你正在使用的浏览器版本过低，将不能正常浏览和使用知乎。流量劫持攻击之链路劫持剖析
目前发现的TCP链路劫持攻击一般有两种形式：中断访问型（分为单向发包和双向发包）和替换页面型。
中断访问型常见于阻止用户访问某些网站，如某些设备禁止用户访问某些站点、某地运营商的禁止ADSL多终端上网功能。其原理就是伪造服务端给用户发RST包阻止TCP连接的建立（单向发包）。某些设备做得比较狠，在冒充服务端给用户发RST包的同时也冒充用户给服务端发RST包（双向发包）。
替换页面型常见于运营商植入广告，也有篡改正常网页进行SEO、骗流量的。最恶劣的莫过于钓鱼，如2011年出现过的Gmail钓鱼事件以及一些不为人知的钓鱼事件。原理也简单，就是在一个HTTP请求后伪造服务端的HTTP响应给客户端。
0x03 链路劫持判断依据
TTL：表现为TCP 报的 TTL 不一致甚至抖动很大。一种情况是跟正常包的ttl相差明显，就像以上本案例中的那样；另一种情况是通过ttl来判断类型，进而间接判断数据包是否有异常。
Identification：出现不符合 RFC 标准的情况。对于给定地址和协议的ip包来说，它的identification应该是公差为1的单调递增数列。每一个IP封包都有一个16位的唯一识别码｡当程序产生的数据要通过网络传送时都会被拆散成封包形式发送，当封包要进行重组的时候这个ID就是依据了｡标识字段唯一地标识主机发送的每一份数据报｡通常每发送一份消息它的值就会加1｡
Banner信息：与已知信息矛盾，如本案例中。
TTL：TTL是 Time To Live的缩写，该字段指定IP包被路由器丢弃之前允许通过的最大网段数量。TTL是IPv4包头的一个8 bit字段。
虽然TTL从字面上翻译，是可以存活的时间，但实际上TTL是IP数据包在计算机网络中可以转发的最大跳数。TTL字段由IP数据包的发送者设置，在IP数据包从源到目的的整个转发路径上，每经过一个路由器，路由器都会修改这个TTL字段值，具体的做法是把该TTL的值减1，然后再将IP包转发出去。如果在IP包到达目的IP之前，TTL减少为0，路由器将会丢弃收到的TTL=0的IP包并向IP包的发送者发送 ICMP time exceeded消息。
TTL的主要作用是避免IP包在网络中的无限循环和收发，节省了网络资源，并能使IP包的发送者能收到告警消息。
//IP部首定义
typedef struct _ip_hdr
&&&&unsigned char version : 4; //版本
&&&&unsigned char ihl : 4;&&&& //首部长度
&&&&&&&&&& //服务类型
&&&&unsigned short tot_& //总长度
&&&&&&&&&& //标志
&&&&unsigned short frag_ //分片偏移
&&&&&&&&&& //生存时间
&&&&un& //协议
&&&&unsigned short chk_& //检验和
&&&&in_addr src_& //源IP地址
&&&&in_addr dst_& //目的IP地址
不同的环境TTL值一般是固定的一个数，常见的是16的倍数，然后每经过一个节点减1。一般来说服务器不会修改默认的TTL值，例如Linux默认的TTL为64，Windows默认的TTL为128。
下面是默认的TTL：
WINDOWS NT/2000
WINDOWS 95/98
0x04 解决方案
（1）HTTPS
https是目前应对链路劫持用的较多的解决方案。https是加密协议，我们随便抓个http包，发现http包里面的所有东西都是明文的，这样就会被监听，而https协议是加密的。
但是光加密还不够，因为只是application data被加密了，网络层的信息都没有被加密，邪恶势力依然可以用数据包的目的ip作为源ip响应用户。https还有另一大特点是要验证数字证书，为了确保客户端访问的网站是经过CA验证的可信任的网站。所以这就几乎彻底杜绝了链路劫持的可能。
但是https也不是如此完美，虽然https解决了诸多安全问题，但是对性能也有着比较大的影响。一是用户要从http跳转到https，并且要多几次 TLS的握手，这会消耗一定的时间；二是服务器的压力也会增加。除此之外如果使用全站的https，所有页面里面的嵌入资源都要改成https，APP的程序也要进行相应的修改，CDN的所有节点也必须都支持https并且导入证书。所以全站https并不是一件容易的事情，国外的Google、 Facebook、Twitter早已支持全站https，但目前国内大多数公司都没有采用全站https的方式。全站https应该是未来互联网的趋势，关于全站https请参考资料【5】，这里不详细阐述了。&&&[2]&&&
