一 、本地劫持
在鼠標點(diǎn)擊的一剎那，流量在用戶(hù)系統中流過(guò)層層節點(diǎn)，在路由的指引下奔向遠程服務(wù)器。這段路程中短兵相接的戰斗往往是最激烈的，在所有流量可能路過(guò)的節點(diǎn)往往都埋伏著(zhù)劫持者，流量劫持的手段也層出不窮，從主頁(yè)配置篡改、hosts劫持、進(jìn)程Hook、啟動(dòng)劫持、LSP注入、瀏覽器插件劫持、http代理過(guò)濾、內核數據包劫持、bootkit等等不斷花樣翻新?；蛟S從開(kāi)機的一瞬間，流量劫持的故事就已經(jīng)開(kāi)始。
1.道貌岸然的流氓軟件
“網(wǎng)址導航”堪稱(chēng)國內互聯(lián)網(wǎng)最獨特的一道風(fēng)景線(xiàn)，從hao123開(kāi)始發(fā)揚光大，各大導航站開(kāi)始成為互聯(lián)網(wǎng)流量最主要的一個(gè)入口點(diǎn)，伴隨著(zhù)的是圍繞導航主頁(yè)鏈接的小尾巴(推廣ID)，展開(kāi)的一場(chǎng)場(chǎng)驚心動(dòng)魄的攻防狙擊戰。一方面國內安全軟件對傳統IE瀏覽器的主頁(yè)防護越來(lái)越嚴密， 另一方面用戶(hù)體驗更好的第三方瀏覽器開(kāi)始占據主流地位，國內的流氓木馬為了謀求導航量也開(kāi)始“另辟蹊徑”。
下面講到的案例是我們曾經(jīng)捕獲到的一批導航主頁(yè)劫持樣本，歷史活躍期最早可以追溯到2014年，主要通過(guò)多類(lèi)流氓軟件捆綁傳播，其劫持功能模塊通過(guò)聯(lián)網(wǎng)更新獲取，經(jīng)過(guò)多層的內存解密后再動(dòng)態(tài)加載。其中的主頁(yè)劫持插件模塊通過(guò)修改瀏覽器配置文件實(shí)現主頁(yè)篡改，對國內外的chrome、火狐、safari、傲游、qq、360、搜狗等20余款主流瀏覽器做到了全部覆蓋。實(shí)現這些功能顯然需要對這批瀏覽器的配置文件格式和加密算法做逆向分析，在樣本分析過(guò)程中我們甚至發(fā)現其利用某漏洞繞過(guò)了其中2款瀏覽器的主頁(yè)保護功能，流氓作者可謂非?！白咝摹?，可惜是劍走偏鋒。
[1] 某軟件下拉加載主頁(yè)劫持插件
上圖就是我們在其中一款軟件中抓取到的主頁(yè)劫持模塊文件和更新數據包，可能你對數據包里這個(gè)域名不是很熟悉，但是提到“音速啟動(dòng)”這款軟件相信安全圈內很多人都會(huì )有所了解，當年各大安全論壇的工具包基本上都是用它來(lái)管理配置的，伴隨了很多像本文作者這樣的三流小黑客的學(xué)習成長(cháng)，所以分析這個(gè)樣本過(guò)程中還是有很多感觸的，當然這些木馬劫持行為可能和原作者沒(méi)有太大關(guān)系，聽(tīng)說(shuō)這款軟件在停止更新幾年后賣(mài)給了上海某科技公司，其旗下多款軟件產(chǎn)品都曾被發(fā)現過(guò)流氓劫持行為，感興趣的讀者可以自行百度，這里不再進(jìn)行更多的披露。
正如前面的案例，一部分曾經(jīng)的老牌軟件開(kāi)始慢慢變質(zhì)，離用戶(hù)漸行漸遠；另一方面，隨著(zhù)最近幾年國內安全環(huán)境的轉變，之前流行的盜號、下載者、遠控等傳統木馬日漸式微，另外一大批披著(zhù)正規軟件外衣的流氓也開(kāi)始興起，他們的運作方式有以下幾個(gè)特點(diǎn)：
