关于全国部分城市网速极慢问题事实真相！

Joseffu

中国骨干线路电信、联通、网通、吉通包括ADSL 光纤 拨号上网用户 目前正在遭受约3000名以色列黑客的集体攻击！ 造成全国性的网络瘫痪！
2003年1月25日下午14点CHINANET因为所谓的美国煞笔客们恶意攻击,陷入瘫痪状态.截至目前为止,由此造成的损失达13亿人民币之多
据中国网络管理处最新消息，由于网通和电信线路全国性断接，位于北京、上海等地的网络服务站停止工作，造成大量网页不能正常打开，网络游戏不能正常登陆。另据消息称：此次网络断接将在6小时后恢复正常。
各大网络就此展开的相关讨论：
http://www.bbs3000.com/showtopic.asp?id=55387&forumid=1&page=10
http://www.bbs3000.com/showtopic.asp?id=55416&forumid=1&page=8
http://tech.sina.com.cn/other/2003-01-25/2123163167.shtml
http://news.online.sh.cn/news/gb/content/2003-01/26/content_516646.htm
-----------------------------------------------------------------------------------
中国VS美国，开战了！1月25日下午14点Chinanet因为所谓的美国黑客们的而已攻击，陷入瘫痪状态，截至目前为止，由此造成的损失达13亿人民币之多！http://www.whitehouse.net/ 美国白宫接连也被黑客遭到攻击。如果你觉得要以牙还牙，攻击白宫，请在点击你电脑左下角的 "开始"" 运行"键入
ping www.whitehouse.gov -l 65200 -f -t
捍卫中国人的尊严！！！是中国人请立刻把此消息传给你的好友！（不断ping（刷新）他们的端口，导致服务拒绝）我不是故意要大家去报复美国，愿不愿意做随你们……
根据国内著名杀毒软件瑞星官方网站(http://www.rising.com.cn）的报道，今天下午2:30分，很多用户报告断线，而且用户投诉越来越多，经查各路由器，发现其中一个路由器CPU占用率达90％，而且还在不断上升中。迅速抓包发现由其中一台网络主机发出来。马上驱车赶到用户处，对用户主机进行分析。
目前已经正在分析，通过发作机制可以判定出是一种蠕虫病毒，装过sql server的主机将成为它的载体，发作后疯狂的向外界发送DUP数据包，非常包的大小非常小，我处为404，西安等地发现略有不同，但大小相差不多，但是数据非常之多，一分钟生成的包达几十M之巨。
-----------------------------------------------------------------------------------------
根据最新新华网报道：
韩国因特网服务遭黑客攻击　出现大面积中断
2003年01月25日18:38:40　新华网　
　　新华网汉城１月２５日专电（记者　张利王缅）因受到黑客攻击，韩国全国的因特网服务从２５日下午开始出现大面积中断，情报通信部已经宣布进入紧急状态。
　　
　　当地时间下午２时３０分起，韩国情报通信部发现有黑客攻击服务器的迹象，且攻势猛烈，掌握全国因特网服务命脉的服务器最终被迫停止工作，导致全国网络服务全面中断，就连支持手机上网的网络也无法正常工作。
　　
　　一小时后，部分服务器在技术人员的努力下恢复工作，但到目前为止全国只有１０％的网络得到恢复。
　　
　　截至记者发稿时为止，韩国本地的网络与中国大陆的网站大都无法链接，只有Ｙａｈｏｏ及Ｈｏｔｍａｉｌ等西方的站点可以登陆，但速度极慢。
--------------------------------------------------------------------------------------------
根据瑞星网的相关帖子（http://community.rising.com.cn/Forum/msg_read.asp?FmID=28&SubjectID=539671&page=1）的sinoyatu说：不是我们的用户，受感染的主机很多，全国各地都有，在2：40的时候，收到了广州，深圳，黑龙江，西安，南京的不同地区的网友反应同样的问题，在我地区首先发现此问题，在接下来的处理过程中，我们逐个排除。最后发现是我们区域内有一台主机在不停向外发送一特殊协议的封包，速度非常吓人。因为路由器不能直接解析此特殊协议，便调用系统去执行，造成路由器系统占用率过高而导至整个片区的用户无法上网。最后，断掉了这个用户的光纤后，我们市局域网络畅通，马上赶到用户所在地，对其网络主机进行隔离并分析！
虽然我们抓了很多包，但没有多大用处。虽然可以判定出是最新的蠕虫病毒，猜想可能是感染装了sql server而且没有打补丁的win2000服务器。对于分析方面，我们技术力量还不是很足，如果有瑞星公司的帮助，可能很快便可以解决此问题。
目前，很多网络游戏无法玩，还有部分网站无法访问，都是此病毒造成的。
------------------------------------------------------------------------------------------------
美国军方网站Military.com也有报道:
We are monitoring massive Distributed Denial of Service attacks all over the U.S. tonight starting at around 11:30 PM CST. As many as 5 of the 13 root nameserver have been down, up to 10 with massive packet loss (xx%):
Internet Status to Root Name Servers
Date: Fri Jan 24 21:37:00 PST 2003
Place Address Packet Loss Time: Min/Avg/Max
Root b.root-servers.net 53% 25/40/48
Root c.root-servers.net 0% 82/82/82
Root e.root-servers.net 20% 16/29/33
Root f.root-servers.net 26% 17/27/32
Root h.root-servers.net 20% 91/101/108
Root i.root-servers.net 26% 190/199/205
Root j.root-servers.net 26% 81/91/96
Root k.root-servers.net 64% 172/188/201
Root l.root-servers.net 0% 5/5/6
Root m.root-servers.net 33% 160/171/205
GTLD b.gtld-servers.net 26% 52/63/67
GTLD c.gtld-servers.net 31% 85/93/95
GTLD d.gtld-servers.net 13% 88/100/103
GTLD f.gtld-servers.net 22% 38/50/57
GTLD i.gtld-servers.net 0% 198/200/203
GTLD k.gtld-servers.net 24% 90/100/105
GTLD l.gtld-servers.net 33% 128/138/171

