在鼠標點擊的一剎那，流量在用戶系統中流過層層節點，在路由的指引下奔向遠程服務器。這段路程中短兵相接的戰斗往往是最激烈的，在所有流量可能路過的節點往往都埋伏著劫持者，流量劫持的手段也層出不窮，從主頁配置篡改、hosts劫持、進程Hook、啟動劫持、LSP注入、瀏覽器插件劫持、http代理過濾、內核數據包劫持、bootkit等等不斷花樣翻新�；蛟S從開機的一瞬間，流量劫持的故事就已經開始。

1.道貌岸然的流氓軟件

“網址導航”堪稱國內互聯網最獨特的一道風景線，從hao123開始發揚光大，各大導航站開始成為互聯網流量最主要的一個入口點，伴隨著的是圍繞導航主頁鏈接的小尾巴(推廣ID)，展開的一場場驚心動魄的攻防狙擊戰。一方面國內安全軟件對傳統IE瀏覽器的主頁防護越來越嚴密， 另一方面用戶體驗更好的第三方瀏覽器開始占據主流地位，國內的流氓木馬為了謀求導航量也開始“另辟蹊徑”。

下面講到的案例是我們曾經捕獲到的一批導航主頁劫持樣本，歷史活躍期最早可以追溯到2014年，主要通過多類流氓軟件捆綁傳播，其劫持功能模塊通過聯網更新獲取，經過多層的內存解密后再動態加載。其中的主頁劫持插件模塊通過修改瀏覽器配置文件實現主頁篡改，對國內外的chrome、火狐、safari、傲游、qq、360、搜狗等20余款主流瀏覽器做到了全部覆蓋。實現這些功能顯然需要對這批瀏覽器的配置文件格式和加密算法做逆向分析，在樣本分析過程中我們甚至發現其利用某漏洞繞過了其中2款瀏覽器的主頁保護功能，流氓作者可謂非�！白咝摹�，可惜是劍走偏鋒。

[1] 某軟件下拉加載主頁劫持插件

上圖就是我們在其中一款軟件中抓取到的主頁劫持模塊文件和更新數據包，可能你對數據包里這個域名不是很熟悉，但是提到“音速啟動”這款軟件相信安全圈內很多人都會有所了解，當年各大安全論壇的工具包基本上都是用它來管理配置的，伴隨了很多像本文作者這樣的三流小黑客的學習成長，所以分析這個樣本過程中還是有很多感觸的，當然這些木馬劫持行為可能和原作者沒有太大關系，聽說這款軟件在停止更新幾年后賣給了上海某科技公司，其旗下多款軟件產品都曾被發現過流氓劫持行為，感興趣的讀者可以自行百度，這里不再進行更多的披露。

正如前面的案例，一部分曾經的老牌軟件開始慢慢變質，離用戶漸行漸遠；另一方面，隨著最近幾年國內安全環境的轉變，之前流行的盜號、下載者、遠控等傳統木馬日漸式微，另外一大批披著正規軟件外衣的流氓也開始興起，他們的運作方式有以下幾個特點：

1.冒充正規軟件，但實際功能單一簡陋，有些甚至是空殼軟件，常見的諸如某某日歷、天氣預報、色播、輸入法等五花八門的偽裝形式，企圖借助這些正常功能的外衣逃避安全軟件的攔截，實現常駐用戶系統的目的。

2.背后行為與木馬病毒無異，其目的還是為了獲取推廣流量，如主頁鎖定，網頁劫持、廣告彈窗、流量暗刷、靜默安裝等等。而且其中很大一部分流氓軟件的惡意模塊和配置都通過云端進行下拉控制，可以做到分時段、分地區、分場景進行投放觸發。

[2] 某流氓軟件的云端控制后臺

3.變種速度比較快，屢殺不止，被安全軟件攔截清理后很快就會更換數字簽名，甚至換個軟件外殼包裝后卷土重來。這些數字簽名注冊的企業信息很多都是流氓軟件作者從其他渠道專門收購的。

[3]某流氓軟件1個月內多次更換數字簽名證書逃避安全軟件查殺

下面可以通過幾個典型案例了解下這些流氓軟件進行流量劫持的技術手法：

1）通過瀏覽器插件進行流量劫持的QTV系列變種，該樣本針對IE瀏覽器通過BHO插件在用戶網頁中注入JS腳本，針對chrome內核的瀏覽器利用漏洞繞過了部分瀏覽器插件的正常安裝步驟，通過篡改配置文件添加瀏覽器插件實現動態劫持。