1.冒充正規軟件，但實(shí)際功能單一簡(jiǎn)陋，有些甚至是空殼軟件，常見(jiàn)的諸如某某日歷、天氣預報、色播、輸入法等五花八門(mén)的偽裝形式，企圖借助這些正常功能的外衣逃避安全軟件的攔截，實(shí)現常駐用戶(hù)系統的目的。
2.背后行為與木馬病毒無(wú)異，其目的還是為了獲取推廣流量，如主頁(yè)鎖定，網(wǎng)頁(yè)劫持、廣告彈窗、流量暗刷、靜默安裝等等。而且其中很大一部分流氓軟件的惡意模塊和配置都通過(guò)云端進(jìn)行下拉控制，可以做到分時(shí)段、分地區、分場(chǎng)景進(jìn)行投放觸發(fā)。
[2] 某流氓軟件的云端控制后臺
3.變種速度比較快，屢殺不止，被安全軟件攔截清理后很快就會(huì )更換數字簽名，甚至換個(gè)軟件外殼包裝后卷土重來(lái)。這些數字簽名注冊的企業(yè)信息很多都是流氓軟件作者從其他渠道專(zhuān)門(mén)收購的。
[3]某流氓軟件1個(gè)月內多次更換數字簽名證書(shū)逃避安全軟件查殺
下面可以通過(guò)幾個(gè)典型案例了解下這些流氓軟件進(jìn)行流量劫持的技術(shù)手法：
1）通過(guò)瀏覽器插件進(jìn)行流量劫持的QTV系列變種，該樣本針對IE瀏覽器通過(guò)BHO插件在用戶(hù)網(wǎng)頁(yè)中注入JS腳本，針對chrome內核的瀏覽器利用漏洞繞過(guò)了部分瀏覽器插件的正常安裝步驟，通過(guò)篡改配置文件添加瀏覽器插件實(shí)現動(dòng)態(tài)劫持。
[4]被靜默安裝到瀏覽器中的插件模塊，通過(guò)JS注入劫持網(wǎng)頁(yè)
通過(guò)注入JS腳本來(lái)劫持用戶(hù)網(wǎng)頁(yè)瀏覽的技術(shù)優(yōu)點(diǎn)也很明顯，一方面注入的云端JS腳本比較靈活，可以隨時(shí)在云端控制修改劫持行為，另一方面對于普通用戶(hù)來(lái)說(shuō)非常隱蔽，難以察覺(jué)。被注入用戶(hù)網(wǎng)頁(yè)的JS腳本的對網(wǎng)頁(yè)瀏覽中大部分的推廣流量都進(jìn)行了劫持，如下圖：
[5] 在網(wǎng)頁(yè)中注入JS劫持推廣流量
2）下面這個(gè)“高清影視流氓病毒”案例是去年曾深入跟蹤的一個(gè)流氓病毒傳播團伙，該類(lèi)樣本主要偽裝成播放器類(lèi)的流氓軟件進(jìn)行傳播，技術(shù)特點(diǎn)如下圖所示，大部分劫持模塊都是驅動(dòng)文件，通過(guò)動(dòng)態(tài)內存加載到系統內核，實(shí)現瀏覽器劫持、靜默推廣等病毒行為。
[6] “高清影視”木馬劫持流程簡(jiǎn)圖
從木馬后臺服務(wù)器取證的文件來(lái)看，該樣本短期內傳播量非常大，單日高峰達到20w+，一周累計感染用戶(hù)超過(guò)100萬(wàn)，安裝統計數據庫每天的備份文件都超過(guò)1G。
[7] “高清影視”木馬后臺服務(wù)器取證
2.持續活躍的廣告彈窗掛馬
提到流量劫持，不得不說(shuō)到近2年時(shí)間內保持高度活躍的廣告彈窗掛馬攻擊案例，原本的廣告流量被注入了網(wǎng)頁(yè)木馬，以廣告彈窗等形式在客戶(hù)端觸發(fā)，這屬于一種變相的流量劫持，更確切的說(shuō)應該稱(chēng)之為“流量污染”或“流量投毒”，這里我們將其歸類(lèi)為本地劫持。
