劫持流量原理是什么?關(guān)于劫持流量的種類和產(chǎn)生

在鼠標(biāo)點(diǎn)擊的一剎那,流量在用戶系統(tǒng)中流過(guò)層層節(jié)點(diǎn),在路由的指引下奔向遠(yuǎn)程服務(wù)器。這段路程中短兵相接的戰(zhàn)斗往往是最激烈的,在所有流量可能路過(guò)的節(jié)點(diǎn)往往都埋伏著劫持者,流量劫持的手段也層出不窮,從主頁(yè)配置篡改、hosts劫持、進(jìn)程Hook、啟動(dòng)劫持、LSP注入、瀏覽器插件劫持、http代理過(guò)濾、內(nèi)核數(shù)據(jù)包劫持、bootkit等等不斷花樣翻新?;蛟S從開機(jī)的一瞬間,流量劫持的故事就已經(jīng)開始。
1.道貌岸然的流氓軟件
“網(wǎng)址導(dǎo)航”堪稱國(guó)內(nèi)互聯(lián)網(wǎng)最獨(dú)特的一道風(fēng)景線,從hao123開始發(fā)揚(yáng)光大,各大導(dǎo)航站開始成為互聯(lián)網(wǎng)流量最主要的一個(gè)入口點(diǎn),伴隨著的是圍繞導(dǎo)航主頁(yè)鏈接的小尾巴(推廣ID),展開的一場(chǎng)場(chǎng)驚心動(dòng)魄的攻防狙擊戰(zhàn)。一方面國(guó)內(nèi)安全軟件對(duì)傳統(tǒng)IE瀏覽器的主頁(yè)防護(hù)越來(lái)越嚴(yán)密, 另一方面用戶體驗(yàn)更好的第三方瀏覽器開始占據(jù)主流地位,國(guó)內(nèi)的流氓木馬為了謀求導(dǎo)航量也開始“另辟蹊徑”。
下面講到的案例是我們?cè)?jīng)捕獲到的一批導(dǎo)航主頁(yè)劫持樣本,歷史活躍期最早可以追溯到2014年,主要通過(guò)多類流氓軟件捆綁傳播,其劫持功能模塊通過(guò)聯(lián)網(wǎng)更新獲取,經(jīng)過(guò)多層的內(nèi)存解密后再動(dòng)態(tài)加載。其中的主頁(yè)劫持插件模塊通過(guò)修改瀏覽器配置文件實(shí)現(xiàn)主頁(yè)篡改,對(duì)國(guó)內(nèi)外的chrome、火狐、safari、傲游、qq、360、搜狗等20余款主流瀏覽器做到了全部覆蓋。實(shí)現(xiàn)這些功能顯然需要對(duì)這批瀏覽器的配置文件格式和加密算法做逆向分析,在樣本分析過(guò)程中我們甚至發(fā)現(xiàn)其利用某漏洞繞過(guò)了其中2款瀏覽器的主頁(yè)保護(hù)功能,流氓作者可謂非常“走心”,可惜是劍走偏鋒。
[1] 某軟件下拉加載主頁(yè)劫持插件
上圖就是我們?cè)谄渲幸豢钴浖凶ト〉降闹黜?yè)劫持模塊文件和更新數(shù)據(jù)包,可能你對(duì)數(shù)據(jù)包里這個(gè)域名不是很熟悉,但是提到“音速啟動(dòng)”這款軟件相信安全圈內(nèi)很多人都會(huì)有所了解,當(dāng)年各大安全論壇的工具包基本上都是用它來(lái)管理配置的,伴隨了很多像本文作者這樣的三流小黑客的學(xué)習(xí)成長(zhǎng),所以分析這個(gè)樣本過(guò)程中還是有很多感觸的,當(dāng)然這些木馬劫持行為可能和原作者沒(méi)有太大關(guān)系,聽(tīng)說(shuō)這款軟件在停止更新幾年后賣給了上海某科技公司,其旗下多款軟件產(chǎn)品都曾被發(fā)現(xiàn)過(guò)流氓劫持行為,感興趣的讀者可以自行百度,這里不再進(jìn)行更多的披露。
正如前面的案例,一部分曾經(jīng)的老牌軟件開始慢慢變質(zhì),離用戶漸行漸遠(yuǎn);另一方面,隨著最近幾年國(guó)內(nèi)安全環(huán)境的轉(zhuǎn)變,之前流行的盜號(hào)、下載者、遠(yuǎn)控等傳統(tǒng)木馬日漸式微,另外一大批披著正規(guī)軟件外衣的流氓也開始興起,他們的運(yùn)作方式有以下幾個(gè)特點(diǎn):