[4]被靜默安裝到瀏覽器中的插件模塊，通過JS注入劫持網頁

通過注入JS腳本來劫持用戶網頁瀏覽的技術優點也很明顯，一方面注入的云端JS腳本比較靈活，可以隨時在云端控制修改劫持行為，另一方面對于普通用戶來說非常隱蔽，難以察覺。被注入用戶網頁的JS腳本的對網頁瀏覽中大部分的推廣流量都進行了劫持，如下圖：

[5] 在網頁中注入JS劫持推廣流量

2）下面這個“高清影視流氓病毒”案例是去年曾深入跟蹤的一個流氓病毒傳播團伙，該類樣本主要偽裝成播放器類的流氓軟件進行傳播，技術特點如下圖所示，大部分劫持模塊都是驅動文件，通過動態內存加載到系統內核，實現瀏覽器劫持、靜默推廣等病毒行為。

[6] “高清影視”木馬劫持流程簡圖

從木馬后臺服務器取證的文件來看，該樣本短期內傳播量非常大，單日高峰達到20w+，一周累計感染用戶超過100萬，安裝統計數據庫每天的備份文件都超過1G。

[7] “高清影視”木馬后臺服務器取證 

2.持續活躍的廣告彈窗掛馬

提到流量劫持，不得不說到近2年時間內保持高度活躍的廣告彈窗掛馬攻擊案例，原本的廣告流量被注入了網頁木馬，以廣告彈窗等形式在客戶端觸發，這屬于一種變相的流量劫持，更確切的說應該稱之為“流量污染”或“流量投毒”，這里我們將其歸類為本地劫持。

近期掛馬利用的漏洞多為IE神洞(cve-2014-6332)和HackingTeam泄漏的多個Flash漏洞。通過網頁掛馬，流量劫持者將非常廉價的廣告彈窗流量轉化成了更高價格的安裝量，常見的CPM、CPV等形式的廣告流量每1000用戶展示只有幾元錢的成本，假設網頁掛馬的成功率有5%，這意味著劫持者獲取到20個用戶的安裝量，平均每個用戶靜默安裝5款軟件，劫持者的收益保守估計有50元，那么“廣告流量投毒”的利潤率就近10倍。這應該就是近兩年網頁掛馬事件頻發背后的最大源動力。

[8] 網頁木馬經常使用的IE神洞(CVE-2014-6332)

[9] 網頁木馬利用IE瀏覽器的res協議檢測國內主流安全軟件

這些廣告流量大多來自于軟件彈窗、色情站點、垃圾站群、運營商劫持量等等，其中甚至不乏很多知名軟件的廣告流量，從我們的監測數據中發現包括酷狗音樂、搜狐影音、電信管家、暴風影音、百度影音、皮皮影音等多家知名軟件廠商的廣告流量被曾被劫持掛馬。正是因為如此巨大的流量基數，所以一旦發生掛馬事件，受到安全威脅的用戶數量都是非常巨大的。

[10] 對利用客戶端彈窗掛馬的某病毒服務器取證發現的flash漏洞exp

據了解很多軟件廠商對自身廣告流量的管理監控都存在漏洞，有些甚至經過了多層代理分包，又缺乏統一有力的安全審核機制，導致被插入網頁木馬的“染毒流量”被大批推送到客戶端，最終導致用戶系統感染病毒。在樣本溯源過程中，我們甚至在某知名音樂軟件中發現一個專門用于暗刷廣告流量的子模塊。用戶越多責任越大，且行且珍惜。

[11] 2015年某次掛馬事件涉及的彈窗客戶端進程列表

[12] 對2015年度最活躍的某掛馬服務器的數據庫取證(高峰期每小時5k+的安裝量) 

二、網絡劫持

流量劫持的故事繼續發展，當一個網絡數據包成功躲開了本地主機系統上的層層圍剿，離開用戶主機穿行于各個路由網關節點，又開啟了一段新的冒險之旅。在用戶主機和遠程服務器之間的道路同樣是埋伏重重，數據包可能被指引向錯誤的終點(DNS劫持)，也可能被半路冒名頂替(302重定向)，或者直接被篡改(http注入)。