近期掛馬利用的漏洞多為IE神洞(cve-2014-6332)和HackingTeam泄漏的多個(gè)Flash漏洞。通過(guò)網(wǎng)頁(yè)掛馬，流量劫持者將非常廉價(jià)的廣告彈窗流量轉化成了更高價(jià)格的安裝量，常見(jiàn)的CPM、CPV等形式的廣告流量每1000用戶(hù)展示只有幾元錢(qián)的成本，假設網(wǎng)頁(yè)掛馬的成功率有5%，這意味著(zhù)劫持者獲取到20個(gè)用戶(hù)的安裝量，平均每個(gè)用戶(hù)靜默安裝5款軟件，劫持者的收益保守估計有50元，那么“廣告流量投毒”的利潤率就近10倍。這應該就是近兩年網(wǎng)頁(yè)掛馬事件頻發(fā)背后的最大源動(dòng)力。
[8] 網(wǎng)頁(yè)木馬經(jīng)常使用的IE神洞(CVE-2014-6332)
[9] 網(wǎng)頁(yè)木馬利用IE瀏覽器的res協(xié)議檢測國內主流安全軟件
這些廣告流量大多來(lái)自于軟件彈窗、色情站點(diǎn)、垃圾站群、運營(yíng)商劫持量等等，其中甚至不乏很多知名軟件的廣告流量，從我們的監測數據中發(fā)現包括酷狗音樂(lè )、搜狐影音、電信管家、暴風(fēng)影音、百度影音、皮皮影音等多家知名軟件廠(chǎng)商的廣告流量被曾被劫持掛馬。正是因為如此巨大的流量基數，所以一旦發(fā)生掛馬事件，受到安全威脅的用戶(hù)數量都是非常巨大的。
[10] 對利用客戶(hù)端彈窗掛馬的某病毒服務(wù)器取證發(fā)現的flash漏洞exp
據了解很多軟件廠(chǎng)商對自身廣告流量的管理監控都存在漏洞，有些甚至經(jīng)過(guò)了多層代理分包，又缺乏統一有力的安全審核機制，導致被插入網(wǎng)頁(yè)木馬的“染毒流量”被大批推送到客戶(hù)端，最終導致用戶(hù)系統感染病毒。在樣本溯源過(guò)程中，我們甚至在某知名音樂(lè )軟件中發(fā)現一個(gè)專(zhuān)門(mén)用于暗刷廣告流量的子模塊。用戶(hù)越多責任越大，且行且珍惜。
[11] 2015年某次掛馬事件涉及的彈窗客戶(hù)端進(jìn)程列表
[12] 對2015年度最活躍的某掛馬服務(wù)器的數據庫取證(高峰期每小時(shí)5k+的安裝量)
注：相關(guān)網(wǎng)站建設技巧閱讀請移步到建站教程頻道。
二、網(wǎng)絡(luò )劫持
流量劫持的故事繼續發(fā)展，當一個(gè)網(wǎng)絡(luò )數據包成功躲開(kāi)了本地主機系統上的層層圍剿，離開(kāi)用戶(hù)主機穿行于各個(gè)路由網(wǎng)關(guān)節點(diǎn)，又開(kāi)啟了一段新的冒險之旅。在用戶(hù)主機和遠程服務(wù)器之間的道路同樣是埋伏重重，數據包可能被指引向錯誤的終點(diǎn)(DNS劫持)，也可能被半路冒名頂替(302重定向)，或者直接被篡改(http注入)。
1.運營(yíng)商劫持
