Wireshark---网络被劫持

打开某个目标网站时，有时候会加载出其他的网站。

思路：
1.通过抓包，发现有些包乱序了，为什么会乱序呢？因为劫持的包抢先到达，导致乱序。
2.被劫持的原理是：正常情况下，用户发出的HTTP请求，经过层层路由才能到达真实的Web服务器，然后真实的HTTP响应又经过层层路由才能回到用户端。如果是非正常情况，运营商可以在路由器上复制HTTP请求，交给假的Web服务器。然后在真的HTTP响应之前，把假的HTTP响应传给客户。
①那么如何推断出假的HTTP响应又什么特征呢？
TTL：假的Web服务器的包和真实的包的TTL可能不一样。
②那么怎么知道真实的TTL是多少呢？
三次握手是发生在HTTP劫持之前的，可以暂时假设三次握手的服务器是真的，然后排查。
③假设，真假网络包的TTL刚好一样，还有别的办法找出假的包吗？
有办法。服务器每发送一个包，都会对网络层的identification递增1，可以来排查。
④假设，TTL和Identification都对上了，还有别的办法吗？
可以在TCP层，通过win=，因为，服务器和客户端在三次握手时会声明Window Scale的值，劫持的请求并不知道这个值，会导致win的大小较大，或者异常。