【声明】:黑吧安全网()登载此文出于传递更多信息之目的，并不代表本站赞同其观点和对其真实性负责，仅适于网络安全技术爱好者学习研究使用，学习中请遵循国家相关法律法规。如有问题请联系我们，联系邮箱，我们会在最短的时间内进行处理。
上一篇：【】【】馒头白霜的贴吧
那种能提供牌的硬盘数据可以选择性导出吗 因为需要的文件只有10m左右养了只小狗不知道是不是晚上睡觉的时候被它咬了暗影2所有的游戏都突然变成60了 之前都还是好好的100多啊 怎么办如图 求推荐一个人多一点的区~扫描二维码登录
请用微信扫描左边二维码获得验证码
* 填写验证码
* 无需输入用户名密码，安全可靠 （需要微信已绑定）
揭开“流量劫持”的神秘面纱：月入至少三万
积分 349281
帖子 69124
威望 4137742 个
礼品券 5423 个
专家指数 3661
注册 专业方向&
回答问题数
回答被采纳数
回答采纳率
screen.width*0.7) {this.resized= this.width=screen.width*0.7; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onmouseover="if(this.width>screen.width*0.7) {this.resized= this.width=screen.width*0.7; this.style.cursor='hand'; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onclick="if(!this.resized) {} else {window.open(this.src);}" onmousewheel="return imgzoom(this);" alt="" />
　　明明打开的是A网站，莫名其妙却被跳转至B网站；明明想下的是A软件，下载安装后却是B软件；打开一个App，弹出的广告让人心乱如麻，同时也不胜其烦……你以为电脑手机中毒了？错！或许你真的错怪了病毒，因为你的互联网流量很可能被劫持了。
　　在互联网的世界里，流量劫持并不是件新鲜事。所谓流量劫持，是指通过一定技术手段，控制用户的上网行为，让你打开不想打开的网页，看到不想看的广告，而这些都会给劫持者带去源源不断的收入。
　　尽管早已存在，但在“用户是绵羊”的环境下，流量劫持始终“野火烧不尽”。到底谁在劫持流量？流量劫持背后的“恶魔之手”究竟什么样？《IT时报》记者调查发现，在互联网世界，流量劫持背后有一个庞大的灰色产业链，仅DNS劫持一种方式，每天被恶意劫持的流量至少有上千万个IP。
　　下载小米商店却“变脸”成UC浏览器
　　不久前，乌云网发布的一则《疑似某基于运营商流量的APK劫持推广系统存漏洞(每天高达百万计的劫持数据统计)》的公告再次将“流量劫持”推到了风口浪尖。
　　事情起源是乌云网白帽子“路人甲”的朋友在下载小米商店应用时遭遇尴尬，无论是手机端还是PC端，下载到本地都会变成UC浏览器。“路人甲”随后进行抓包测试，在测试过程中发现了一套隐秘的管理系统。
　　在乌云网提供给记者的漏洞信息中，详细分解了“路人甲”是如何发现背后劫持流量那只黑手的过程：先是在抓包测试过程中发现了UC浏览器的下载链接，该用户在利用当地运营商宽带发出请求时，传回的链接就被篡改了。
　　“路人甲”顺藤摸瓜，挖出了一个“安装分发平台”，并在后台的数据库中发现，每天从该系统中被劫持的数据都很庞大，最高一天劫持数量达到了151万，这只是一个准二线城市的量级。
　　“简单来说就是下载时地址为a，然后下载链接变成了地址b，b地址尾部有个加密参数，解密后是a地址，但下载的依然是b地址里的内容，”一位乌云网的安全专家向《IT时报》记者解释道。这种劫持行为目前很常见，而尾部的加密参数则让这种劫持变得更具迷惑性，“从劫持方来说，也是为了标记这个用户下载的应用是从a地址劫持的，到时候就很容易计算通过劫持a地址到底带来多少量。”
