  a9 a0 v8 N2 z1 a8 xhXXp://6.cn/watchtc/heywz/ay80.html

$ H9 o" d/ a# a$ _7 Y所以会不停的弹广告。
1 _3 F* o  ?' x( ?+ P
结果是：
/ l6 }& \" ~/ {: z: F
+ j  Y5 s* u) q+ D# C8 E


- H5 A7 u2 G0 y* z
+ T. _" L4 z  X0 E: z* e
: j1 Z5 m" d# w9 F好了，看看它刷新的结果吧：
: h# L5 v7 w5 N. ?# O4 f& F




一个月的PV流量接近6000万！！！
7 W4 z! j6 o- u8 }6 f' U& t
那些不停弹网页的人肯定愁死了``   -_-!

( R* }0 \+ ?1 L  x% C9 g

解决方法！！！！：


方法一：

1、暂时断开网络，关闭浏览器。

2、打开Hosts，它的位置在：
, z# H' a6 x$ H/ ^
5 l: p: D: N$ J4 X4 QC:\Widows\System32\Drvers\Etc

是个未知格式的文件，没有扩展名的，双击打开，选择为记事本方式运行：

) D& [8 s) l& _5 C

) [+ a- M0 U  y8 i( `4 ]

3、然后添加如下内容：
; a6 e9 g1 v# G1 t$ D) m


3 L$ O* I6 f& P% a  {
4 l1 I1 \- W" a

$ m1 P1 x; w7 C1 f' A& r6 w注意，127.0.0.1和那个网址之间要有个空格啊，然后关闭，点保存就可以了。
2 }; A" k+ k; @5 v( ~' @0 ~
4、重启电脑。
1 Y9 x4 m8 k6 C5 `1 |2 n

2 G5 ^2 ]9 t  L$ Z, @解决方法二（推荐）：


& l+ g- o9 ?8 m( A# C5 _& [2 u先断开网络。
- S0 L/ F2 J) I5 b5 p
1、打开控制面板-Internet选项-安全-点击那个“受限制的站点”-再点下面的那个“站点”。
# y: @7 B: A- A4 r


' a. T, R: q0 b" v) S/ `# G

2 h& A4 ~* m& _: ~  _( k" e- I3 U2、添加下面内容：
2 R* i6 U" y' D% M3 G5 ~
+ Q' C7 k0 J0 z( ^3 k- l



* ]$ D; ~9 B3 Y7 ^$ g0 e$ B9 l3、重启电脑。
! E( M4 n/ X: }$ ?3 [: P! J4 l


# V. ?5 u$ G: a$ b

% X4 A* z  t3 x$ G/ V  K还有其他方法，比如IP限制和防火墙过滤等等，不过不推荐了，上面2个够用。
* @: Y! P3 Z5 u8 D+ J3 D

3 h. J2 g9 X; I. e
另外，那个hXXp://union.mmtw.cn/liu.asp?id=chenlin_a17究竟是如何来的还未知

我比较过求助网友十多份的日志，不过并无收获。

很多人都说是ISP搞的鬼，看来并非以讹传讹。。。
+ ]4 g  w) C1 }1 Z* p2 r

! r/ Y/ v% v  w: ^" j最后大家鄙视下这个网站：http://www.mmtw.cn

3 l$ D! m4 _) H4 {# w它的域名是61.139.126.72
, N5 p- h4 z) f' g1 c0 T
真是无耻到了极点，损人利己。让六间房为自己背黑锅。

新丐中丐牌乞丐

:m14 看不懂
偶也没听说过6间房
# }) w, R3 B1 n7 H不过支持楼主一下:m8 :m8

神啊！救救我吧

这个现在非常多人中这个恶意软件，到处都在求救。。。。看看好。、。、、