运营商劫持

1. 引言
2. DNS劫持
3. HTTP 劫持
4. 路由软件中植入劫持代码、用户PC本地木马
5. 劫持弹广告检测、防御手段
6. 检测方案

全站 HTTPS 是大势所趋，可以预见，在 HTTPS 流量越来越多的前提下，缓存劫持将变得越来越没有意义。和各大网站合作发展 CDN 才是王道

1. 可能造成网站和 APP 功能故障
    1) 运营商的网间缓存更新时间及失效时间对用户和网站不可控，缓存的旧数据和新数据无法在时间上保持一致性，可能引发一些"奇怪"的问题。比如
        1.1) 好多软件的最新版本下载地址是不变的，由于缓存的原因会让你一直下载到旧版本。这可能会影响到部分软件的自动更新、自动升级功能
        1.2) 还有如网页中部分资源引用到旧数据导致网页排版和功能异常，验证码被缓存导致验证码怎么都输不对等问题 
    2) 由于劫持的方式是使用 HTTP 302 重定向指令，有的应用可能只接受 HTTP 200 OK 为正确的响应，不会识别 HTTP 302 Found 指令，造成通信故障。 
    3) 劫持后网址发生变化，可能会触发浏览器和部分程序的跨站保护功能，导致网页上的脚本程序无法执行。或者由于相对路径发生变化导致 HTTP 404 错误
    4) 从技术上缓存系统只能通过 URL 来区别不同的资源，不能识别具有相同 URL 的不同资源，这会导致资源加载错误。比如
        4.1) 看视频时，出现前一段和后一段内容不一致
        4.2) 下载 Windows 7 系统的驱动结果下载完成后发现是 Windows XP 的驱动
        4.3) 带有敏感用户信息的文件被缓存后对所有人可见等安全问题 

2. 缓存服务器具备篡改或出售缓存数据的隐患，对信息安全不利。目前部分地区的用户已经在网上讨论过下载 A 软件却被替换成 B 软件的情况 
3. 缓存服务器故障时，会造成大量用户"部分URL断网" 
4. 缓存服务器带宽和处理性能有限，据网上反映由于缓存服务器经常报 HTTP 403、502 错误，导致资源无法加载，或由于缓存服务器超载导致加载速度缓慢  
5. 缓存服务器可能触发部分网站的反爬虫(反机器人)、反盗链机制，缓存的内容是服务器报错信息，导致资源无法加载 
6. 破坏了 URL 对用户的透明性。假设用户将劫持后的链接分享给其他人，而联通对缓存服务器做了访问控制，将会导致链接无法在外部打开；另外如果缓存失效而又没有及时更新的话，可能导致用户无法通过此 URL 访问被引用的资源 
7. 损害了 IDC 和 CDN 的利益，此种网络劫持使 IDC 和 CDN 的流量大幅减少，影响 IDC 和 CDN 的流量收入 
8. 目前联通的劫持依靠 TCP 抢答的方式，但原始数据包还是会到达目标服务器并被正确响应。造成的结果就是
    1) 虽然你访问资源时被 HTTP 302 数据包重定向到了联通的缓存服务器，但原目标服务器的 HTTP 200 响应还是会被送到用户端，且由于得不到用户端的确定不断触发超时重传，极大地浪费了用户带宽 
    2) ISP通过流量镜像的方法抢在原目标服务之前向用户端response了数据包，但原目标服务器的 HTTP 200 响应还是会被送到用户端，用户端收到这个"重复的response包"之后，会向原目标服务器发送RST包