screen.width*0.7) {this.resized= this.width=screen.width*0.7; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onmouseover="if(this.width>screen.width*0.7) {this.resized= this.width=screen.width*0.7; this.style.cursor='hand'; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onclick="if(!this.resized) {} else {window.open(this.src);}" onmousewheel="return imgzoom(this);" alt="" />
　　“流量劫持泛指网上的流量被窃取、刺探、控制，在收到用户的流量后，还可以分析窃取用户隐私。我们上网时使用的电脑是客户端，请求访问的目标是服务器，从你发生请求到看到网页，速度很快，中间却要经过网络链路及设备，而链路上的点和设备都可以被人做手脚，对流量进行恶意分析窃取。”国内安全团队Keen Team成员吕礼胜告诉《IT时报》记者。
　　在吕礼胜看来，能接触到网络链路及设备的人都可以进行流量劫持，常见的两种劫持方式：一种是DNS劫持，用户输入域名后转去了黑客指定的IP地址；一种是链路劫持，页面被替换或插入许多广告或被黑客用于DDOS攻击。
　　记者调查
　　每天被劫持的用户多达上千万
　　流量售价：千人IP
　　最高可卖70元/日
　　“PC端横幅点击1.5毛，贴片点击1.2毛和1.8毛，右下角富媒体2.2元/千次展示，对联2.1元/千次展示，弹窗5.5元/千次，移动端下悬浮2.5元/千次展示”，在近千人的“DNS劫持 移动流量”群里，每天高价收流量的消息在不停刷新，直至深夜也没有停止。
　　“我们都在这里找渠道，什么流量都收，”刚发完一波收量信息的孙婷(化名)告诉《IT时报》记者，在群里喊话的，大部分都是“买流量的”，而流量从哪里来，孙婷三缄其口。
　　流量价值不菲。收流量的中介或流量购买方按照带来的流量(千次IP)按日计算费用，千次IP的市场行情是每天35元至70元，根据用户的质量和数量，价格不等。比如某黑客劫持的流量是每天5万个IP，合作90天，千次IP的价格是35元，那么流量购买方应付给黑客的费用就是157500元(5×90×35)，平均每月5万元。
　　事实上，出售流量的人，手里拥有的IP远不止5万个。
　　在这些收流量的群里，不时有一些提供劫持技术的团队“探头张望”，偶尔跳出一条信息，“我们提供劫持技术，有意者私聊。”
　　几经周折，记者终于和一家提供流量劫持技术服务的公司搭上了话。据其客服介绍，他们可以帮助有流量的公司安装劫持系统，“在你们的服务器上安装centos(社区企业)操作系统，做好分光端口，然后把服务器IP提供给我们就行，”该工作人员表示，他们的技术人员会部署好劫持系统，基本保证每天能反馈数据，看到收入，“即便运营商有源地址校验，也能做，就是稍微复杂一点。”
　　要想和他们合作，手里至少要有10万以上可劫持流量的IP，通过劫持流量获得的收入，“三七开，我们拿三成。”
　　谁在卖流量？
　　谁在卖流量？又是谁在买流量？这些被劫持的流量是怎么流动的呢？在互联网世界里，一个巨大的黑色产业链若隐若现。
　　据吕礼胜介绍，电信运营商、互联网公司、路由器的生产厂商、黑客都可能是流量劫持的操作者，目的不外乎广告收入、商业竞争(给网站刷点击率)、收集用户信息等。
　　流量劫持者将流量出售的方式有三种：将流量直接劫持到购买方的网站，行业内称为“直设合作”；第二种是将流量先劫持到自己的网站域名，再跳转到购买方的网站，比如先劫持到，然后再跳转到5w.com，行业内称为“跳转合作”；最后一种是将流量劫持到自己的网站域名后，不跳转到购买方网站，而是完全引用购买方的网站内容，购买方同样可以获益，行业内称为“框架合作”。
　　“劫持者为了利益最大化，一般不愿意直设合作，主要是跳转合作和框架合作。一旦有出价更高的，可以立即把劫持流量转走。”上述安全界人士向记者表示。
　　收量中介从流量劫持者手中购买流量，流量购买方则从收量中介那里购买流量，“有几家大的流量中介手中动辄可以掌握每天数百万IP的庞大流量，他们经营的公司表面上业务看起来都很正常，但暗中从事的是一些流量劫持、垃圾广告的生意。”一位熟悉产业链的业内人士向《IT时报》记者透露。
