|
|---|
|
|
|
|
|
|
b*********s
发帖数: 3863 | 1 zher 能否从技术角度评论一下？
【 以下文字转载自 LosAngeles 讨论区 】
发信人: TempGuest (匆匆过客), 信区: LosAngeles
标 题: [纯技术分析] LA版的capda到底是谁？
发信站: BBS 未名空间站 (Tue Nov 3 01:29:50 2009, 美东)
[纯技术分析] LA版的capda到底是谁？
作者：TempGuest
ABSTRACT
一个无头无尾、扑朔迷离的事件上周在MITBBS未名空间的人气大版LosAngeles版发生了
。事件起因于新人capda的一片爱国晚宴议论贴。该贴上版后引起爱国晚宴组织者
tiantian777的极度不满。随后在多位网友的议论猜测中，版上另一位活跃的大型活动
组织者Harrsion被扯入事件中。两天后，T和H之间的争吵、矛盾、误解、猜测随即被公
开呈现到版面上，并引起众人关注。离奇的是，当事件的起因、capda的身份问题并未
厘清之际，这件事又以大家意想不到的速度回归于风平浪静之中。据说，T和H都已经知
道谁是capda。可是除了当事人两位，一众旁观人群依然云里雾里不知所以。T和H真的
知道谁是capda了吗？这个自有天知自知。本着探索真理追寻细节的科学精神，本文在
当天多位网友分析讨论的基础上，利用公开的网上信息，进一步推断分析并归纳总结出
capda的庐山真面目。
KEYWORDS:
黑手，爱国晚宴，IP地址，Google存档页面
INTRODUCTION
LA版是MITBBS未名空间的人气大版，人多水多腐败多。版下腐败活动丰富多彩，并在新
生代风云人物的出色领导下，从小众的周末穿梭于饭馆食肆的游击型腐败活动逐步过渡
到几十上百之众的大型腐败活动，并在国庆60周年的爱国晚宴达到顶峰。在这些出色领
袖当中，tiantian777（简称T）和Harrsion（简称H）是出类拔萃闪耀星空的绝代双骄
（两人的高山仰止成就请去LA版考古）。
看到版下蒸蒸日上的腐败事业和版上激情高昂的挖坑灌水竟然如此地和谐统一，心有邪
念的人不满了。一个忽隐忽现的邪恶id伸出了罪恶的黑手。
capda (capda)，女（自称），新人。2009年10月12日来LA版发帖报道[1]。随后并未有
特别表现。10月27日周二凌晨发帖一篇[2]，负面议论了爱国晚宴及其它版上活动。该
贴出现后，立刻引起爱国晚宴总策划及组织者T的强烈不满。T随后另开新帖解释了自己
在整个活动中的委屈不爽[3]。没有capda的继续回应，事情也许可能就此打住。毕竟一
个谁也不认识的新人，从来不灌水不参加活动，牢骚几句也不会有人拿这个当回事。可
是啊可是，网上从来就不缺像喜欢追根究底具有探索精神的科学爱好者。事件峰回路转。
话说版上另一杰出领袖H这些日子以来一直在筹划“万圣节疯狂鬼餐”[4]。不过在
capda议论爱国晚宴的当晚，H和太太以及两位网友正在赌城拉斯维加斯度假。当T和众
多网友热烈的猜测谁是capda的时候，karmakarma点开了capda的个人资料页想一探究竟
。结果，在capda的为数不多的发帖中，除了最后的爱国晚宴议论贴，其它的居然都是
在给H的鬼餐做宣传[5]。capda为什么要帮H四处宣传鬼餐呢？capda发的爱国晚宴议论
贴是个人意见还是H授意而为呢？capda到底和H是什么关系呢？一个惊天大秘密就在这
一连串的问题里被掀开了一角。
这个重要发现随即被发到了网上跟帖中，并引起bullhead对IP地址的注意[6]。很快T也
注意到了IP地址问题[7]。没多久，T在贴子里给出了两个关于capda和H的个人资料页的
截图，并用红色重点标注IP地址[8]，两人的IP地址段是一样的：70.165.。接着，
simonlsw1999发现，capda和H两人的IP地址还是同时从两天前的 99.56. 变到现在的
70.165.[9]。于是，大家围绕着IP地址讨论猜测一番。无奈MITBBS只提供IP地址的前两