1. 网络定向直投系统(也称IPUSH)，是由中国电信开发的划时代网络技术，可以以各种格式定时、定点将广告推送到网络在线用户端的浏览主页面。通过这个传播平台,不论电信用户在IE浏览器地址栏中输入任何网址进行浏览，网络定向直投系统均可将广告主动送达用户，不依赖于某个固定的网站。可以自由选择目标市场区域，灵活投放，全面覆盖
2. IPUSH提供用户在相关搜索引擎(百度、google)输入内容，系统通过输入内容中的关键字，向用户推送与关键字绑定的图片、动画等多媒体交互式广告内容
3. 根据用户访问的网站地址，推送与指定网站URL绑定的广告内容
4. 以区域为单位,以宽带用户为依托的电信级网关广告 

1. URL全屏定向直投
只要是指定地区的宽带用户上网浏览内容，系统就向其点对点推送广告，第一时间独占了目标受众的眼球

2. 超级搜索引擎
根据受众在百度或者google进行关键字搜索的在线及时行为，自动触发与关键字绑定的广告，精准得出现在此类产品感兴趣的目标受众面前，在所有参与搜索引擎竞价排名的竞争对手中独占鳌头

3. 用户上网行为广告推送
根据受众在网上浏览某个网站或网站的某个栏目，系统自动判断对产品感兴趣的受众，从而主动向该受众定向推送交互式的全屏广告

1. 地域定向推送: 针对不同区域的用户，在指定时间段内上网，即自动跳出互动广告
2. 关键字搜索: 可以在普通用户进行搜索行为时，根据预设的关键字自动跳出互动广告
3. 特定网址绑定: 绑定指定网站/页面，一旦用户访问相应网站/页面，自动跳出互动广告

通过置换页面的形式和电信网络的组合利用，避开各类软件的屏蔽

https://www.v2ex.com/t/255600
http://www.chinanews.com/cj/2015/05-22/7295090.shtml
https://www.v2ex.com/t/251341
https://www.v2ex.com/t/251297
https://www.v2ex.com/t/251148
https://www.v2ex.com/t/251297#reply45
http://wenku.baidu.com/view/24aa3308844769eae009ed78.html
http://wenku.baidu.com/view/87cbdfd7c1c708a1284a44a8.html
http://yanjunyi.com/blog/posts/yunnan-telecom-intercept-record.html
http://www.williamlong.info/archives/439.html
http://www.williamlong.info/archives/369.html
http://www.williamlong.info/archives/335.html
http://www.williamlong.info/archives/3658.html
https://www.v2ex.com/t/149254
https://www.v2ex.com/t/145087

https://security.tencent.com/index.php/blog/msg/14

1. 上网时正常页面被植入广告或恶意代码，连使用手机 APP 都不能幸免
2. 上 A 网站却有一定机率被跳转到 B 网站
3. 访问网站被多次跳转并被添加返利小尾巴等 

1. 客户端C向服务器S发出一个HTTP请求 
2. 运营商网关将该请求分光(复制)送到缓存服务器 
3. 缓存服务器如果发现命中缓存，则伪装成S返回一个302响应，该响应通常比S的正确响应早到，因此C接受了该响应，而忽略了S的响应，从而跳转到缓存服务器取数据 
//这同时也是伟大的墙发送RST的方法 

1. ISP直接返回一个302
    1) 跳转到一个新的URL(例如404页面)
    2) 继续跳转原始URL，但是在尾部加上"小尾巴"，例如广告联盟(包括返利): www.baidu.com/s?wd=test&tn=SE_pshl0065_bassux8m。这个"小尾巴"表示来源渠道商，用户带上这个小尾巴访问目标网站后(例如百度)，目标网站需要向广告联盟支付推广费用，TCP流量劫持参与者就可以从中获利
2. ISP在原始网页(缓存中)中增加新内容
    1) iframe:  <frame src="http://zgshihu.com/z/z_sz.php" name="fb" frameborder="0">
    2) js跳转链接: <script type="text/javascript">parent.location.href="http://www.amazon.cn?tag=eqifa5307-23&ascsubtag=704747|1|"; </script>

http://www.williamlong.info/archives/4181.html
http://news.mydrivers.com/1/264/264415.htm
http://blog.caoyue.me/post/isp-tcp-hijacking
https://www.v2ex.com/t/120079
https://security.tencent.com/index.php/blog/msg/81

