电信运营商广告劫持都用过哪些手段？网站运营者和用户各有什么有效的反劫持技术？
- - 知乎每日精选从用户在浏览器输入网址（点下书签）开始： 系统在联网的时候被分配到一个 DNS 服务器地址 / 用户手工设置了一个 DNS 地址（如 8.8.8.8）. 浏览器向系统配置的 DNS 查询「这个网址对应的 IP 是多少」. 1 中的 DNS 服务器返回「服务器地址是 x.x.x.x」或者「NXDOMAIN：没这个 X 域名」.
电信运营商广告劫持都用过哪些手段？网站运营者和用户各有什么有效的反劫持技术？
标签：
电信
广告
劫持
| 发表时间：2013-01-21 16:07 | 作者：狼大人
出处：http://www.zhihu.com/rss
说劫持首先要理解会话。从用户在浏览器输入网址（点下书签）开始：
传统所谓的 DNS 劫持是说，当用户向自己系统设定的 DNS 服务器（可能是 ISP 分配的，可能是手工设置的 8.8.8.8. 之类）请求某网站 IP 地址，如果名字错误无法解析，标准的 DNS 协议规定应该发送 NXDOMAIN 错误信息（上述第 3 步），而电信可能（直接，如果用户使用的是自动分配的电信 DNS；或首先拦截来自远程服务器的 NXDOMAIN 消息，如果是用户手工设置过其它的服务器）发送一个「正常」的响应返回给用户一个错误的地址（「 http://zhihu.com 的 IP 是 123.123.213.213，实际上这个 IP 是错误的地址，如常见的 114 网址导航等），将用户浏览器页面重定向到指定的（广告）页面去。这种中途拦截、篡改 DNS 响应插入内容的做法叫做「DNS 劫持」。
现在这个所谓的 iPush （糟蹋我 i- prefix 啊垃圾！），实际上比 DNS 劫持要恶劣得多。它是主动分析用户正常的网络流量（第 5 步建立连接之后的内容），在网站返回的正常 HTML 页面（上述第 6 步）中，插入自己的内容（包括随机页面重定向、插入 iframe / javascript 页面弹窗等）。这个时候实际上用户已经完成了正常的 DNS 解析，与网站之间建立了 TCP 会话。但由于 TCP 本身只是一个管道，而 HTTP 协议是明文（无加密）的，在这个 HTTP 会话中，所有的节点（路由器网关、过滤服务器等）都有可能完整监视（和篡改）其中发送的内容 。这种「中间人」攻击，在普通 HTTP 会话中是完全无法检查防止的。由于是由攻击者在 TCP 流中间插入了一段信息，客户会以为所有信息都是来自原始服务器而无从检查和区分，所以利用这种方法给知乎页面右下角插入一个弹窗广告之类，用户很可能就以为是网站自身的内容了。
至于文中提到的「收集用户 Email 等信息」其实对用户的危害更严重：在知乎还没有 HTTPS 登录的时候我给人做过这个演示，用 Wireshark 可以重建完整的 TCP 流内容，包括登录 URL、用户名和明文密码等，真的是「一切尽收眼底」。
网站运营者对这种无耻的中间人攻击可以做的事情不多。全程使用 HTTPS 是第一步，因为首先解密 HTTPS 会话要求的计算量较大，比攻击 HTTP 流要复杂一些；同时 HTTPS 会要求 SSL 证书签名的域名与访问的网址域名对应，中间人攻击时替换的 SSL 证书往往会被浏览器检查出来并警告用户（我之前公司安全老大就曾经遇到过 Gmail 的 SSL 证书被中间人替换的情况）。但由于现在使用不合适 SSL 证书的站点相当多（包括域名不匹配、过期等），用户可能已经对浏览器的 SSL 安全警告视若无睹的直接同意，这样也无法真正保护用户的信息安全。
真的要行之有效的解决，还是如 @ 陈衍领 所说，只有靠立法和监管，限制电信服务商不要做自己不该做的事情；或者引入更充分的竞争允许用户选择。但是……
-- 完 --
下载知乎 iPhone 客户端： http://zhi.hu/ios
- 系统在联网的时候被分配到一个 DNS 服务器地址 / 用户手工设置了一个 DNS 地址（如 8.8.8.8）
- 浏览器向系统配置的 DNS 查询「这个网址对应的 IP 是多少」