提起網(wǎng)絡(luò )劫持往往第一個(gè)想起的就是運營(yíng)商劫持，可能每一個(gè)上網(wǎng)的用戶(hù)或多或少都曾經(jīng)遇到過(guò)，電腦系統或手機用安全軟件掃描沒(méi)有任何異常，但是打開(kāi)正常網(wǎng)頁(yè)總是莫名其妙彈出廣告或者跳轉到其他網(wǎng)站。對普通用戶(hù)來(lái)說(shuō)這樣的行為可以說(shuō)深?lèi)和唇^，企業(yè)和正規網(wǎng)站同樣也深受其害，正常業(yè)務(wù)和企業(yè)形象都會(huì )受到影響，在15年年底，騰訊、小米、微博等6家互聯(lián)網(wǎng)公司共同發(fā)表了一篇抵制運營(yíng)商流量劫持的聯(lián)合聲明。
在我們日常的安全運營(yíng)過(guò)程中也經(jīng)常接到疑似運營(yíng)商劫持的用戶(hù)反饋，下面講述一個(gè)非常典型的http劫持跳轉案例，用戶(hù)反饋打開(kāi)獵豹瀏覽器首頁(yè)點(diǎn)擊下載就會(huì )彈出廣告頁(yè)面，經(jīng)過(guò)我們的檢測發(fā)現用戶(hù)的網(wǎng)絡(luò )被運營(yíng)商劫持，打開(kāi)網(wǎng)頁(yè)的數據包中被注入了廣告劫持代碼。類(lèi)似的案例還有很多，除了明面上的廣告彈窗，還有后臺靜默的流量暗刷。對于普通用戶(hù)來(lái)說(shuō)，可能只有運營(yíng)商客服投訴或工信部投訴才能讓這些劫持行為稍有收斂。
[13] 用戶(hù)打開(kāi)網(wǎng)頁(yè)的數據包被注入廣告代碼
[14] 用戶(hù)任意點(diǎn)擊網(wǎng)頁(yè)觸發(fā)廣告彈窗跳轉到“6間房”推廣頁(yè)面
這個(gè)案例劫持代碼中的域名“abc.ss229.com”歸屬于推廣廣告聯(lián)盟，在安全論壇和微博已有多次用戶(hù)反饋，其官網(wǎng)號稱(chēng)日均PV達到2.5億。其實(shí)運營(yíng)商劫持流量的買(mǎi)賣(mài)其實(shí)已是圈內半公開(kāi)的秘密，結合對用戶(hù)上網(wǎng)習慣的分析，可以實(shí)現對不同地區、不同群體用戶(hù)的精準定制化廣告推送，感興趣的讀者可以自行搜索相關(guān)的QQ群。
[15] 公開(kāi)化的運營(yíng)商劫持流量買(mǎi)賣(mài)
缺乏安全保護的dns協(xié)議和明文傳輸的http流量非常容易遭到劫持，而運營(yíng)商占據網(wǎng)絡(luò )流量的必經(jīng)之路，在廣告劫持技術(shù)上具有先天優(yōu)勢，比如常見(jiàn)的分光鏡像技術(shù)，對于普通用戶(hù)和廠(chǎng)商來(lái)說(shuō)對抗成本相對較高，另一方面國內主流的搜索引擎、導航站點(diǎn)、電商網(wǎng)站都已經(jīng)開(kāi)始積極擁抱更加安全的https協(xié)議，這無(wú)疑是非?？上驳霓D變。
[16] 常用于運營(yíng)商流量劫持的分光鏡像技術(shù)
wooyun平臺上也曾多次曝光運營(yíng)商流量劫持的案例，例如曾經(jīng)被用戶(hù)舉報的案例“下載小米商城被劫持到UC瀏覽器APP”，感謝萬(wàn)能的白帽子深入某運營(yíng)商劫持平臺系統為我們揭秘內幕。
[17] 被曝光的某運營(yíng)商apk下載分發(fā)劫持的管理后臺
以上種種，不得不讓人想起“打劫圈”最富盛名的一句渾語(yǔ)，“此山是我開(kāi),此樹(shù)是我栽,要想過(guò)此路,留下買(mǎi)路財”，“買(mǎi)網(wǎng)絡(luò )送廣告”已經(jīng)成為網(wǎng)絡(luò )運營(yíng)商的標準套餐。這些劫持流量的買(mǎi)賣(mài)顯然不僅僅是所謂的“個(gè)別內部員工違規操作”，還是那句話(huà)，用戶(hù)越多責任越大，且行且珍惜。