<script type="text/javascript"> 
    if (top.location !== self.location) {
    top.location=self.location;
 }
</script>

<style> html{display : none ; } </style> 
<script>
if( self == top ) {
          document.documentElement.style.display = ‘block‘ ;
   } else {
       top.location = self.location ;
   }
</script>

1. tracert 被劫持的目标网站IP，得到每一跳的路由IP，并且得到一个正常情况下的Standar TTL
//TCP劫持设备(旁路侦听数据包)一般是基于包而非状态的，我们构造被侦听的数据包(也就是直接发出访问目前Server IP的HTTP请求TCP 包，不需要三次握手)多次发送，TTL值从1开始递增，精确地传递数据包到每一个路径上，直到出现伪造响应——没有问题的位置是不会有响应的，第一个出现 伪造响应的位置就是出问题的位置
2. 用python的Scapy向目标被劫持Server IP发送TCP包，TTL从0开始递增
3. 正常情况下TTL只有到达Standar TTL才会收到目标Server的正常回包，但是如果链路上发生了TCP劫持，在TTL还未到达Standar TTL之前就会收到正常回包，因为旁路劫持设备不会去检测请求包的TTL词，它会以为当前收到的请求包是一个正常的访问请求，会尝试抢在原始目标Server之前发送缓存中的数据包
4. 在客户端看到的现象就是会收到一个Time-to-live Exceeded的ICMP包、以及一个来自原始Server IP的正常回包

#!/bin/python
#  
# 

import sys
from scapy.all import * 
conf.verb=0

print "TCP Hijacking Delector by lake2"
print "[+] Sniffing ...."
ip_arr = {}
while 1:
    a=sniff( filter="tcp and src host not 10.26.234.44", count=50)
    for b in a:
        ip_src = b.sprintf(r"%IP.src%")
        ip_ttl = b.sprintf(r"%IP.ttl%")
        if ip_arr.has_key(ip_src):
            c = int(ip_ttl) - int(ip_arr[ip_src])
            if abs(c) > 4:
                print ip_src + " has been hijacking !!!   current pack‘s ttl : " + str(ip_ttl) + "  <-> " + str(ip_arr[ip_src])
        else:
            ip_arr[ip_src] = ip_ttl
    print "=>"

iptables -A FORWARD -p tcp --sport 80 -m string --string "Location: http://59.108.200.39" --algo bm -j DROP
//该规则的意义是，如果某个HTTP响应包中含有 Location: http://59.108.200.39 字样，就直接丢弃。这样后续S真实的响应包就能被客户端接收，从而保证正确的通信

https://en.wikipedia.org/wiki/Framekiller
https://www.elie.net/publication/busting-frame-busting-a-study-of-clickjacking-vulnerabilities-on-popular-sites
http://dbanotes.net/security/iframekiller_anti_iframe_clicjacking.html
https://security.tencent.com/index.php/blog/msg/10
http://bobao.360.cn/learning/detail/333.html
http://www.bk80.com/blog/1092.html
https://onebitbug.me/2013/12/19/escape-isp-http-hijacking/

1. 从流量中过滤出RST包，并保存dst ip
2. 这些dst ip可能是遭到了ISP的TCP劫持，这些ip相当于一个"高疑似度IP"，很有可能是电商、大型网站
3. 下一步需要拿全国各省各市的ADSL拨号，拨入对应城市三级ISP的网络中
4. 循环发1000 TCP包，检测这个过程中是否发生"TTL波动"，即如果当地存在ISP TCP劫持，则收到的TTL值和访问正常网站的TTL值多数情况下会不一样，即使运营商采取了随机插入的策略，在多次(1000次以上)访问过程中，也有很大几率产生TTL差值波动
5. 最终得到的是存在ISP TCP劫持的ISP城市