- 1 中的 DNS 服务器返回「服务器地址是 x.x.x.x」或者「NXDOMAIN：没这个 X 域名」
- 浏览器向 3 中返回的 x.x.x.x 的 80 端口建立 TCP 连接
- 连接建立后，浏览器在这个连接中发送 GET /xxx HTTP/1.1 请求页面
- 服务器收到上述 GET 请求，返回 HTTP 200 OK，后面是各种 HTML 内容
传统所谓的 DNS 劫持是说，当用户向自己系统设定的 DNS 服务器（可能是 ISP 分配的，可能是手工设置的 8.8.8.8. 之类）请求某网站 IP 地址，如果名字错误无法解析，标准的 DNS 协议规定应该发送 NXDOMAIN 错误信息（上述第 3 步），而电信可能（直接，如果用户使用的是自动分配的电信 DNS；或首先拦截来自远程服务器的 NXDOMAIN 消息，如果是用户手工设置过其它的服务器）发送一个「正常」的响应返回给用户一个错误的地址（「 http://zhihu.com 的 IP 是 123.123.213.213，实际上这个 IP 是错误的地址，如常见的 114 网址导航等），将用户浏览器页面重定向到指定的（广告）页面去。这种中途拦截、篡改 DNS 响应插入内容的做法叫做「DNS 劫持」。
现在这个所谓的 iPush （糟蹋我 i- prefix 啊垃圾！），实际上比 DNS 劫持要恶劣得多。它是主动分析用户正常的网络流量（第 5 步建立连接之后的内容），在网站返回的正常 HTML 页面（上述第 6 步）中，插入自己的内容（包括随机页面重定向、插入 iframe / javascript 页面弹窗等）。这个时候实际上用户已经完成了正常的 DNS 解析，与网站之间建立了 TCP 会话。但由于 TCP 本身只是一个管道，而 HTTP 协议是明文（无加密）的，在这个 HTTP 会话中，所有的节点（路由器网关、过滤服务器等）都有可能完整监视（和篡改）其中发送的内容 。这种「中间人」攻击，在普通 HTTP 会话中是完全无法检查防止的。由于是由攻击者在 TCP 流中间插入了一段信息，客户会以为所有信息都是来自原始服务器而无从检查和区分，所以利用这种方法给知乎页面右下角插入一个弹窗广告之类，用户很可能就以为是网站自身的内容了。
至于文中提到的「收集用户 Email 等信息」其实对用户的危害更严重：在知乎还没有 HTTPS 登录的时候我给人做过这个演示，用 Wireshark 可以重建完整的 TCP 流内容，包括登录 URL、用户名和明文密码等，真的是「一切尽收眼底」。
网站运营者对这种无耻的中间人攻击可以做的事情不多。全程使用 HTTPS 是第一步，因为首先解密 HTTPS 会话要求的计算量较大，比攻击 HTTP 流要复杂一些；同时 HTTPS 会要求 SSL 证书签名的域名与访问的网址域名对应，中间人攻击时替换的 SSL 证书往往会被浏览器检查出来并警告用户（我之前公司安全老大就曾经遇到过 Gmail 的 SSL 证书被中间人替换的情况）。但由于现在使用不合适 SSL 证书的站点相当多（包括域名不匹配、过期等），用户可能已经对浏览器的 SSL 安全警告视若无睹的直接同意，这样也无法真正保护用户的信息安全。
真的要行之有效的解决，还是如 @ 陈衍领 所说，只有靠立法和监管，限制电信服务商不要做自己不该做的事情；或者引入更充分的竞争允许用户选择。但是……
-- 完 --
下载知乎 iPhone 客户端： http://zhi.hu/ios
相关 [电信 广告 劫持] 推荐：
小米路由器劫持特定网页插入应用推广广告
- - Solidot陈少举 写道 "2015年06月19日，V2EX社区有用户报告称，访问豆瓣电影时，网页上会出现小米路由手机App的广告信息. 虽然小米路由器劫持HTTP404错误页面、HTTP403错误页面，已经遭人诟病，不过事后小米官方推出了关闭HTTP错误劫持功能的开关. 通过进一步分析小米路由器的页面劫持广告原理，发现存在一个具体的劫持清单，若用户访问的网址存在于此清单中，则会劫持页面并插入广告代码，而此代码存储于 api.miwifi.com ，全程明文通信，并且没有任何加密.