screen.width*0.7) {this.resized= this.width=screen.width*0.7; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onmouseover="if(this.width>screen.width*0.7) {this.resized= this.width=screen.width*0.7; this.style.cursor='hand'; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onclick="if(!this.resized) {} else {window.open(this.src);}" onmousewheel="return imgzoom(this);" alt="" />
　　打击劫持流量
　　非一日之功
　　日，今日头条、美团大众点评网、360、、、小米科技等六家互联网公司共同发表了一份《六公司关于抵制流量劫持等违法行为的联合声明》，呼吁有关运营商严格打击流量劫持问题，重视互联网公司被流量劫持，可能导致的严重后果。
　　这封公开信，让电信运营商异常被动。
　　“作为基础网络的服务商，即使运营商要打击、防范流量劫持，黑客也能通过路由器等其他方式进行劫持后兜售流量，”一位运营商内部人士表示。
　　据记者了解，电信运营商内部针对非法流量劫持都有相关防范措施，但仍有劫持系统通过各种方式进行渗透。以常见的DNS服务器劫持为例，在电信运营商里有省级DNS服务器、市县级DNS服务器，不同级别的服务器，所管辖的区域大小不一样。省级DNS服务器安全级别高，管理较规范，恶意劫持较少。市级、县级DNS服务器发生恶意劫持用户访问的情况就相对较多。
　　“互联网世界里流量就等于钱，当一些企业无法通过正常渠道获得足够的流量时，买流量就成了首选。” 另一位不愿具名的互联网人士告诉记者。
　　“利益链是流量劫持黑产生存的土壤。”2345总裁助理罗绘向《IT时报》记者表示。2015年11月，上海市浦东新区人民法院判决了全国首起流量劫持刑事案件，两名被告因售卖劫持的2345网站流量而被判刑。然而，时至今日，流量劫持并未停止，罗绘透露，2345网址导航的整体流量被劫持行为每个月会给公司带来三四百万元的损失。
　　当自身的利益受到了损害，互联网公司打击流量劫持的力度开始加大。据罗绘介绍，2345形成了包括商务反劫持监控系统、页面反劫持技术以及推广平台反作弊系统在内的全面反劫持系统，并通过建设技术联盟加强协同攻关，为网络安全提供有力的技术支撑。
　　“流量劫持的监管比较难，从技术上，监管部门不知道怎样监管和防范，监管力度也不够，应该多和电信运营商沟通，防止有人为了谋取私利进行电信DNS服务器劫持。”上述人士表示。
　　记者手记
　　莫伸手，伸手必被捉
screen.width*0.7) {this.resized= this.width=screen.width*0.7; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onmouseover="if(this.width>screen.width*0.7) {this.resized= this.width=screen.width*0.7; this.style.cursor='hand'; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onclick="if(!this.resized) {} else {window.open(this.src);}" onmousewheel="return imgzoom(this);" alt="" />
　　茫茫互联网江湖里，总是不乏希望快速掘金的人，有需求就有帮你实现需求的人，然而法律对流量劫持是不会宽容的。《刑法》第286条规定，“违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，处五年以下有期徒刑或者拘役，后果特别严重的，处五年以上有期徒刑。”在上述流量劫持案中，两名被告人被判有期徒刑3年，缓刑3年。
　　短期内，在巨大的利益下，这只“恶魔之手”不会消失，依然会继续蹂躏互联网、蹂躏用户，但别忘了，天网恢恢，莫伸手，伸手必被捉。(许恋恋)
对本帖内容的看法？
作者的更多帖子
您即将访问其它网站
您即将访问的地址是其它网站的内容，MSCBSC将不再对其安全性和可靠性负责，请自行判断是否继续前往
精彩通信图库
当前时区 GMT+8, 现在时间是
   本站统一服务邮箱：什么是链路层劫持?如何有效防范链路劫持?-沃通WoSign SSL证书!
什么是链路层劫持?如何有效防范链路劫持?