All backbone providers are suffering major packet loss (XX%):
Place Address Packet Loss Time: Min/Avg/Max
AboveNet ns.above.net 28% 53/64/66
AGIS ns1.agis.net 26% 62/74/78
AlohaNet nuhou.aloha.net 35% 84/94/98
ANS ns.ans.net 26% 83/97/100
BBN-NearNet nic.near.net 28% 91/114/572
BBN-BARRnet ns1.barrnet.net 26% 16/26/32
Best ns.best.com 35% 79/89/95
Concentric nameserver.concentric.net 35% 18/31/56
CW ns.cw.net 28% 88/98/105
DIGEX ns.digex.net 31% 78/86/91
ENTER.NET dns.enter.net 28% 91/104/108
Epoch Internet ns1.hlc.net 33% 37/48/52
Flash net ns1.flash.net 17% 80/92/94
GetNet ns1.getnet.com 20% 40/52/56
GlobalCrossing name.roc.gblx.net 24% 85/97/104
GoodNet ns1.good.net 31% 83/92/97
GridNet grid.net 20% 80/92/101
IDT Net ns.idt.net 20% 91/104/121
Internex nic1.internex.net 26% 18/31/35
MCI ns.mci.net 22% 91/103/107
MindSpring itchy.mindspring.net 15% 75/88/106
NAP.NET ns2.nap.net 20% 73/85/94
PacBell ns1.pbi.net 0% 89/89/90
Primenet dns1.primenet.net 20% 31/41/45
PSI ns.psi.net 0% 82/84/160
RAINet ns.rain.net 31% 40/49/53
SAVVIS ns1.savvis.net 31% 88/99/102
SprintLink ns1.sprintlink.net 11% 15/27/35
UUNet,AlterNet auth00.ns.uu.net 26% 89/98/103
Verio-West ns0.verio.net 22% 31/42/47
Verio-East ns1.verio.net 22% 86/96/101
VISInet ceylon.visinet.ca 20% 102/116/188
MoonGlobal-ClubNET ns.clubnet.net 0% 0/1/2
MoonGlobal-Netway dns.nwc.net 4% 6/6/7
MoonGlobal-Netxactics verdi.netxactics.com 4% 6/6/7
InterWorld ns.interworld.net 0% 4/4/5

It's massive, no word on source yet. We are watching it closely.
-------------------------------------------------------------------------------------------
白宫网站首页下午被中国黑客修改了，上面写道：“We Chinese super hacker!!!!! Hahahahahah!!!!! USA suck!!!! Hahahahahahah!!!! USA pilots gay!!!!! Hahahahahah!!!! We kill all USA!!!! Hahahahah!! You president dope. Hahahahah!!! We Chinese, we play joke, we put pee pee in your Coke. Hahahahah!! We hate you!!!! Hahahahahahahahahah!!!! You dumb.”不过现在没有了，我个人认为上面那张图片是假的，是用画图软件改的。上面英文意思是“我们中国人是超级黑客！哈哈哈！美国suck（不雅之词，不便翻译）！哈哈哈！美国飞行员是同性恋！哈哈哈！我们杀所有的美国人！哈哈哈！你们总统是笨蛋/吸毒的人！哈哈哈！我们中国人，我们开玩笑，我们把……（对不起，又是不雅之文）！哈哈哈！我们恨你们！哈哈哈哈！你们是垃圾！！！
这个是被黑的白宫网页，可以下载回来看看:
http://zomble.myrice.com/whitehouse.zip
-----------------------------------------------------------------------------------
以下是一些网络游戏官方网站的说明：
1.精灵：紧急通告：各大网络运营商网络调整影响精灵
致全体精灵玩家：
　 由于近日内国内各大网络运营商（包括长城宽带、吉通、铁通等各种网络运营商）进行网络调整，因此全国各地除了使用电信的ADSL以外的用户玩家都有可能造成无法登陆游戏或者是网络繁忙的情况，这个情况不仅仅会影响到大家使用我们的游戏，甚至会影响到正常访问internet。同时今天广东电信也在进行网络调整，因此广东连接北京的线路也出现了问题，综合以上因素，造成这两天玩家们经常无法登陆游戏或者是掉线的情况，我们郑重声明：由于这些网络运营商调整因素的影响造成的网络不顺畅，是我们无法阻止和解决的问题，我们希望全体的精灵玩家可以理解和支持我们，我们感谢所有一直以来支持和热爱我们游戏的玩家！   