段，讨论无法继续深入。模糊依旧，猜测依旧。尽管后来版上也出现了所谓的技术贴，
但无论其毛毛糙糙的技术分析，还是飘飘忽忽的最终结论，不仅没让大家认清事情本来
面目，反而更是加重了大家的不着边际的猜测。
关于截图再多说两句。T最先贴出了截图，但始终不说这两个图是怎么来的。T先说是
shiningrose[10]，结果人家不干了，根本没有的事[11]；然后又先说是waxixi给的[12
]，后又说是个玩笑[13]。T不愿讲清楚自有其考虑，不过这种绕来绕去的玩笑话把事情
弄得有些复杂。好在这个截图的来源不是本文讨论的重点，不过图里的信息将会在后面
用到。
两天后，10月29日，H从赌城回来。看到版上多人对自己的猜测，尤其是T对自己的怨言
，觉得相当委屈。于是发长帖一篇撇清自己于capda的任何关系，并把自己在整个爱国
晚宴活动中的心路历程思想活动进行了深入剖析。后又发帖多篇表达自己的清白、被冤
枉的委屈、以及对多数网友尤其T对其猜疑的不满。（由于H本人删贴，本文对上述H发
帖不作引用。有兴趣者请考古“我回来了-我必须要说清楚··天天·LA版的所有朋友
请进!”，“天天-不说话不能代表什么！知道吗？”，“天天你让我很心寒，朋友到此
为止吧”等回复贴残篇。）
正当众多网友翘首企盼事情的真相到底是什么的时候，H发帖说两人经过私下沟通已经
和解，而且“大概知道是谁所为”，希望围观者散去吧[14]。正好版主也乐得借此机会
，和和稀泥，和谐和谐，以保持版内稳定。众人散去，于是一个可以一探人心本质的机
会就此将要错过。
不过，本文将根据以上的背景信息以及网上搜出的各条信息，技术性的分析出capda最
大的可能性到底是谁。
TECHNICAL ANALYSIS
一、IP 99.56.
首先，讲讲IP地址。MITBBS只显示了发帖人IP地址的前两段。那么有同样的前两段的两
个IP地址，有多大可能它们是一样的呢？举例说，99.56.的所有可能地址是从99.56.0.
0到99.56.255.255，共256x256=65536种。所以，只是从IP地址前两段相同就说是一个
人，这个可能性0.0015%。考虑到用户如果是内部网络用户（如校园网用户），多人共
享对外出口IP，则这个概率可能会进一步变小。那么拿到前两段IP，是不是一点办法也
没有呢？不一定。
互联网上通过用网络域名查IP地址的服务是“Whois”，而反过来用IP地址查询主机信
息的服务叫“IP Whois”。提供此类服务的网站很多，用Google查询“IP Whois”就可
以看到。选择第一个结果：cqcounter的服务[15]。
打开网页www.cqcounter.com/whois/，输入事件发生之前capda用的IP地址段99.56.。
查询后会看到从99.56.0.0-255到99.56.255.184-191的14个页面的列表。随便选一个记
录下面的whois链接，就可以看到关于其第一个地址的信息。比如选择第二条记录，99.
56.1.0-255，点击下面的whois链接，看到“99.56.1.0 - Geo Information”blan
blan。这里重要的信息看Orgnazation和ISP，是“SBC Internet Services”。然后往
下看，在地图下面的“99.56.1.0 - Whois Information”里，有OrgName，是“AT&T
Internet Services”，也对，AT&T
买了SBC嘛。继续看，有NetRange，是99.0.0.0 - 99.127.255.255。也就是说这个区间
里的IP地址都是AT&T（或SBC）的。如果再继续检查99.128.，就会发现区间99.128.0.0
- 99.191.255.255也是AT&T的。显然所有99.56.开头的IP地址都是从AT&T的订户来的。
可以想象AT&T的IP地址是有限的，虽然占了很大一个区间（99.0.0.0 - 99.191.255.