2.CDN緩存污染
CDN加速技術(shù)本質(zhì)上是一種良性的DNS劫持，通過(guò)DNS引導將用戶(hù)對服務(wù)器上的js、圖片等不經(jīng)常變化的靜態(tài)資源的請求引導到最近的服務(wù)器上，從而加速網(wǎng)絡(luò )訪(fǎng)問(wèn)。加速訪(fǎng)問(wèn)的良好用戶(hù)體驗使CDN加速被各大網(wǎng)站廣泛使用，其中蘊含的驚人流量自然也成為流量劫持者的目標。
[18] 用戶(hù)打開(kāi)正常網(wǎng)頁(yè)后跳轉到“色播”誘導頁(yè)面
去年我們曾多次接到用戶(hù)反饋使用手機瀏覽器打開(kāi)網(wǎng)頁(yè)時(shí)經(jīng)常被跳轉到色情推廣頁(yè)面，經(jīng)過(guò)抓包分析，發(fā)現是由于百度網(wǎng)盟CDN緩存服務(wù)器中的關(guān)鍵JS文件被污染注入廣告代碼，劫持代碼根據user-agent頭判斷流量來(lái)源后針對PC、android、iso等平臺進(jìn)行分流彈窗，誘導用戶(hù)安裝“偽色播”病毒APP。
[19] 抓包分析顯示百度網(wǎng)盟的公共JS文件被注入廣告代碼
[20] 劫持代碼根據訪(fǎng)問(wèn)來(lái)源平臺的不同進(jìn)行分流，推廣“偽色播”病毒app
百度網(wǎng)盟作為全國最大的廣告聯(lián)盟之一，每天的廣告流量PV是都是以?xún)|為單位的，其CDN緩存遭遇劫持產(chǎn)生的影響將非常廣泛。通過(guò)分析我們確認全國只有個(gè)別地區的網(wǎng)絡(luò )會(huì )遭遇此類(lèi)劫持，我們也在第一時(shí)間將這個(gè)情況反饋給了友商方面，但造成緩存被劫持的原因沒(méi)有得到最終反饋，是運營(yíng)商中間劫持還是個(gè)別緩存服務(wù)器被入侵導致還不得而知，但是這個(gè)案例給我們的CDN服務(wù)的安全防護再一次給我們敲響警鐘。
[21] 通過(guò)流量劫持推廣的“偽色播”病毒APP行為流程簡(jiǎn)圖
從這個(gè)案例中我們也可以看出，移動(dòng)端“劫持流量”很重要的一個(gè)出口就是“偽色情”誘導，這些病毒app基本上都是通過(guò)短信暗扣、誘導支付、廣告彈窗、流量暗刷以及推廣安裝等手段實(shí)現非法牟利。這條移動(dòng)端的灰色產(chǎn)業(yè)鏈在近兩年已經(jīng)發(fā)展成熟，“色播”類(lèi)樣本也成為移動(dòng)端中感染量最大的惡意app家族分類(lèi)之一。
[22] “偽色播”病毒APP進(jìn)行誘導推廣
這些“偽色播”病毒app安裝以后除了各種廣告推廣行為外，還會(huì )在后臺偷偷發(fā)送短信去定制多種運營(yíng)商付費業(yè)務(wù)，并且對業(yè)務(wù)確認短信進(jìn)行自動(dòng)回復和屏蔽，防止用戶(hù)察覺(jué)；有些還集成了第三方支付的SDK，以VIP充值等方式誘導用戶(hù)付費，用戶(hù)到頭來(lái)沒(méi)看到想要的“福利”不說(shuō)，吃了黃連也只能是有苦難言。
[23] 某“偽色播”病毒app通過(guò)短信定制業(yè)務(wù)進(jìn)行扣費的接口數據包