1.冒充正規(guī)軟件,但實(shí)際功能單一簡(jiǎn)陋,有些甚至是空殼軟件,常見(jiàn)的諸如某某日歷、天氣預(yù)報(bào)、色播、輸入法等五花八門的偽裝形式,企圖借助這些正常功能的外衣逃避安全軟件的攔截,實(shí)現(xiàn)常駐用戶系統(tǒng)的目的。
2.背后行為與木馬病毒無(wú)異,其目的還是為了獲取推廣流量,如主頁(yè)鎖定,網(wǎng)頁(yè)劫持、廣告彈窗、流量暗刷、靜默安裝等等。而且其中很大一部分流氓軟件的惡意模塊和配置都通過(guò)云端進(jìn)行下拉控制,可以做到分時(shí)段、分地區(qū)、分場(chǎng)景進(jìn)行投放觸發(fā)。
[2] 某流氓軟件的云端控制后臺(tái)
3.變種速度比較快,屢殺不止,被安全軟件攔截清理后很快就會(huì)更換數(shù)字簽名,甚至換個(gè)軟件外殼包裝后卷土重來(lái)。這些數(shù)字簽名注冊(cè)的企業(yè)信息很多都是流氓軟件作者從其他渠道專門收購(gòu)的。
[3]某流氓軟件1個(gè)月內(nèi)多次更換數(shù)字簽名證書逃避安全軟件查殺
下面可以通過(guò)幾個(gè)典型案例了解下這些流氓軟件進(jìn)行流量劫持的技術(shù)手法:
1)通過(guò)瀏覽器插件進(jìn)行流量劫持的QTV系列變種,該樣本針對(duì)IE瀏覽器通過(guò)BHO插件在用戶網(wǎng)頁(yè)中注入JS腳本,針對(duì)chrome內(nèi)核的瀏覽器利用漏洞繞過(guò)了部分瀏覽器插件的正常安裝步驟,通過(guò)篡改配置文件添加瀏覽器插件實(shí)現(xiàn)動(dòng)態(tài)劫持。
[4]被靜默安裝到瀏覽器中的插件模塊,通過(guò)JS注入劫持網(wǎng)頁(yè)
通過(guò)注入JS腳本來(lái)劫持用戶網(wǎng)頁(yè)瀏覽的技術(shù)優(yōu)點(diǎn)也很明顯,一方面注入的云端JS腳本比較靈活,可以隨時(shí)在云端控制修改劫持行為,另一方面對(duì)于普通用戶來(lái)說(shuō)非常隱蔽,難以察覺(jué)。被注入用戶網(wǎng)頁(yè)的JS腳本的對(duì)網(wǎng)頁(yè)瀏覽中大部分的推廣流量都進(jìn)行了劫持,如下圖:
[5] 在網(wǎng)頁(yè)中注入JS劫持推廣流量
2)下面這個(gè)“高清影視流氓病毒”案例是去年曾深入跟蹤的一個(gè)流氓病毒傳播團(tuán)伙,該類樣本主要偽裝成播放器類的流氓軟件進(jìn)行傳播,技術(shù)特點(diǎn)如下圖所示,大部分劫持模塊都是驅(qū)動(dòng)文件,通過(guò)動(dòng)態(tài)內(nèi)存加載到系統(tǒng)內(nèi)核,實(shí)現(xiàn)瀏覽器劫持、靜默推廣等病毒行為。
[6] “高清影視”木馬劫持流程簡(jiǎn)圖
從木馬后臺(tái)服務(wù)器取證的文件來(lái)看,該樣本短期內(nèi)傳播量非常大,單日高峰達(dá)到20w+,一周累計(jì)感染用戶超過(guò)100萬(wàn),安裝統(tǒng)計(jì)數(shù)據(jù)庫(kù)每天的備份文件都超過(guò)1G。
[7] “高清影視”木馬后臺(tái)服務(wù)器取證
2.持續(xù)活躍的廣告彈窗掛馬
提到流量劫持,不得不說(shuō)到近2年時(shí)間內(nèi)保持高度活躍的廣告彈窗掛馬攻擊案例,原本的廣告流量被注入了網(wǎng)頁(yè)木馬,以廣告彈窗等形式在客戶端觸發(fā),這屬于一種變相的流量劫持,更確切的說(shuō)應(yīng)該稱之為“流量污染”或“流量投毒”,這里我們將其歸類為本地劫持。
近期掛馬利用的漏洞多為IE神洞(cve-2014-6332)和HackingTeam泄漏的多個(gè)Flash漏洞。通過(guò)網(wǎng)頁(yè)掛馬,流量劫持者將非常廉價(jià)的廣告彈窗流量轉(zhuǎn)化成了更高價(jià)格的安裝量,常見(jiàn)的CPM、CPV等形式的廣告流量每1000用戶展示只有幾元錢的成本,假設(shè)網(wǎng)頁(yè)掛馬的成功率有5%,這意味著劫持者獲取到20個(gè)用戶的安裝量,平均每個(gè)用戶靜默安裝5款軟件,劫持者的收益保守估計(jì)有50元,那么“廣告流量投毒”的利潤(rùn)率就近10倍。這應(yīng)該就是近兩年網(wǎng)頁(yè)掛馬事件頻發(fā)背后的最大源動(dòng)力。