255），但用户却可能不断增加。显然AT&T不会给每个用户一个固定IP地址，那样的话
，不常上网的用户会占用资源浪费IP地址。所以每次当capda在有一段时间不用网络然
后重新连接AT&T的网络服务器时，其上网机器（或router/modem）会被重新分配一个地
址，可能跟上次一样，也可能不一样，但是肯定在AT&T的IP地址区间内。
capda只有爱国晚宴议论贴一贴留在版面上。那么来看看H的上网地址。打开LA版面的“
版内查询 ”，输入：作者帐号=harrsion，时间范围=360。然后在结果里检查每天的发
帖地址得到：
Jul 20: 99.146.
Aug 01: 99.29.
Aug 05: 99.29.
Aug 09: 99.29.
Aug 10: 99.180.
Aug 30: 99.48.
Sep 06: 99.11.
Oct 09: 99.62.
Oct 15: 99.62.
Oct 16: 99.11.
Oct 18: 99.11.
Oct 19: 99.11.
Oct 20: 99.11.
Oct 21: 99.11.
Oct 22: 99.11.
Oct 23: 99.11.
Oct 25: 99.56.
Oct 29: 99.56.
所以，H每天上网都是用AT&T的网络服务，IP地址会动态分配，并且同一天不变。（注
：如果你够仔细，你会看到Oct 16的前几贴来自99.62.那是因为MITBBS日期按东部时间
计算，当时还是加州15日的晚上。16日后面几贴是H睡过一夜第二天发的，所以有了不
同地址。）
这时来看看capda在几个网站为鬼餐做宣传的帖子，发现发帖IP地址都是99.56.，发帖
日期Oct 25，从同一IP地址段在同一天发帖。如果从时间上进一步与H的鬼餐召集帖[4]
比较，就会发现两人的帖子只有10分钟左右的时差。
那么如果两人在不同地方上网，各自地址动态分配，在同一天获得同样IP的概率是多少
呢？假如只是上面的样本，那么这个概率是1/7=14%。如果假设在最大最小值范围内的
IP都有可能的话，那么这个概率是1/（180-11+1）=0.59%。而这些只是任何一天IP相同
的情况。如果有任何两天，两人IP地址都相同的话，那么其概率又有多大呢？只用以上
样本，概率是1/（7x7)=2%；假设最大最小值范围内IP都可用，概率是1/（170x170)=0.
0035%。（两人有两天IP地址相同的事实见后）。
小结：capda和H在筹备鬼餐上有着异乎寻常地默契，很可能在同一地方上网。
二、IP 70.165.
接下来，查询一下70.165.是谁家的服务。按上面步骤找到“70.165.0.0 - Geo
Information”页面，是“Cox Communications”的服务。显然和AT&T不是一家。换句
话说，AT&T服务器自动分配地址不会分出70.165.这样的地址。
让我们进一步来分析70.165.0.0的页面信息。在地图下面，看NetRange是70.160.0.0 -
70.191.255.255。往下，CIDR是70.160.0.0/11，说明自70.160.0.0起的所有32B级IP
属于同一网段，也就是到70.191.255.255。这个网段名称下面看到NetName: NETBLK-
COX-ATLANTA-10，服务器是NS.COX.NET。从名称看，该服务器可能在Atlanta，GA。也
对，Cox的Headquarter就在Atlanta。显然这个是顶级服务器。再往下找，可以看到类
似的信息。NetRange是70.165.0.0 - 70.165.15.255，一个子网，CIDR是70.165.0.0/
20，说明自70.165.0.0起的所有16C级IP属于同一子网，也就是到70.165.15.255。这个
子网名称下面看到NetName是NETBLK-LV-OHFC-70-165-0-0。从名称看，这个子网应该是
覆盖LasVegas地区的。（当然也有可能只是服务器在LV，而网络可以延伸到更远的地区
。但肯定是在美国西部无疑了。）那么，是不是所有70.165.开头的IP地址都用于LV呢
？仔细研究就会发现70.165下的子网名称为：
70.165.0.0 - 70.165.15.255，NETBLK-LV-OHFC-70-165-0-0
70.165.16.0 - 70.165.19.255，NETBLK-OK-CBS-70-165-16-0
70.165.24.0 - 70.165.31.255，NETBLK-AT-CBS-70-165-24-0
70.165.32.0 - 70.165.63.255，NETBLK-OC-OHFC-70-165-32-0