[24]病毒app自動(dòng)回復并屏蔽業(yè)務(wù)短信，防止用戶(hù)察覺(jué)
以其中某個(gè)專(zhuān)門(mén)做“色播誘導”業(yè)務(wù)的廣告聯(lián)盟為例，其背后的推廣渠道多達數百個(gè)，每年用于推廣結算的財務(wù)流水超過(guò)5000w元。從其旗下的某款色播病毒app的管理后臺來(lái)看，短短半年內扣費訂單數據超過(guò)100w條，平均每個(gè)用戶(hù)扣費金額從6~20元不等，拋開(kāi)其他的流氓推廣收益，僅扣費這一項的半年收益總額就過(guò)百萬(wàn)，而這只是海量“偽色播”病毒樣本中的一個(gè)，那整個(gè)產(chǎn)業(yè)鏈的暴利收益可想而知。
[25] 某“偽色播”病毒app的扣費統計后臺
[26] 某“偽色播”病毒app扣費通道的數據存儲服務(wù)器
3.DNS劫持
路由器作為億萬(wàn)用戶(hù)網(wǎng)絡(luò )接入的基礎設備，其安全的重要性不言而喻。最近兩年曝光的路由器漏洞、后門(mén)等案例比比皆是，主流路由器品牌基本上無(wú)一漏網(wǎng)。雖然部分廠(chǎng)商發(fā)布了修復補丁固件，但是普通用戶(hù)很少會(huì )主動(dòng)去更新升級路由器系統，所以路由器漏洞危害的持續性要遠高于普通PC平臺；另一方面，針對路由器的安全防護也一直是傳統安全軟件的空白點(diǎn)，用戶(hù)路由器一旦中招往往無(wú)法察覺(jué)。
國內外針對路由器的攻擊事件最近兩年也非常頻繁，我們目前發(fā)現的攻擊方式主要分為兩大類(lèi)，一類(lèi)是利用漏洞或后門(mén)獲取路由器系統權限后種植僵尸木馬，一般以ddos木馬居多，還兼容路由器常見(jiàn)的arm、mips等嵌入式平臺；另一類(lèi)是獲取路由器管理權限后篡改默認的DNS服務(wù)器設置，通過(guò)DNS劫持用戶(hù)流量，一般用于廣告刷量、釣魚(yú)攻擊等。
[27] 兼容多平臺的路由器DDOS木馬樣本
下面這個(gè)案例是我們近期發(fā)現的一個(gè)非常典型的dns劫持案例，劫持者通過(guò)路由器漏洞劫持用戶(hù)DNS，在用戶(hù)網(wǎng)頁(yè)中注入JS劫持代碼，實(shí)現導航劫持、電商廣告劫持、流量暗刷等。從劫持代碼中還發(fā)現了針對d-link、tp-link、zte等品牌路由器的攻擊代碼，利用CSRF漏洞篡改路由器DNS設置。
[28] 路由器DNS流量劫持案例簡(jiǎn)圖
[29] 針對d-link、tp-link、zte等品牌路由器的攻擊代碼
被篡改的惡意DNS會(huì )劫持常見(jiàn)導航站的靜態(tài)資源域名，例如s0.hao123img.com、s0.qhimg.com等，劫持者會(huì )在網(wǎng)頁(yè)引用的jquery庫中注入JS代碼，以實(shí)現后續的劫持行為。由于頁(yè)面緩存的原因，通過(guò)JS緩存投毒還可以實(shí)現長(cháng)期隱蔽劫持。
[30] 常見(jiàn)的導航站點(diǎn)域名被劫持
[31] 網(wǎng)站引用的jquery庫中被注入惡意代碼
被注入頁(yè)面的劫持代碼多用來(lái)進(jìn)行廣告暗刷和電商流量劫持，從發(fā)現的數十個(gè)劫持JS文件代碼的歷史變化中，可以看出作者一直在不斷嘗試測試改進(jìn)不同的劫持方式。
