KPN proxyservers laten ongewild porno zien?

Volgens geruchten op Security.nl zijn de proxyservers van Het Net raar bezig. Op willekeurige momenten (maar vooral 's avonds) zouden de servers in plaats van de normale plaatjes porno sturen naar nietsvermoedende gebruikers van het KPN netwerk. KPN wil niet officieel reageren op deze geruchten, maar er zijn zoveel mensen die er last van hebben (zie de thread op Security.nl, en dit topic op ons eigen GoT), dat we op zijn minst kunnen aannemen dat er een probleem is:

Wanneer bij het surfen via het KPN netwerk (Het Net, WXS, etc.) gebruik wordt gemaakt van de proxy server, gebeuren er interessante dingen. Bij het opvragen van verschillende plaatjes op verschillende sites wil er nog wel eens een interessante verwisseling plaatsvinden. Op de site waarop je aan het surfen bent verschijnen ineens porno plaatjes (meestal na half 9 's avonds). Het lijkt erop dat, of de proxy-servers van KPN zijn besmet met een virus, of we hebben hier te maken met een ernstig programmeer foutje. Hoe dan ook, dit lijkt me toch een ernstig probleem maar niemand schijnt ernaar te willen luisteren.

[...] Heeft KPN zoveel macht, dat zij alles uit de media kunnen houden of is iedereen de fout bij zichzelf aan het zoeken? (Er verschijnt immers porno op je eigen site) Ik ben gewoon erg benieuwd hoe lang dit ongemerkt kan blijven want er druppelen genoeg meldingen binnen.[break]Een van de reacties op Security.nl lijkt mij de meest logische verklaring voor het probleem:[/break]Het lijkt erop dat MS proxy niet controleert vanaf welke site een plaatje afkomstig is, maar controleert alleen nog maar de bestandsnaam. Aangezien er na half negen door de meeste mensen naar porno wordt gesurfd, is het ook aannemelijker dat er dan meer porno gecached wordt. Waar het nu dus ook op lijkt is dat er dus plaatjes uit de cache worden overschreven "waarschijnlijk" met dezelfde bestandsnaam.

Bedankt nims voor het submitten.

Reacties (78)

[Anoniem: 12784]

Het volgende bericht is gevonden op security.nl en binnenkort zijn alle problemen opgelost ;-)

Door: Phons Bloemen ([url="http://www.planet.nl)"]www.planet.nl)[/url] op

Ik heb met verbazing de onzin gelezen die (soms) in deze thread naar voren kwam. Vooral het verhaal over MS proxyservers slaat als een tang op een varken. Iedereen die zich een beetje in de materie verdiept kan er op een simpele wijze achter komen dat de proxycache-farm die schuilgaat achter proxy.hetnet.nl en proxy.planet.nl bestaat uit NetCache proxycacheservers (van de firma NetApp). Het zijn zogenaamde appliances: deze machines kunnen niets anders dan proxy-cachen, maar zijn daar dan ook speciaal voor getuned. Bij Demon worden ze voorzover ik weet ook gebruikt (demon kwam ook al ter sprake in deze thread).
De NetCaches cachen alle HTTP 'GET' opdrachten van de browsers, de bijbehorende web pagina's en andere opbjecten (plaatjes) worden met hun complete URL opgeslagen. Het komt dus niet voor dat 1.jpg van site A wortdt overschreven door 1.jpg van site B (anders hadden we dat allang gemerkt). Indien in de URL een ? voorkomt (een GET opdracht met argumenten voor een script) dan wordt er niet gecached. Als in webpagina's de juiste META tags voorkomen wordt ook niet gecached, en er zijn nog een paar andere uitzonderingen (POST requests e.d.) In de overige gevallen wordt wel gecached (het is dan blijkbaar een statisch object, na verloop van tijd wordt echter een check gedaan of het object echt static is).