70.165.64.0 - 70.165.79.255，NETBLK-HR-CBS-70-165-64-0
70.165.80.0 - 70.165.83.255，NETBLK-RI-CBS-VOIP-70-165-80-0
70.165.84.0 - 70.165.85.255，NETBLK-SD-CBS-70-165-84-0
70.165.86.0 - 70.165.87.255，NETBLK-NV-OHFC-70-165-86-0
70.165.88.0 - 70.165.95.255，NETBLK-RI-CBS-VOIP-70-165-88-0
70.165.96.0 - 70.165.97.255，NETBLK-WI-MCPHE-70-165-96-0
70.165.98.0 - 70.165.99.255，NETBLK-WI-OHFC-70-165-98-0
70.165.100.0 - 70.165.100.255，NETBLK-AT-INT-70-165-100-0
70.165.101.0 - 70.165.101.255，NETBLK-HR-CBS-70-165-101-0
70.165.102.0 - 70.165.103.255，NETBLK-WI-BETHE-9-OHFC-70-165-102-0
70.165.104.0 - 70.165.111.255，NETBLK-OM-CBS-70-165-104-0
70.165.112.0 - 70.165.127.255，NETBLK-BR-CBS-70-165-112-0
70.165.128.0 - 70.165.255.255，NETBLK-LV-OHFC-70-165-128-0
可以看出，第一个和最后一个子网和LV有关。另外70.165.86.0段可能与Nevada有关。
懂行的可以很容易的看出来最后一个子网占据了整个70.165.IP地址的50%。那么算下来
，与LV相关的IP地址占了(16+2+128)/256=57%的70.165.IP地址。现在的问题是怎样证
明真的有个70.165.开头的IP地址来自于LasVegas。
利用强大的Google，这个LasVegas酒店评价的网页被发现了[16]。打开这个长长的网页
，利用浏览器的Find找70.165.，就会看到德州Tom Bean先生在08年6月21日的发言。只
看这位老兄的第一句就够了，再看看最后属上的IP地址70.165.161.*。这就至少说明了
从LasVegas的某个酒店里上MITBBS的话，会留下70.165.的IP地址。
结合上一节的概率分析，如果capda和H是互不相关的两个人，则两人以前用AT&T服务上
网而同时在Oct 27这一天换到Cox服务上网的概率是多少呢？真不知道小数点后面写几
个零才够。
小结：70.165.有大于57%的可能性来自LasVegas；而capda和H是互不相关的概率近似为
零。
三、刹那间的永恒
把IP问题先放在一旁，再来看看更加诡异的信息。
祭出强大的Google，输入：capda site:mitbbs.com 。写本文的时候搜索结果有6条（
估计本文发表后搜索结果会增加）。找到第三条，不要打开主链接，点击cached。(如
果找不到，参考[17]直接打开Google存档页面)。可以看到capda在9月14日发帖出租EL
MONET独立房。诡异的是H搞活动似乎就在EL MONET。参加过他组织的活动的网友都知道
，不知道的请参考[18]。不过，由于Google没有保存capda这个帖子本身，所以内容不
得而知。
如果还有兴趣，继续往下看。
在Google中输入：capda 独立房 site:mitbbs.com 。写本文的时候搜索结果有2条（估
计本文发表后搜索结果会增加）。点击第一条的cached页面。（如果找不到，参考[19]
直接打开Google存档页面)。这是capda发第一篇贴之后的存档。先看下面“capda的俱
乐部”，只有一个，就是“LA娛樂總壇(Chinese_crazy_night)”。诡异的是，一个刚
刚上站的新手一头就钻进了这个俱乐部而后又悄悄消失。有兴趣的网友可以去看看这个
俱乐部的老大是谁。现在的俱乐部成员名单里已经找不到capda。
如果还有兴趣，继续往下看。不过又要回到IP地址的话题了。
在capda被存档的页面上，可以看到她在9月14日17:36:57从99.184.登录。这个IP地址
显然还是AT&T的服务，不过它并没有出现在本文第一节给出的H近期IP地址列表中。那
么，来看看H到底有没有用过这个IP地址发帖。
