电商网站流量劫持案例分析与思考（三）
之后运营商的答复是：“经核查，深圳本地没有进行推送，经网上查询有木马或病毒会导致此现象，非电信网内问题，请进行杀毒后再测试，谢谢”。这件事之后就没有再发送了。从当天晚上起，我再在ADSL环境测试，就没有发现这种流量劫持现象了。攻防之道链路劫持对企业和用户都是很麻烦的，影响用户体验，还泄漏敏感信息，而且还是分地域的，检测和防御起来也相对困难。链路劫持已经被某些人运用的炉火纯青。比如近期业界发现部分区域的百度联盟广告脚本被植入恶意JavaScript去DDoS攻击GitHub。腾讯历史上也遇到过多起链路劫持攻击，目的性很强，大部分是插广告(少部分是钓鱼和挂马)，攻击手法各种各样，有运营商的区域DNS劫持和链路劫持、运营商区域DNSServer遭到缓存投毒攻击(利用CVE-2007-2926，非常经典)、开发商在路由软件中植入劫持代码、CDN与源通信遭到ARP攻击、用户PC本地木马。当然，这些目前都已经解决了，也在持续监测中。为了对抗链路劫持，很多腾讯业务也都使用了HTTPS或者私有协议，比如QQWeb登录、QQ邮箱、理财通、Web微信、微信公众平台等。DNS劫持攻击相对容易检测和防护。检测方面，用分布的点去进行DNS查询即可，发现运营商DNS结果不对就可以推动修复。防护方面，一种方案是使用DNSSEC(DNSSecurityExtensions);腾讯、114DNS还研发了自己的方案——HttpDNS。HttpDNS不使用DNS协议而是通过HTTP协议从HttpDNS后端服务器获取域名对应的IP。当然，类似的思路我们可以实现一堆了：HTTPSDNS、TCPDNS、UDPDNS、ICMPDNS链路劫持相对复杂。检测方面，如有客户端，可以依靠客户端进行检测;如果没有客户端，就具体情况具体分析了，可以在网页里用JavaScript检测页面元素，甚至可以在全国重要城市租用ADSL探测。网站电商网站电商网电商网站流量
电商网站流量劫持案例分析与思考（二）
当时据我推出，应该是光面撒网，应该不是独一事件，于是就访问了下易迅、淘宝、天猫这些电商网站，结果发现易迅也受到同样的攻击。看起来这次流量劫持的目的是将电商网站流量导给返利联盟，通过返利联盟获得当前用户成交金额的返利。基本确认运营商有问题，但是无法确认是运营商官方故意的还是遭到黑客攻击或者是内部人士偷偷搞的。攻击源定位来看看当时的路由结果：如果按初始TTL值为255来算，HTTP包到达本机后为252，推算出经过了3(255-252)个路由，出问题的地方就在第4个路由附近，也就是这里的119.145.220.86(属于深圳电信)。当然了，虽然基本可以确认是第四个路由附近的问题(笔者连续几天抓包，伪造的HTTP响应包TTL值一直是252)，但是不排除设备故意构造一个初始TTL值(比如设置为254)来增加追查难度，为了严谨的治学态度及避免被攻击者迷惑，所以证据要坐实了。定位比较简单，既然攻击设备是旁路侦听数据包，可以推测它是基于包而非状态的，我们构造被侦听的数据包(也就是直接发出访问京东首页的HTTP请求TCP包，不需要三次握手)多次发送，TTL值从1开始递增，精确地传递数据包到每一个路径上，直到出现伪造响应——没有问题的位置是不会有响应的，第一个出现伪造响应的位置就是出问题的位置。这个时候就需要一个数据包构造工具了，基于Python的Scapy或者Windows下的XCAP都行。于是一路发过去，TTL值等于4的时候伪造的响应包出现了——确认就是第四跳路由出问题了，同时119.145.55.14回复了Time-to-liveExceeded的ICMP包。有了充分证据，于是整理了一个图文并茂的文档通过腾讯安全应急响应中心向深圳电信报障。网站电商网站电商网电商网站流量
劫持流量是什么意思呢？
1.劫持网友浏览，增加某个网站的流量，以获取非法收益。
限制流量或劫持
2.它可以对IE6、IE7浏览器地址栏进行劫持来刷搜索流量,同时监视用户的进程操作,并隐藏安全软件的窗口.木马会将用户的进程信息发送到木马制作者指定的地址进行分析,从中获得用户个人隐私.该木马还会不时弹出木马制作者指定的网站广告.
3.Worm/Fujack.aa“网页蛀虫”变种aa
Worm/Fujack.aa“网页蛀虫”变种aa是“网页蛀虫”蠕虫家族的最新成员之一,采用HTML网页脚本语言编写,是被“威金”变种感染后的网页文件.在用户访问的网页中显示一个宽度和高度都为0的编辑框（因为宽高都为0,所以该编辑框呈现隐藏不显示状态）,用这个编辑框去打开骇客事先定义好的恶意网页地址,如果用户计算机系统没有安装微软发布的相应Windows操作系统漏洞补丁,那么用户的计算机系统就会执行恶意网页中的恶意代码,下载骇客指定远程服务器站点上的恶意程序,并在用户计算机上自动调用运行,致使用户计算机中毒.
4.Backdoor/ByShell.g“隐形大盗”变种g
Backdoor/ByShell.g“隐形大盗”变种g是“隐形大盗”后门家族的最新成员之一,采用VC++语言编写.“隐形大盗”变种g运行后,自我注入到被感染计算机系统的“iexplore.exe”和“winlogon.exe”进程中加载运行,利用HOOK API和映射等技术来隐藏自我,防止被查杀.自我注册为服务,实现“隐形大盗”变种g开机自动运行.被感染计算机被骇客完全控制,骇客可随时在被感染的计算机中上传、下载、运行任意程序,导致被感染计算机中的机密资料被骇客盗取,被感染的计算机会成为网络僵尸电脑.“隐形大盗”变种g不仅具有记录管理员帐户密码、屏幕监控、远程控制、远程文件操作等功能,而且可以躲避某些杀毒软件和防火墙的监控,降低被感染计算机上的安全级别.