[32] 劫持代碼進(jìn)行各大電商廣告的暗刷
[33] 在網(wǎng)頁(yè)中注入CPS廣告，跳轉到自己的電商導流平臺
我們對劫持者的流量統計后臺進(jìn)行了簡(jiǎn)單的跟蹤，從51la的數據統計來(lái)看，劫持流量還是非常驚人的，日均PV在200w左右，在2015年末的高峰期甚至達到800w左右，劫持者的暴利收益不難想象。
[34] DNS流量劫持者使用的51啦統計后臺
最近兩年DNS劫持活動(dòng)非常頻繁，惡意DNS數量增長(cháng)也非常迅速，我們監測到的每年新增惡意DNS服務(wù)器就多達上百個(gè)。針對路由器的劫持攻擊案例也不僅僅發(fā)生在國內，從蜜罐系統和小范圍漏洞探測結果中，我們也捕獲到了多起全球范圍內的路由器DNS攻擊案例。
[35] DNS流量劫持者使用的51啦統計后臺
[36] 在國外地區發(fā)現的一例路由器CSRF漏洞“全家桶”，被利用的攻擊playload多達20多種
下面的案例是2016年初我們的蜜罐系統捕獲到一類(lèi)針對路由器漏洞的掃描攻擊，隨后我們嘗試進(jìn)行溯源和影響評估，在對某鄰國的部分活躍IP段進(jìn)行小范圍的掃描探測后，發(fā)現大批量的路由器被暴露在外網(wǎng)，其中存在漏洞的路由器有30%左右被篡改了DNS設置。
拋開(kāi)劫持廣告流量牟利不談，如果要對一個(gè)國家或地區的網(wǎng)絡(luò )進(jìn)行大批量的滲透或破壞，以目前路由器的千瘡百孔安全現狀，無(wú)疑可以作為很適合的一個(gè)突破口，這并不是危言聳聽(tīng)。
如下圖中漏洞路由器首選DNS被設置為劫持服務(wù)器IP，備選DNS服務(wù)器設為谷歌公共DNS(8.8.8.8)。
[37] 鄰國某網(wǎng)段中大量存在漏洞的路由器被劫持DNS設置
[38] 各種存在漏洞的路由器被劫持DNS設置
4.神秘劫持
以一個(gè)神秘的劫持案例作為故事的結尾，在工作中曾經(jīng)陸續遇到過(guò)多次神秘樣本，仿佛是隱藏在層層網(wǎng)絡(luò )中的黑暗幽靈，不知道它從哪里來(lái)，也不知道它截獲的信息最終流向哪里，留給我們的只有迷一般的背影。
這批迷一樣的樣本已經(jīng)默默存活了很久，我們捕獲到早期變種可以追溯到12年左右。下面我們先把這個(gè)迷的開(kāi)頭補充下，這些樣本絕大多數來(lái)自于某些可能被劫持的網(wǎng)絡(luò )節點(diǎn)，請靜靜看圖。
[39] 某軟件升級數據包正常狀態(tài)與異常狀態(tài)對比
[40] 某軟件升級過(guò)程中的抓包數據
我們在15年初的時(shí)候捕獲到了其中一類(lèi)樣本的新變種，除了迷一樣的傳播方式，樣本本身還有很多非常有意思的技術(shù)細節，限于篇幅這里只能放1張內部分享的分析截圖，雖然高清但是有碼，同樣老規矩靜靜看圖。
[41] 神秘樣本技術(shù)分析簡(jiǎn)圖
尾記
流量圈的故事還有很多，劫持與反劫持的故事在很長(cháng)時(shí)間內還將繼續演繹下去。流量是很多互聯(lián)網(wǎng)企業(yè)賴(lài)以生存的基礎，通過(guò)優(yōu)秀的產(chǎn)品去獲得用戶(hù)和流量是唯一的正途，用戶(hù)的信任來(lái)之不易，且行且珍惜。文章到此暫告一段落，有感興趣的地方歡迎留言討論。
聯(lián)系客服