Navraag bij Netapp gaf aan dat er inderdaad sprake is van een bug. De bug zorgt er voor dat in extreme gevallen sommige objecten uit de stroom objecten tussen twee sites waarmee de NetCache een persistent connectie opzet met elkaar worden verwisseld (in dit specifieke geval
werden plaatjes dus wel verwisseld). Deze bug is erg moeilijk te herkennen en te reproduceren (dat is wel te zien aan de 'vage' meldingen die in deze thread gedaan werden). Er is een patch, deze
zal worden geinstalleerd zodra wijc deze beschikbaar hebben. Om de patch te installeren is het noodzakelijk om de caches opnieuw te laden, hierbij worden eventuele verwisselde objecten meteen opgeruimd. De performance zal dus tijdelijk wat lager zijn.

[frankvanhoesel]

Waar het nu dus ook op lijkt is dat er dus plaatjes uit de cache worden overschreven "waarschijnlijk" met dezelfde bestandsnaam

Sillicon_Valley.gif ( Yuppen plaats )
Sillicon_Valley.gif ( Pamela's voorgevel )

[mvdejong]

Dit is geen reverse proxy maar een perverse proxy

[Anoniem: 2856]

Op een bepaalde site over kinderboeken van het bedrijf waar ik werk bleek opeens een vrouw met haar benen wijd te staan. Er kwam een woedend emailtje binnen van een persoon die dat gezien had. Ben je lekker klaar mee als bedrijf, stel je voor dat die persoon hiermee de pers bereikt oid.

[Newy]

Ik ken anders ook mensen die als de rekening niet betaald word, zeggen : Morgen pornosite..
flap flap na 1 dag

[Venator]

het kan inderdaad zo zijn dat ie z'n gecachede plaatjes overschrijft, maar je kan ook op herkomst cachen (kost iets meer tijd, proxy wordt langzamer). Ik denk dat KPN zuinig is geweest met de aanschaf van de proxy's en om zoveel mogelijk performance er uit te halen gebruiken ze de meest simpele caching methodes. Met dit als gevolg.
Andersom lijkt me ook wel grappig, je zoekt je rot naar porno en het enige wat je vindt zijn plaatjes van Bambi en de Teletubbies. Geeft weer een heel ander zicht op de term "reverse proxy"

* 786562 Venator

[The Noid]

Als de KPN inderdaad MS-proxys gebruikt zijn ze dus NIET zuinig geweest bij de aanschaf... Een Linux machine met squid is goedkoper (kan met lichtere hardware toe, geen licentiekosten) je moet alleen wel een systeembeheerder hebben die niet bang is voor een prompt

[Venator]

Erg grappig hoor, maar als je een mega license pack bij MS aanschaft en professioneel laat installeren (hier dus niet gebeurt ) dan is de total cost of ownership (waarin oa het beheer is opgenomen) wel weer lager.

[blouweKip]

Ik denk dat dat in veel gevallen ook wel tegenvalt (lees: uiteindelijke TCO hoger bij MS)

[Hillie]

Het is wel weer duidelijk dat je poep praat, want telefonie (PTT doet de post darling ) gaat ook over netwerken. Daarbij komt ook nog es dat KPN/QWest (ofzo..) het snelheidsrecord gebroken heeft in data-transfers. En ook heeft KPN hier grote research centra staan in NL.

Het feit dat KPN een (vrijwel) monopolist is op telefoongebied zegt natuurlijk niets over het al dan niet goed zijn van hun technieken. Het staat natuurlijk wel leuk, zo'n Robin Hood verhaaltje (Linux-community vs. Microsoft, AMD (toch niet echt klein) vs. Intel, enz. enz.), maar het raakt kant noch wal.

[Anoniem: 6748]

hoeze probleem? 0+

[The Source]

geen probleem???

Vorige week belde een klant mij met het bericht dat er porno op mijn website www.synrg.nl was te vinden. ik verschoot daar heel erg van, snel op mijn site gekeken maar niets te vinden. Met LEAPftp gekeken... ook niets te vinden. Toen de logbestanden erbij genomen.... en daar stonden 3 ip's in die op de server waren ingelogd die dag. Twee ervan waren van mij en een andere was van iemand van mijn hostingsbedrijf. Verder helemaal niets... dus de webserver was niet gehacked. Wel rot maar nu komt eindelijk de aap uit de mouw. Ik weet nu dat het ergens anders aan ligt!!

