红海行动---劫持这件小事

说起最近电影界的黑马，当真是《红海行动》莫属。给观众最直观的感受就是“火爆”，场面火爆，对决火爆，真的是全程无尿点。影片主要是围绕着蛟龙突击队解救被劫持的中国商船和解救被劫持的中国公民展开来讲。小编热情高涨地去影院看完之后，似同时突发感冒和心脏病症状一样，瘫坐座椅N分钟。如下图所述

在咱们CDN应用场景中，有时候也会面临着劫持和被劫持的风险。可能大家会纳闷，CDN怎么劫持呢？其实吧，CDN本身也是一种DNS劫持，只不过是良性的劫持。CDN通过DNS调度把用户源站的资源分散到CDN边缘的代理服务器，以此来“劫持”用户的所有流量。至于劫持，可以分成是DNS劫持和http劫持。

一

“

DNS

劫

持

”

DNS劫持的概念和案例可以参考《黎叔：最烦你们这些打劫的，一点技术含量都没有！》这篇文章，里面有详细的说明。既然打劫得没有技术含量，那小编就来干点有技术含量的事情，所谓“DNS劫持概念，它一般都是被人在网络层监听到了你的DNS请求，因为DNS的请求是一个UDP53端口的明文信息，只要可以监听到网络数据就可以劫持DNS请求，然后用一台非法的DNS服务器给你一个误导的解析结果。这种情况一般都是接入网络运营商可以做。他们的做法就是简单粗暴的修改DNS服务器解析记录。如果稍微有点技术含量，则是去监听网络DNS请求，然后抢先应答，这个监听与抢先应答有点技术活。”哈哈哈~~哈皮莊大神已经在追杀小编了。用户的初衷都是想借用CDN来承担网站所有的流量，包括攻击流量，同时也想隐藏了自己源站的真正信息。DNS劫持的做法其实就是本着天下有免费的午餐而一步步壮大起来的，还是需要域名注册商加强安全管理。

二

“

http

劫

持

”

CDN架构可以简化为下面这张图，

正常情况下，用户发起访问请求，跟CDN节点经过网络协议协调后，两者之间会建立一条或多条数据通道来发送接受数据报文，往后的相关信息传输都在这一条或多条通道中进行。由于起初大多数用户网站都是使用http协议，这时候不怀好意的黑客就可以利用和监听用户与其目的网络服务所建立的专用数据通道，在正常的数据报文中插入“精心设计”的其他数据报文，让用户看到错误的数据，如以弹出新窗口的形式在使用者界面展示宣传性广告或者直接显示某网站的内容。而且需要注意的是，这种劫持往往是不定时出现的，是令人反感的。那如果用户确认遭到了http劫持，可以向所服务的运营商进行反馈，利用黑名单过滤来阻止；或者是用户网站使用https协议，CDN与用户源站也采用https协议，这样也能最大保障不被劫持的可能。

    关于劫持和被劫持，相信很多人都会遇到过，也有解决的办法。不管怎样，天下之大，IT界技术如此日新月异，总会有些令人意想不到的新技术出现，小编先奶一口，未来是CDN的！嘿嘿嘿~~