上千萬用戶被劫持流量

　　流量劫持背後的“惡魔之手”：劫持五萬IP，月入至少三萬

　　-IT時報 許戀戀 吳雨欣

　　當網際網路逐漸控制人的生活後，“生財之道”也隨之而來。在《IT時報》的調查中，下載小米為何卻變成UC，“狸貓換太子”只為了更多的流量更多的利益……流量劫持、微信刷票，劫持的是我們的手機和電腦，破壞的是網際網路的公平。

　　明明打開的是A網站，莫名其妙卻被跳轉至B網站；明明想下的是A軟體，下載安裝後卻是B軟體；打開一個App，彈出的廣告讓人心亂如麻……你以為電腦手機中毒了？錯！或許你真的錯怪了病毒，因為你的網際網路流量很可能被劫持了。

　　在網際網路的世界裏，流量劫持並不是件新鮮事。所謂流量劫持，是指通過一定技術手段，控制用戶的上網行為，讓你打開不想打開的網頁，看到不想看的廣告，而這些都會給劫持者帶去源源不斷的收入。

　　儘管早已存在，但在“用戶是綿羊”的環境下，流量劫持始終“野火燒不盡”。到底誰在劫持流量？流量劫持背後的“惡魔之手”究竟什麼樣？《IT時報》記者調查發現，在網際網路世界，流量劫持背後有一個龐大的灰色産業鏈，僅DNS劫持一種方式，每天被惡意劫持的流量至少有上千萬個IP。

　　下載小米商店卻“變臉”成UC瀏覽器

　　不久前，烏雲網發佈的一則《疑似某基於運營商流量的APK劫持推廣系統存漏洞(每天高達百萬計的劫持數據統計)》的公告再次將“流量劫持”推到了風口浪尖。

　　事情起源是烏雲網白帽子“路人甲”的朋友在下載小米商店應用時遭遇尷尬，無論是手機端還是PC端，下載到本地都會變成UC瀏覽器。“路人甲”隨後進行抓包測試，在測試過程中發現了一套隱秘的管理系統。

　　在烏雲網提供給記者的漏洞資訊中，詳細分解了“路人甲”是如何發現背後劫持流量那只黑手的過程：先是在抓包測試過程中發現了UC瀏覽器的下載連結，該用戶在利用當地運營商寬頻發出請求時，傳回的連結就被篡改了。

　　“路人甲”順藤摸瓜，挖出了一個“安裝分發平臺”，並在後臺的數據庫中發現，每天從該系統中被劫持的數據都很龐大，最高一天劫持數量達到了151萬，這只是一個準二線城市的量級。

　　“簡單來説就是下載時地址為a，然後下載連結變成了地址b，b地址尾部有個加密參數，解密後是a地址，但下載的依然是b地址裏的內容，”一位烏雲網的安全專家向《IT時報》記者解釋道。這種劫持行為目前很常見，而尾部的加密參數則讓這種劫持變得更具迷惑性，“從劫持方來説，也是為了標記這個用戶下載的應用是從a地址劫持的，到時候就很容易計算通過劫持a地址到底帶來多少量。”

　　“流量劫持泛指網上的流量被竊取、刺探、控制，在收到用戶的流量後，還可以分析竊取用戶隱私。我們上網時使用的電腦是客戶端，請求訪問的目標是伺服器，從你發生請求到看到網頁，速度很快，中間卻要經過網路鏈路及設備，而鏈路上的點和設備都可以被人做手腳，對流量進行惡意分析竊取。”國內安全團隊Keen Team成員呂禮勝告訴《IT時報》記者。

　　在呂禮勝看來，能接觸到網路鏈路及設備的人都可以進行流量劫持，常見的兩種劫持方式：一種是DNS劫持，用戶輸入域名後轉去了駭客指定的IP地址；一種是鏈路劫持，頁面被替換或插入許多廣告或被駭客用於DDOS攻擊。

　　“記者調查”

　　每天被劫持的用戶多達上千萬

　　流量售價：千人IP 最高可賣70元/日

　　“PC端橫幅點擊1.5毛，貼片點擊1.2毛和1.8毛，右下角富媒體2.2元/千次展示，對聯2.1元/千次展示，彈窗5.5元/千次，移動端下懸浮2.5元/千次展示”，在近千人的“DNS劫持 移動流量”群裏，每天高價收流量的消息在不停刷新，直至深夜也沒有停止。

　　“我們都在這裡找渠道，什麼流量都收，”剛發完一波收量資訊的孫婷(化名)告訴《IT時報》記者，在群裏喊話的，大部分都是“買流量的”，而流量從哪來，孫婷三緘其口。

　　流量價值不菲。收流量的仲介或流量購買方按照帶來的流量(千次IP)按日計算費用，千次IP的市場行情是每天35元至70元，根據用戶的品質和數量，價格不等。比如某駭客劫持的流量是每天5萬個IP，合作90天，千次IP的價格是35元，那麼流量購買方應付給駭客的費用就是157500元(50000 /1000×90×35)，平均每月5萬元。

　　事實上，出售流量的人，手裏擁有的IP遠不止5萬個。

　　在這些收流量的群裏，不時有一些提供劫持技術的團隊“探頭張望”，偶爾跳出一條資訊，“我們提供劫持技術，有意者私聊。”