1.運營商劫持

提起網絡劫持往往第一個想起的就是運營商劫持，可能每一個上網的用戶或多或少都曾經遇到過，電腦系統或手機用安全軟件掃描沒有任何異常，但是打開正常網頁總是莫名其妙彈出廣告或者跳轉到其他網站。對普通用戶來說這樣的行為可以說深惡痛絕，企業和正規網站同樣也深受其害，正常業務和企業形象都會受到影響，在15年年底，騰訊、小米、微博等6家互聯網公司共同發表了一篇抵制運營商流量劫持的聯合聲明。

在我們日常的安全運營過程中也經常接到疑似運營商劫持的用戶反饋，下面講述一個非常典型的http劫持跳轉案例，用戶反饋打開獵豹瀏覽器首頁點擊下載就會彈出廣告頁面，經過我們的檢測發現用戶的網絡被運營商劫持，打開網頁的數據包中被注入了廣告劫持代碼。類似的案例還有很多，除了明面上的廣告彈窗，還有后臺靜默的流量暗刷。對于普通用戶來說，可能只有運營商客服投訴或工信部投訴才能讓這些劫持行為稍有收斂。

[13] 用戶打開網頁的數據包被注入廣告代碼

[14] 用戶任意點擊網頁觸發廣告彈窗跳轉到“6間房”推廣頁面

這個案例劫持代碼中的域名“abc.ss229.com”歸屬于推廣廣告聯盟，在安全論壇和微博已有多次用戶反饋，其官網號稱日均PV達到2.5億。其實運營商劫持流量的買賣其實已是圈內半公開的秘密，結合對用戶上網習慣的分析，可以實現對不同地區、不同群體用戶的精準定制化廣告推送，感興趣的讀者可以自行搜索相關的QQ群。

[15] 公開化的運營商劫持流量買賣

缺乏安全保護的dns協議和明文傳輸的http流量非常容易遭到劫持，而運營商占據網絡流量的必經之路，在廣告劫持技術上具有先天優勢，比如常見的分光鏡像技術，對于普通用戶和廠商來說對抗成本相對較高，另一方面國內主流的搜索引擎、導航站點、電商網站都已經開始積極擁抱更加安全的https協議，這無疑是非�？上驳霓D變。

[16] 常用于運營商流量劫持的分光鏡像技術

wooyun平臺上也曾多次曝光運營商流量劫持的案例，例如曾經被用戶舉報的案例“下載小米商城被劫持到UC瀏覽器APP”，感謝萬能的白帽子深入某運營商劫持平臺系統為我們揭秘內幕。

[17] 被曝光的某運營商apk下載分發劫持的管理后臺

以上種種，不得不讓人想起“打劫圈”最富盛名的一句渾語，“此山是我開,此樹是我栽,要想過此路,留下買路財”，“買網絡送廣告”已經成為網絡運營商的標準套餐。這些劫持流量的買賣顯然不僅僅是所謂的“個別內部員工違規操作”，還是那句話，用戶越多責任越大，且行且珍惜。

2.CDN緩存污染

CDN加速技術本質上是一種良性的DNS劫持，通過DNS引導將用戶對服務器上的js、圖片等不經常變化的靜態資源的請求引導到最近的服務器上，從而加速網絡訪問。加速訪問的良好用戶體驗使CDN加速被各大網站廣泛使用，其中蘊含的驚人流量自然也成為流量劫持者的目標。

[18] 用戶打開正常網頁后跳轉到“色播”誘導頁面

去年我們曾多次接到用戶反饋使用手機瀏覽器打開網頁時經常被跳轉到色情推廣頁面，經過抓包分析，發現是由于百度網盟CDN緩存服務器中的關鍵JS文件被污染注入廣告代碼，劫持代碼根據user-agent頭判斷流量來源后針對PC、android、iso等平臺進行分流彈窗，誘導用戶安裝“偽色播”病毒APP。

[19] 抓包分析顯示百度網盟的公共JS文件被注入廣告代碼

[20] 劫持代碼根據訪問來源平臺的不同進行分流，推廣“偽色播”病毒app

百度網盟作為全國最大的廣告聯盟之一，每天的廣告流量PV是都是以億為單位的，其CDN緩存遭遇劫持產生的影響將非常廣泛。通過分析我們確認全國只有個別地區的網絡會遭遇此類劫持，我們也在第一時間將這個情況反饋給了友商方面，但造成緩存被劫持的原因沒有得到最終反饋，是運營商中間劫持還是個別緩存服務器被入侵導致還不得而知，但是這個案例給我們的CDN服務的安全防護再一次給我們敲響警鐘。