2.奇迹(MU)：关于奇迹(MU)今天可能出现玩家登陆不畅问题的说明
今天（1月25日）因中国国内网络进出口总带宽进行大规模调整，可能对玩家登陆奇迹(MU)造成一定的影响，如果出现登录不上游戏或者断断续续的现象，请多试几次，请广大玩家谅解。预计本次问题将会很快解决，谢谢大家的支持！
奇迹(MU)客户服务小组
其他游戏诸如传奇尚未发表声明，等待中......
----------------------------------------------------------------------
金山反病毒论坛（http://www.iduba.net）有声明说： 转自金山论坛
造成网络瘫痪的是一攻击 MSSQL Server 的病毒。
http://www.nextgenss.com/advisories/mssql-udp.txt
该病毒利用 MSSQL Server 在 UDP 1434 端口接收到 0x0A 会返回一个 0x0A UDP 数据报的特性，伪造假地址向 MSSQL Server 发送大量 0x0A UDP报，反馈目标地址中一旦也有同样的 MSSQL Server 就会使数据报量翻倍，以此组塞网络造成今天下午的情况。
When an SQL Server receives a single byte packet, 0x0A, on UDP port 1434 it
will reply to the sender with 0x0A. A problem arises as SQL Server will
respond, sending a `ping` response to the source IP address and source port.
This `ping` is a single byte UDP packet - 0x0A. By spoofing a packet from
one SQL Server, setting the UDP port to 1434, and sending it the a second
SQL Server, the second will respond to the first`s UDP port 1434. The first
will then reply to the second`s UDP port 1434 and so on. This causes a storm
of single byte pings between the two servers. Only when one of the servers
is disconnected from the network or its SQL service is stopped will the
storm stop. This is a simple newtork based DoS, reminiscent of the echo and
chargen DoSes discussed back in 1996
(http://www.cert.org/advisories/CA-1996-01.html). When in this state, the
load on each SQL Server is raised to c. 40 - 60 % CPU time.
现在网络上应该有一些使用 MSSQL Server 的服务器死掉就起不起来了。
Microsoft has published Security Bulletin MS02-039 to address this vulnerability. For more information, please see
http://www.microsoft.com/technet/security/...in/MS02-039.asp
http://www.kb.cert.org/vuls/id/370308
------------------------------------------------------------------------------------
据中国网络管理处最新消息，由于网通和电信线路全国性断接，位于北京、上海等地的网络服务站停止工作，造成大量网页不能正常打开，网络游戏不能正常登陆。另据消息称：此次网络断接将在6小时后恢复正常。消息来源可靠，用户可通过网络管理处电话010-65873241进行查询   
另据瑞星论坛上的sinoyatu说：是中病毒的主机向外发送数据包。送发端口是1434，只发送，不接收！采用UDP协议发送。在路由器上抓包，看到的并不是UDP协议，而是一不知名协议，只要直接连到中病毒的主机抓包才能发现是UDP封包。
关掉这些中病毒主机，网络即可恢复！
我们技术工程师发现，目前，只有riverston路由器受影响。csico路由器不受影响！
我们局已经采取屏蔽的方式，让路由器自动丢弃掉这类数据包！暂时保住一方平安！值得高兴的时，经历几小时的努力，四川的出口已经恢复！

Yahoo!英文也有报道http://news.yahoo.com/news?tmpl=story2&ncid=1212&e=1&u=/ap/20030125/ap_on_hi_te/internet_attack另外，到现在为止
在网易、新浪上没有任何对此的相关报道......

Joseffu

全球互联网遭病毒袭击 无法访问或速度极慢
--------------------------------------------------------------------------------
http://www.sina.com.cn 2003年01月25日 21:23 新浪科技
　　据CNN网站报道，北京时间今天上午，国际互联网在全球范围内遭受病毒攻击而变慢，从而影响到网民的浏览和email的发送。
　　监控互联网运行的多个网站都报告说发现全球范围内网络速度都变得缓慢。专家称这次的攻击与在2001年夏季造成互联网大面积中断的“红色代码”病毒攻击极其相似。

　　该病毒利用服务器的一个漏洞，伪造假地址向服务器发送大量访问请求，以此阻塞网络，造成无法访问。
　　著名的防病毒软件公司赛门铁克公司预计全球至少有2万2千个系统遭到了攻击。
　　另据报道，韩国全国的因特网服务从25日下午开始出现大面积中断，虽然技术人员努力恢复工作，但到目前为止全国只有10%的网络得到恢复。
　　今天，韩国本地的网络与中国大陆的网站大都无法链接，只有一些西方站点可以登陆但速度极慢。
http://tech.sina.com.cn/other/2003-01-25/2123163167.shtml