　　幾經週折，記者終於和一家提供流量劫持技術服務的公司搭上了話。據其客服介紹，他們可以幫助有流量的公司安裝劫持系統，“在你們的伺服器上安裝centos(社區企業)作業系統，做好分光端口，然後把伺服器IP提供給我們就行，”該工作人員表示，他們的技術人員會部署好劫持系統，基本保證每天能反饋數據，看到收入，“即便運營商有源地址校驗，也能做，就是稍微複雜一點。”

　　要想和他們合作，手裏至少要有10萬以上可劫持流量的IP，通過劫持流量獲得的收入，“三七開，我們拿三成。”

　　誰在賣流量？

　　誰在賣流量？又是誰在買流量？這些被劫持的流量是怎麼流動的呢？在網際網路世界裏，一個巨大的黑色産業鏈若隱若現。

　　據呂禮勝介紹，電信運營商、網際網路公司、路由器的生産廠商、駭客都可能是流量劫持的操作者，目的不外乎廣告收入、商業競爭(給網站刷點擊率)、收集用戶資訊等。

　　流量劫持者將流量出售的方式有三種：將流量直接劫持到購買方的網站，行業內稱為“直設合作”；第二種是將流量先劫持到自己的網站域名，再跳轉到購買方的網站，比如先劫持2345.com到qjjxw.com，然後再跳轉到5w.com，行業內稱為“跳轉合作”；最後一種是將流量劫持到自己的網站域名後，不跳轉到購買方網站，而是完全引用購買方的網站內容，購買方同樣可以獲益，行業內稱為“框架合作”。

　　“劫持者為了利益最大化，一般不願意直設合作，主要是跳轉合作和框架合作。一旦有出價更高的，可以立即把劫持流量轉走。”上述安全界人士向記者表示。

　　收量仲介從流量劫持者手中購買流量，流量購買方則從收量仲介那裏購買流量，“有幾家大的流量仲介手中動輒可以掌握每天數百萬IP的龐大流量，他們經營的公司表面上業務看起來都很正常，但暗中從事的是一些流量劫持、垃圾廣告的生意。”一位熟悉産業鏈的業內人士向《IT時報》記者透露。

　　打擊劫持流量非一日之功

　　2015年12月25日，今日頭條、美團大眾點評網、360、騰訊、微網志、小米科技等六家網際網路公司共同發表了一份《六公司關於抵制流量劫持等違法行為的聯合聲明》，呼籲有關運營商嚴格打擊流量劫持問題，重視網際網路公司被流量劫持，可能導致的嚴重後果。

　　這封公開信，讓電信運營商異常被動。

　　“作為基礎網路的服務商，即使運營商要打擊、防範流量劫持，駭客也能通過路由器等其他方式進行劫持後兜售流量，”一位運營商內部人士表示。

　　據記者了解，電信運營商內部針對非法流量劫持都有相關防範措施，但仍有劫持系統通過各種方式進行滲透。以常見的DNS伺服器劫持為例，在電信運營商裏有省級DNS伺服器、市縣級DNS伺服器，不同級別的伺服器，所管轄的區域大小不一樣。省級DNS伺服器安全級別高，管理較規範，惡意劫持較少。市級、縣級DNS伺服器發生惡意劫持用戶訪問的情況就相對較多。

　　“網際網路世界裏流量就等於錢，當一些企業無法通過正常渠道獲得足夠的流量時，買流量就成了首選。” 另一位不願具名的網際網路人士告訴記者。

　　“利益鏈是流量劫持黑産生存的土壤。”2345總裁助理羅繪向《IT時報》記者表示。2015年11月，上海市浦東新區人民法院判決了全國首起流量劫持刑事案件，兩名被告因售賣劫持的2345網站流量而被判刑。然而，時至今日，流量劫持並未停止，羅繪透露，2345網址導航的整體流量被劫持行為每個月會給公司帶來三四百萬元的損失。

　　當自身的利益受到了損害，網際網路公司打擊流量劫持的力度開始加大。據羅繪介紹，2345形成了包括商務反劫持監控系統、頁面反劫持技術以及推廣平臺反作弊系統在內的全面反劫持系統，並通過建設技術聯盟加強協同攻關，為網路安全提供有力的技術支撐。

　　“流量劫持的監管比較難，從技術上，監管部門不知道怎樣監管和防範，監管力度也不夠，應該多和電信運營商溝通，防止有人為了謀取私利進行電信DNS伺服器劫持。”上述人士表示。

　　記者手記

　　莫伸手，伸手必被捉

　　茫茫網際網路江湖裏，總是不乏希望快速掘金的人，有需求就有幫你實現需求的人，然而法律對流量劫持是不會寬容的。《刑法》第286條規定，“違反國家規定，對電腦資訊系統中存儲、處理或者傳輸的數據和應用程式進行刪除、修改、增加的操作，後果嚴重的，處五年以下有期徒刑或者拘役，後果特別嚴重的，處五年以上有期徒刑。”在上述流量劫持案中，兩名被告人被判有期徒刑3年，緩刑3年。

　　短期內，在巨大的利益下，這只“惡魔之手”不會消失，依然會繼續蹂躪網際網路、蹂躪用戶，但別忘了，天網恢恢，莫伸手，伸手必被捉。