在Google中输入：harrsion [FROM: 99.184.] site:mitbbs.com 。写本文的时候搜索
结果有5条（估计本文发表后搜索结果会增加）。看来是有内容。更加诡异的是，点击
第一条的cached页面（如果找不到，参考[20]直接打开Google存档页面)，会看到H不但
从99.184.发帖，而且发帖的日期就是9月14日！两人居然又是从同一IP地址段在同一天
发帖！
小结：capda和H密切相关的概率大于99.9999%；这个也符合第二节得到的结论。
CONCLUSIONS
通过以上技术分析，可以基本推断出：要么capda就是H本人，要么capda就是
和H关系非常非常非常非常非常非常非常非常密切的人。所以，H在给T的长贴中说他不
是capda也不认识capda是不能成立的。
当我们明白了这些以后，再回头看看当时事件被一把稀泥抹平后各人的反应。H多次催
促T尽快删去有关这个事件的贴子[21]，并且自己把自己的几篇泼费心思写出的长贴删
得无影无踪。显然，尽快蒙混过关让大家忘记这件事就是保护自己。T也非等闲之辈。
挨了一黑砖，没查出黑手，当然不爽。除了他们两人，没人知道他们是怎么私下沟通的
。但是，可以肯定T的心中疑虑并未消除。表面上也许是跟H和解了，心里却有自己的小
算盘。估计T不能很肯定是H在搞鬼，所以帖子不删，某一天就有可能揪出黑手。T的城
府，从放出那两张截图又遮遮掩掩搅浑水就看出来了。
为啥总有那么多不明真相的群众？就是因为双方当事人知道也不说，说了也兜圈子瞎说
，其实自己心里跟明镜似的。表面上和谐，背地里发飙，年纪轻轻却把政治圈里的生存
手段玩得炉火纯青。能在LA这个藏龙卧虎的地方出人头地，的确非池中之物啊！
注：本文目的是透过一个实例，为广大网友介绍如何更好的利用网络工具来寻找自己需
要的网上有用信息。文章最后部分的主观推断为作者个人见解，不代表他人或发布网站
的看法。
ACKNOWLEDGEMENTS
感谢MITBBS未名空间站，及MITBBS/LosAngeles版。
感谢www.cqcounter.com/whois网络服务。
感谢www.google.com页面搜索服务。
感谢www.ratelasvegas.com提供有关页面。
REFERENCES
[1] 新人报道只能给大家奔一个啦！(*^__^*) 嘻嘻……
http://www.mitbbs.com/article/LosAngeles/31719051_0.html
[2] ++++++洛杉矶各项活动一些重要建议++++++
http://www.mitbbs.com/article/LosAngeles/31748069_0.html
[3] 我实在忍无可忍了
http://www.mitbbs.com/article/LosAngeles/31755199_3.html
注：此贴为同主题贴。
[4] 万圣节疯狂鬼餐加入的朋友请进
http://www.mitbbs.com/article_t/LosAngeles/31746099.html
[5] capda的个人页面（当前）
http://www.mitbbs.com/user_info/capda
[6] Re: 我实在忍无可忍了
http://www.mitbbs.com/article/LosAngeles/31748527_0.html
注：karmakarma原帖在发出后很短时间内被删。这里可以从回帖引用中看到原帖内容。
再注：本回复贴被同主题。参考[3]并查寻bullhead在13:34:42回帖。
[7] Re: 我实在忍无可忍了
http://www.mitbbs.com/article/LosAngeles/31748605_0.html
[8] Re: 我实在忍无可忍了
http://www.mitbbs.com/article/LosAngeles/31748741_3.html
[9] Re: 我实在忍无可忍了
http://www.mitbbs.com/article/LosAngeles/31749113_0.html
[10] Re: LA最大的迷案之解析---为了避免无干的人受害By神探waxixi
http://www.mitbbs.com/article/LosAngeles/31754145_3.html
[11] Re: LA最大的迷案之解析---为了避免无干的人受害By神探waxixi
http://www.mitbbs.com/article/LosAngeles/31754841_3.html
[12] Re: LA最大的迷案之解析---为了避免无干的人受害By神探waxixi