一、什么是链路层劫持
数据链路层处在OSI模型的第二层，它控制网络层与物理层之间的通信。数据链路层定义了如何让格式化数据以进行传输，以及如何让控制对物理介质的访问。它的主要功能是如何在不可靠的物理线路上进行数据的可靠传递，还提供错误检测和纠正，以确保数据的可靠传输。该层的作用包括：物理地址寻址、数据的成帧、流量控制、数据的检错、重发等。
链路层劫持是指第三方(可能是运营商、黑客)通过在用户至服务器之间，植入恶意设备或者控制网络设备的手段，侦听或篡改用户和服务器之间的数据，达到窃取用户重要数据(包括用户密码，用户身份数据等等)的目的。链路层劫持最明显的危害就是帐号、密码被窃取。
二、链路劫持案例分析
以下引用红黑联盟站内发布的案例分析，说明链路劫持的现象和判断。
案例现象描述：
有用户反馈访问公司部分业务的URL时被重定向至公司其他业务的URL，导致用户无法请求所需的服务，严重影响了用户体验以及用户利益。我们第一时间通过远控的方式复现了上述现象，并及时抓取了相关数据包以供分析，当然前期也采取了用户电脑杀毒、开发者工具分析等方式排除了用户端个人原因的可能性。从图1来看，初步判断是运营商某员工所为，意欲通过流量重定向来获取非法的流量分成，啥意思呢，被劫持的该业务的流量要经过联盟的该账户spm，使得公司再付费给联盟，归根结底还是为了盈利。
案例问题追踪：
通过分析抓取的样本数据发现，数据包在传输过程中出现异常TTL，目标机的正常TTL为51如图2。
这里出现异常TTL值116和114，并且两个包的ID(Identification)值相同，均为25576，如图3和图4，明显是伪造的包。
另外服务器banner信息也发现了异常情况，公司提供的Server是Tengine的，网站编写语言是Asp.Net的，在响应头中应该能看到，而异常响应头部无此信息，如图5所示：
综上判断，中间链路发生了劫持。劫持者应该是在网关路由器上添加嗅探程序，嗅探明文HTTP请求数据包，拿到要劫持的数据包之后，马上给请求者返回HTTP response(302 到其他 url)，导致用户无法访问正常URL。
三、链路层劫持的防御
从链路层劫持的原理来看，我们发现核心的问题是：客户端没有办法识别返回的应答是否真的是服务器返回的，还是第三方返回的，所以简单的信任了第三方的应答，丢弃了真正的应答。所以只要对服务器本身进行身份验证，就可以防止客户端“误接受”恶意应答。
就是为此种场景而生，通过一个权威CA机构(如：沃通CA)，验证服务器真实身份后，给服务器颁发证明合法身份的证书，用户的浏览器通过检查证书的合法性，来辨别服务器的真假，该证书如同服务器身份证，第三方无法伪造，确保客户端访问的网站是经过CA认证的可信网站。此外，HTTPS协议下传输数据会进行高强度加密，可以防止第三方监听、窃取或篡改数据，而HTTP协议是明文传输，随便一抓包就能看到明文数据。因此，HTTPS网站能有效防御链路层劫持。
四、选择可靠的HTTPS证书
并非所有的HTTPS证书都能有效防御链路劫持，SSL证书是用于证明服务器身份的合法证书，因此SSL证书颁发机构的合法性直接决定了SSL证书的合法性。比如：采用开源工具自己签发的自签名SSL证书，就不是合法的SSL证书，任何人都可以随意签发，没有第三方监督审核，不受浏览器信任，常被黑客用于伪造证书进行中间人攻击。不仅无法保护链路安全，反倒给黑客开了方便之门。
沃通CA是权威可信的数字证书颁发机构，通过严格的WebTrust国际认证和工信部许可，并通过了微软认证、Mozilla 认证、Android 认证、苹果认证和Adobe认证，根证书预置到全球操作系统、浏览器和移动终端中。因此，沃通CA签发的SSL证书能完美兼容1999年以后的所有浏览器、服务器以及主流移动设备，有效防范目前常见的数据泄露、流量劫持和钓鱼欺诈等安全事件。
Netcraft统计显示，沃通SSL证书在中国市场占有率排名第一，成为中国最有竞争力的SSL证书品牌，国内三分之一的SSL用户选择沃通SSL证书，其中包括当当网、1号店、苏宁易购等众多知名互联网电商品牌。
全国咨询热线：
地址：中国深圳市南山区南海大道1057号科技大厦二期A栋502
24小时客服电话：133
24小时技术支持电话：133}