疑似天津联通：记一次被流量羊毛

程序员小肖

已于 2024-01-19 10:17:34 修改

阅读量293

点赞数

文章标签：智能路由器

于 2023-02-19 12:32:43 首次发布

本文链接：https://blog.csdn.net/qq_53058639/article/details/129109386

版权

不得不说，做开发这么多年，流量劫持这个东西，大都只是：“听说过，没见过，两万五千里~”。这次结结实实被坑了一把，还是头一回。出来混，该经历的逃不过。

说来你不信

话说我们团队（坐标天津）开发了个小网站。此事不足一表，且略过不提。就说这个网站App测试的时候，手机连上公司wifi访问之，然后对着我们的小网站戳戳点点，点着点着，居然出了个这玩意：

奇怪了，明明是我们自己开发的网页，怎么会跳转到代码中并不存在的外链？我当时的第一反应是我们自己的代码或者代码依赖有问题，然而经过排查，并没有发现问题代码。

后来，由于这个问题复现几率不高，就先搁置了下来。

直到近日，又一次复现了该问题，然而并没有跳转到之前砸金蛋页面，而是最终跳转到了：

无独有偶

上网一搜，发现我们并不是唯一的受害者：

同时也据此料定，此事十有八九是天津联通搞得鬼。

理由有三：

1.我们的复现场景都是在连接到天津联通宽带下接的wifi环境中，使用过天津市不同地区的多款不同路由器。也就是说只要用的天津联通宽带，都基本能复现出这个问题。 2.网上搜到的基本都是天津用户反馈，而且和我们的推断一致，是运营商的锅。 3.手机4G网络用户或其他地区用户没有此问题的反馈，我们实测也没能在其他地区复现该问题。

现场勘查

那就简单了，抓包呗，拿到案发现场！

因为急于找到问题原因，我们仅仅使用了Charles代理抓包，现在想来，应该使用更强大的Wireshark，可以扒下流量劫持的底裤看清楚！后续如果用wireshark抓到再把抓到的包贴出来。

不过Charles也足以保留现场，让问题见于水面！

由于此事联通做的十分露骨，很快我们就抓包成功，一睹如下：

可以看到，在访问我们的主页(测试环境)时（大家可以自行访问下，看看正确的返回内容），没有返回预期内容，而是返回了这样一段html：

<html><<img src="http://su.qichexin.com/s/tji2.html" noresize><frame src="" noresize></frameset" style="margin: auto" />
</html>

相应的返回头http header也明显不对，一看就是为了抹除证据伪造的，没有任何trace来track。

可以看到，经过一系列各种形式的跳转，才最终把小黄文带了出来。本人之前是做海外互联网广告的，所以对抓包中的跳转过程比较熟悉，之所以要经历很多http跳转，是要为第三方或网盟确认一次有效的转化跳转来作为未来广告主为展示付费的数据参考。因此，这其中必有一条隐秘的黑产无疑，他们通过随机地、偶发性地劫持流量，而后将这些劫持的流量以一定的价格贩售，攫取利益，并形成了一个个有组织的小型产业链条。

抓包文件此处领取：百度网盘chls文件

有恨无人省

此外，解决方案上：

技术上，如果不采用https，这种劫持很难避免，因为是整个http层面（应用层）的拦截，前端页面想绕过，需要改的东西太多。所以，上https就好了。不过前两天我们测试反馈，nnd上了https后也被劫持了，这个...有可能吗？百思不得其解...https有非对称加密加持，专门用于防止中间人篡改，联通这tm也能绕过？由于没能保留现场，所以究竟如何不得而知，姑且当做看花眼了吧（或者是https中内嵌了http流量导致的）。总之，**上https！上https！上https！**重要的事情说三遍。

不是一个人在战斗

遇到此坑，相信自己不是一个人在战斗。所以在此也希望各位技术大牛看官帮忙，一是求教，技术上如果不采用https，有没有相对简单可行的手段解决，避免被劫持，或者来谈谈这种流量劫持技术的原理；二是可以帮忙转发，曝光此事。本文断不附带任何与问题无关的推广内容。

网络安全入门学习路线

其实入门网络安全要学的东西不算多，也就是网络基础+操作系统+中间件+数据库，四个流程下来就差不多了。

1.网络安全法和了解电脑基础

其中包括操作系统Windows基础和Linux基础，标记语言HTML基础和代码JS基础，以及网络基础、数据库基础和虚拟机使用等...

别被这些看上去很多的东西给吓到了，其实都是很简单的基础知识，同学们看完基本上都能掌握。计算机专业的同学都应该接触了解过，这部分可以直接略过。没学过的同学也不要慌，可以去B站搜索相关视频，你搜关键词网络安全工程师会出现很多相关的视频教程，我粗略的看了一下，排名第一的视频就讲的很详细。当然你也可以看下面这个视频教程仅展示部分截图：学到http和https抓包后能读懂它在说什么就行。