http://www.mitbbs.com/article/LosAngeles/31754271_3.html
[13] Re: LA最大的迷案之解析---为了避免无干的人受害By神探waxixi
http://www.mitbbs.com/article/LosAngeles/31754289_3.html
[14] 已经合解，请不要在煽风点火了！谢谢
http://www.mitbbs.com/article/LosAngeles/31755361_3.html
注：TheH是H的公开马甲。
[15] Whois - IP Address - Domain Name Lookup
http://cqcounter.com/whois/
[16] Flamingo Las Vegas Reviews and Ratings - RateLasVegas.com
http://www.ratelasvegas.com/hotels/ratings/h110.html
[17] Google存档页面
http://74.125.155.132/search?q=cache:5A3gMIqlp8kJ:www.mitbbs.com/mitbbs_my_article.php%3Fuserid%3Dcapda+capda+site:mitbbs.com&cd=3&hl=en&ct=clnk&gl=us
[18] Google存档页面
http://74.125.155.132/search?q=cache:eFX2oiD33zkJ:www.mitbbs.com/article/LosAngeles/31591759_0.html&cd=4&hl=en&ct=clnk&gl=us
[19] Google存档页面
http://74.125.155.132/search?q=cache:tv7aWPw5c5oJ:www.mitbbs.com/user_info/capda/051ecabc7b183607daa99fba9449c62d+capda+%E7%8B%AC%E7%AB%8B%E6%88%BF+site:mitbbs.com&cd=1&hl=en&ct=clnk&gl=us
[20] Google存档页面
http://74.125.155.132/search?q=cache:J2y34uLz4yoJ:www.mitbbs.com/article_t/LosAngeles/31673835.html+harrsion+[FROM:+99.184.]+site:mitbbs.com&cd=1&hl=en&ct=clnk&gl=us
[21] Re: 谁发的请必须尽快删了（ capda = harrison ????）
http://www.mitbbs.com/article/LosAngeles/31754137_3.html
注：本文原帖已被删除，不过该回复贴仍然能看出H急于删贴的心情。 | z**r
发帖数: 17771 | 2 分析的挺有道理的，如果能加上一些route server上的信息，就更准确了。
比如到http://www.ipbalance.com/route-server/world_map.html 这里找几个比较近的route server登录，然后看进一步信息
【在 b*********s 的大作中提到】
: zher 能否从技术角度评论一下？
: 【 以下文字转载自 LosAngeles 讨论区 】
: 发信人: TempGuest (匆匆过客), 信区: LosAngeles
: 标 题: [纯技术分析] LA版的capda到底是谁？
: 发信站: BBS 未名空间站 (Tue Nov 3 01:29:50 2009, 美东)
: [纯技术分析] LA版的capda到底是谁？
: 作者：TempGuest
: ABSTRACT
: 一个无头无尾、扑朔迷离的事件上周在MITBBS未名空间的人气大版LosAngeles版发生了
: 。事件起因于新人capda的一片爱国晚宴议论贴。该贴上版后引起爱国晚宴组织者
| b*********s
发帖数: 3863 | 3 都是高手中的高手...
【在 z**r 的大作中提到】
: 分析的挺有道理的，如果能加上一些route server上的信息，就更准确了。
: 比如到http://www.ipbalance.com/route-server/world_map.html 这里找几个比较近的route server登录，然后看进一步信息
|
|
|
|
|
|
|
|
