安全-分析深圳电信的新型HTTP劫持方式

Posted John_ABC

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了安全-分析深圳电信的新型HTTP劫持方式相关的知识,希望对你有一定的参考价值。

ISP的劫持手段真是花样百出,从以前的DNS(污染)劫持到后来的共享检测,无不通过劫持正常的请求来达到他们的目的。

之前分析过通过劫持HTTP会话,插入iframe来检测用户后端有无共享行为,但后来移动终端的发展导致ISP开始有所收敛,因为即使检测出来也不敢断用户的网了。

可是现在又出了新的花样……

最近,每当我打开baidu首页的时候,总是发现奇怪的现象,明明输入的只是www.baidu.com,但是却莫名其妙的出现了跳转,最后发现实际访问的URL竟然带上了尾巴。

好吧,起初我以为我又被流氓软件盯上了,但左思右索使劲翻遍也没发现什么被弓虽女干的迹象,只好打开虚拟机来试试,结果发现我干净的虚拟机也出现了一样的现象。

这时我才明白,又被电信劫持了,那么这次又是怎样的劫持手段呢?


 被劫持的现象


首先,我们看看现象:

 

 

当我们打开www.baidu.com的时候,浏览器最终的目的URL却变成了http://www.baidu.com/?tn=90509114_hao_pg

 

这中间明显感受到了页面的跳转,那么我们看看浏览器上的后退按钮,就发现了端倪。

 

http://112.124.105.244/jmp?m=redirect&src=szdx-baidu

 

咦,这是什么地址,看起来就像劫持的玩意,再仔细一看,szdx(深圳电信),真是自报家门,毫不忌讳啊!


 劫持的原理


那么电信是如何劫持了我们正常的百度请求呢?

 

 

经过检查,DNS是正常的,没有问题,那就说明这是HTTP链路层劫持了。

 

果断抓包,进行一次被劫持的会话,很快就有了。

 

咋一看,请求的服务器IP没有错,似乎没什么问题,但仔细一看问题就有了。

 

 

内容完全就不是一回事,这玩意怎么可能是百度返回的嘛,显然是被赤裸裸的劫持了。

 

继续深挖扩线,看看究竟在哪被劫持了。

 

先看看正常的百度响应。

 

 

唔,人家的服务器可是BWS(BaiduWebServer)呢!

 

那么就说明,我的HTTP会话被劫持了,收到了伪造的响应,回头再从被劫持的TCP流中寻找痕迹。

 

 

没错,我们找到了这个相当关键的细节!

 

我们在收到伪造的响应后,又收到了一个被认定为“伪造的重响应”数据包,而这个数据包正是我们这次请求真正的响应。

 

但此时,这个数据包已经视为无效了,观察SEQ和ACK编号即可发现其手段(TCP原理,请参考RFC#3708)。

 

为了证实这个是伪造的响应,我们知道一个人可以伪装成任何样子,但是其指纹可不是随便就能改变的。

 

HTTP工作在应用层,应用层就是一个人的外貌,想换成什么样子都行,但是IP层(网络层)所在的操作系统可就是指纹了。

 

我们先看看我这到正常百度服务器的IP包TTL值为54,这是一般不会改变的,即使路由不同,其波动也不过±1、2

 

 

然后再看看被劫持的响应IP包TTL值竟然为252,这就证明了不仅被非法劫持了而且这黑手离我仅几步之遥!

 

科普:不同的操作系统环境TTL值一般是固定的一个数,常见的是16的倍数,然后每经过一个节点减1。

 

 

 

顺水推舟,揪出元凶。先看看我这到百度服务器经过了哪些网络节点。

 

 

嗯,然后我们ping一下百度服务器,确认其TTL为54,与上述一致。

 


 

然后我们ping一下3号节点,TTL值为253,没有问题。

 

 

 

接着我们ping下一个5号节点,TTL值为251,也没有问题。

 

那么TTL为252的4号节点,显然就是劫持我们的元凶了,可是人家早就不让ping了,呵呵。

 

根据电信的网络结构,2、3号节点算是DSLAM接入、汇聚层集,那么4号节点显然是在城际骨干网前面插入类IDS系统的节点了。

 

 

由此证据链已经完整,我们可以得出一个结论:HTTP劫持就是ISP所为。


 劫持的动机


事物的存在肯定有其必然性,既然现在不检测共享了,那么为什么要劫持咱们的百度请求呢?

 

业内人士都应该知道,百度和hao123这类网站都有联盟存在,联盟的作用就是推广,带来流量。

 

加尾巴的行为,就是在做这种事情。

 

就深圳的居民用户数来说,按一天100W的保守访问计数来说,假设100元/W访问付费,那么一天下来,ISP就有了1W元的收入,那一个月就有30W的额外收入了。

 

假如通过这种方式,劫持各种购物网站,加入自己的推广,按一天成交额100W,平均返利1%计算,这又是一天1W元的收入,那一个月又有30W的额外收入了。

 

所以这种仅仅只需要对HTTP请求的host参数判别进行劫持就可以坐着收钱的事,谁都何乐而不为呢?

 

记住上面只是保守计算的例子而已,谁知道将来还有其他的什么东西?

 

至于这个行为是ISP的行为还可以理解,但如果是某些员工的个人行为私自牟利那我认为这就玩大了,但无论是哪种,粗暴侵犯用户通信自由,都是违法行为!

 

建议出现这种现象的用户,果断向ISP示威,必要时可找工信部。

 


 坚强的后盾


好像遗漏了一点,112.124.105.244这是何方神圣,为何能承载深圳电信数以万计的请求量?

 

  1. inetnum: 112.124.0.0 - 112.124.255.255  
  2. netname: ALIBABA-CN-NET  

 

这个IP来自杭州,查询IP信息发现,原来是阿里云的服务器。

 

加之这个服务器只是跳转功能,用的是ATS(Apache Traffic Server)服务器,所以区区几百万的小流量还真不算什么。

 

为了尽可能的让用户感受不到被劫持,保证速度是关键,看得出人家选择阿里云也是用心良苦啊!


 向劫持说不


那么我们怎么防范劫持呢? 

 

很遗憾,还真没办法预防。

 

唯一可行的预防方法就是尽量使用HTTPS协议访问。

 

目前,我们知道其劫持原理后知道只能通过检测TTL的变化或html元素检查来判定,但这都不是一般用户可以解决的。

 

不过,根据目前的情况,我们可以考虑在边界设备针对TTL为252且为TCP协议的包做DROP处理,切记不能REJECT。
(以普通居民用户的网络来说,TTL为252的TCP响应几乎不可能存在,所以特异性还是比较突出的)

 

但治标不如治本,还是去投诉吧!

以上是关于安全-分析深圳电信的新型HTTP劫持方式的主要内容,如果未能解决你的问题,请参考以下文章

防运营商劫持代码

http被劫持了怎么办?安装Sectigo的ssl证书可以吗?

一种结合了点击劫持Self-XSS复制粘贴劫持的新型XSS攻击

AVPass技术分析:银行劫持类病毒鼻祖BankBot再度来袭,如何绕过谷歌play的杀毒引擎?

我是这样发现ISP劫持HTTP请求的

你可能已经被运营商http劫持了