秘鲁Movistar电信公司广告：Connected
- 红果 - Dongde.in 您懂的！让人心潮澎湃的广告，用简单的剪切给无助的人们更多力量. 如果有一天，我累了、痛了、哭了、感到悲伤了，你是否愿意陪在我身边，即使不发一语. 传说中的宾利广告 俄罗斯野兽组合. 新加坡感人公益广告 上一代的榜样，下一代的模范. 我们有理由相信世界会变得更美好. 原来轮胎广告也可以拍的这么浪漫. 超惹火诱惑的冰激凌广告，我的心都融化了.
HTTPS劫持研究
- - FreeBuf互联网安全新媒体平台这篇文章描述了我们对哈萨克斯坦政府实施的电信级HTTPS劫持的分析. 哈萨克斯坦政府最近开始使用一个假的根证书颁发机构，对包括Facebook，Twitter和Google等网站在内的HTTPS连接进行中间人（MitM）攻击，在此文中，我们给出了还在进行中的研究的初步结果，以及哈萨克劫持系统中新的技术细节.
漫谈流量劫持
- - WooYun知识库在鼠标点击的一刹那，流量在用户系统中流过层层节点，在路由的指引下奔向远程服务器. 这段路程中短兵相接的战斗往往是最激烈的，在所有流量可能路过的节点往往都埋伏着劫持者，流量劫持的手段也层出不穷，从主页配置篡改、hosts劫持、进程Hook、启动劫持、LSP注入、浏览器插件劫持、http代理过滤、内核数据包劫持、bootkit等等不断花样翻新.
[原创]从程序员角度分析安徽电信HTTP劫持的无耻行径，以及修改Hosts文件，使用OPENDNS无效情况下的解决方案
- han - 博客园-首页原创精华区新年刚过，我就发现使用的安徽电信E9套餐有HTTP劫持的情况（网上有人说DNS劫持，有人说网页劫持），我想大致就是这种情况. 重现非常简单，在地址栏输入一些不存在的网址（比如http: //www.dsjkjdsafjklasfewrewre.com/）或者国内无法访问的网址（比如http://www.facebook.com/），就会跳转到电信的广告页面，并且每次的广告页面还不一样，比如有：.
美国ISP劫持Google搜索结果
- 龙 - Solidotsquarefw 写道 "The New Scientist报道，多家美国ISP劫持了用户在搜索引擎里的搜索，将搜索结果重定向以便谋取利润. 当一位用户搜索“Apple”的时候，他的ISP会将其重定向到一个支付了佣金的商户网站上，重定向的网站甚至跟搜索关键字毫无关系. 好比说有人搜索“WSJ”想看华尔街日报的网站，但结果可能会打开一个推销Amazon Kindle阅读器的网站.
Activity劫持与用户防范
- - ITeye博客本文内容多参考于网上博文，但代码及用户防范的方法均属原创，转载请注明出处 http://msdxblog.sinaapp.com/?p=623. 1、Activity调试机制. 在android系统中，不同的程序之间的切换基本上是无缝的，它们之间的切换只不过是Activity的切换. Activity的概念相当于一个与用户交互的界面.
流量劫持是如何产生的？
- - FEX 百度 Web 前端研发部流量劫持，这种古老的攻击沉寂了一段时间后，最近又开始闹的沸沸扬扬. 众多知名品牌的路由器相继爆出存在安全漏洞，引来国内媒体纷纷报道. 只要用户没改默认密码，打开一个网页甚至帖子，路由器配置就会被暗中修改. 攻击还是那几种攻击，报道仍是那千篇一律的砖家提醒，以至于大家都麻木了. 早已见惯运营商的各种劫持，频繁的广告弹窗，大家也无可奈何.
XSS学习笔记（一）-点击劫持
- - CSDN博客Web前端推荐文章所谓的XSS场景就是触发的XSS的场所，多数情况下都是攻击者在网页中嵌入（发表）的恶意脚本（Cross site Scripting）,这里的触发攻击总是在浏览器端，达到攻击的者的目的，一般都是获取用户的Cookie（可以还原账户登录状态），导航到恶意网址，携带木马，作为肉鸡发起CC攻击，传播XSS蠕虫等.