Staat wel mooi lullig en het kan zeker voor klantenderving zorgen voorvallen....


* 786562 The

[Anoniem: 5422]

HAHAHA

Is het nu al weer 1 April??


* 786562 Rene

[CmdrKeen]

Ik gebruik de proxy van bArt te Rotterdam; een week geleden of zo zag ik ineens op de site van Dilbert ook porno. Was idd om half negen oid.

Vorige keer trouwens toch ook bij Tweakers?

[Kahlan]

Da's toch normaal

Of wacht, plaatjes van Durons in sockets is wellicht geen porno?

[Hillie]

"Ohh baby, pump those MHz'es in my socket!! Faster, faster!!!"

"Want me to increase the voltage love?"

"Oh yeah, make me feel it!!"

Dit alles uiteraard begeleid door het nodige gekreun

[waslijn]

Heb ik ook al meerdere malen gehad met de proxy van bArt. De plaatjes worden dan vervangen door andere afbeeldingen. Soms waren dat porno plaatjes, maar ook andere plaatjes van willekeurige andere sites.

Ik dacht eerst dat het een mijn browser lag, maar wanneer ik de proxy uitschakelde was het probleem opgelost.

[TumbleCow]

Goh, als dat een bug is is het toch wel een heeeeele grove..., er zijn natuurlijk ontiegelijk veel sites die een nummer als filename gebruiken...

[The Noid]

't is niet zozeer een bug, maar een enorm stomme ontwerp fout
ze hadden er nooit van uit mogen gaan dat plaatjes met dezelfde naam ook echt hetzelfde zijn...

[Anoniem: 9345]

snel op te lossen, kijken naar naam èn grootte is al beter.
Kijken naar naam èn grootte èn datum/tijd is weer beter.
Kijken naar naam èn grootte èn datum/tijd en bronlokatie is weer iets beter...
Alleen lijken de veilingsites e.d. wellicht slechter te cachen omdat die sites soms bestanden voor iedere gebruiker een andere naam geven.

[edit: typo]

[LuCarD]

Ermm hoe verklaar je dat aan je werkgever? :0

[Anoniem: 5899]

Misschien is dit nu juist DE verklaring voor je werkgever

"Nee hoor, dat wou ik echt niet bekijken maar het verscheen ineens".

[FCA]

Hmm... diezelfde problemen heb ik gehad met mijn oude provider Tebenet (nu overgenomen door Chello ) Die gaf 's avonds vaak porno door op Altavista enzo. Hele sites werden soms gespoofd. Ik dacht toen ook aan een virus, maar gezien de hele klantvriendelijkheid en beveiliging van Tebenet (lees totaal gebrek aan) heb ik er toen maar niks van gezegd.
Dat KPN dit probleem ook heeft is wel een ernstige zaak. Die lui zouden er nu wel verstand van mogen hebben ( hoelang zitten ze nu al in de ISP business?)

*me heeft trage memory chips:

Ik kan me herinneren dat microprose.com opeens een pornosite werd, en veel sites niet meer bestonden (gaven een 401 error, gaven aan in het domain van een pornosite te liggen). Gebeurt dit ook bij KPN? dan is er wat meer aan de hand als alleen een cache probleempje.

[mth]

Als het bij hele sites gebeurt, dan heeft iemand waarschijnlijk de domain name server van je ISP gekraakt. De fout bij KPN gaat blijkbaar om enkele plaatjes in een site die het verder wel doet.

Wat wel vreemd is, is dat plaatjes anders werken dan andere files. Ik bedoel, er zijn duizenden sites met "index.html" als filenaam. Als die elkaar zouden overschrijven in de proxy cache, dan zouden erg veel pagina's niet meer werken.