分析深圳电信的新型HTTP劫持方式

昨天深圳下了一天的暴雨，2014年的雨水真是够多的。

 

用户的资源就是金钱，怎的也要好好利用嘛不是？

 

ISP的劫持手段真是花样百出，从以前的DNS(污染)劫持到后来的共享检测，无不通过劫持正常的请求来达到他们的目的。

 

之前分析过通过劫持HTTP会话，插入iframe来检测用户后端有无共享行为，但后来移动终端的发展导致ISP开始有所收敛，因为即使检测出来也不敢断用户的网了。

 

可是现在又出了新的花样……

 

最近，每当我打开baidu首页的时候，总是发现奇怪的现象，明明输入的只是www.baidu.com，但是却莫名其妙的出现了跳转，最后发现实际访问的URL竟然带上了尾巴。

 

好吧，起初我以为我又被流氓软件盯上了，但左思右索使劲翻遍也没发现什么被弓虽女干的迹象，只好打开虚拟机来试试，结果发现我干净的虚拟机也出现了一样的现象。

 

这时我才明白，又被电信劫持了，那么这次又是怎样的劫持手段呢？

---

 被劫持的现象

---

首先，我们看看现象：

 

 

当我们打开www.baidu.com的时候，浏览器最终的目的URL却变成了http://www.baidu.com/?tn=90509114_hao_pg

 

这中间明显感受到了页面的跳转，那么我们看看浏览器上的后退按钮，就发现了端倪。