[8] 網(wǎng)頁(yè)木馬經(jīng)常使用的IE神洞(CVE-2014-6332)
[9] 網(wǎng)頁(yè)木馬利用IE瀏覽器的res協(xié)議檢測(cè)國(guó)內(nèi)主流安全軟件
這些廣告流量大多來(lái)自于軟件彈窗、色情站點(diǎn)、垃圾站群、運(yùn)營(yíng)商劫持量等等,其中甚至不乏很多知名軟件的廣告流量,從我們的監(jiān)測(cè)數(shù)據(jù)中發(fā)現(xiàn)包括酷狗音樂(lè)、搜狐影音、電信管家、暴風(fēng)影音、百度影音、皮皮影音等多家知名軟件廠商的廣告流量被曾被劫持掛馬。正是因?yàn)槿绱司薮蟮牧髁炕鶖?shù),所以一旦發(fā)生掛馬事件,受到安全威脅的用戶數(shù)量都是非常巨大的。
[10] 對(duì)利用客戶端彈窗掛馬的某病毒服務(wù)器取證發(fā)現(xiàn)的flash漏洞exp
據(jù)了解很多軟件廠商對(duì)自身廣告流量的管理監(jiān)控都存在漏洞,有些甚至經(jīng)過(guò)了多層代理分包,又缺乏統(tǒng)一有力的安全審核機(jī)制,導(dǎo)致被插入網(wǎng)頁(yè)木馬的“染毒流量”被大批推送到客戶端,最終導(dǎo)致用戶系統(tǒng)感染病毒。在樣本溯源過(guò)程中,我們甚至在某知名音樂(lè)軟件中發(fā)現(xiàn)一個(gè)專門用于暗刷廣告流量的子模塊。用戶越多責(zé)任越大,且行且珍惜。
[11] 2015年某次掛馬事件涉及的彈窗客戶端進(jìn)程列表
[12] 對(duì)2015年度最活躍的某掛馬服務(wù)器的數(shù)據(jù)庫(kù)取證(高峰期每小時(shí)5k+的安裝量)
二、網(wǎng)絡(luò)劫持
流量劫持的故事繼續(xù)發(fā)展,當(dāng)一個(gè)網(wǎng)絡(luò)數(shù)據(jù)包成功躲開了本地主機(jī)系統(tǒng)上的層層圍剿,離開用戶主機(jī)穿行于各個(gè)路由網(wǎng)關(guān)節(jié)點(diǎn),又開啟了一段新的冒險(xiǎn)之旅。在用戶主機(jī)和遠(yuǎn)程服務(wù)器之間的道路同樣是埋伏重重,數(shù)據(jù)包可能被指引向錯(cuò)誤的終點(diǎn)(DNS劫持),也可能被半路冒名頂替(302重定向),或者直接被篡改(http注入)。
1.運(yùn)營(yíng)商劫持
提起網(wǎng)絡(luò)劫持往往第一個(gè)想起的就是運(yùn)營(yíng)商劫持,可能每一個(gè)上網(wǎng)的用戶或多或少都曾經(jīng)遇到過(guò),電腦系統(tǒng)或手機(jī)用安全軟件掃描沒(méi)有任何異常,但是打開正常網(wǎng)頁(yè)總是莫名其妙彈出廣告或者跳轉(zhuǎn)到其他網(wǎng)站。對(duì)普通用戶來(lái)說(shuō)這樣的行為可以說(shuō)深惡痛絕,企業(yè)和正規(guī)網(wǎng)站同樣也深受其害,正常業(yè)務(wù)和企業(yè)形象都會(huì)受到影響,在15年年底,騰訊、小米、微博等6家互聯(lián)網(wǎng)公司共同發(fā)表了一篇抵制運(yùn)營(yíng)商流量劫持的聯(lián)合聲明。
在我們?nèi)粘5陌踩\(yùn)營(yíng)過(guò)程中也經(jīng)常接到疑似運(yùn)營(yíng)商劫持的用戶反饋,下面講述一個(gè)非常典型的http劫持跳轉(zhuǎn)案例,用戶反饋打開獵豹瀏覽器首頁(yè)點(diǎn)擊下載就會(huì)彈出廣告頁(yè)面,經(jīng)過(guò)我們的檢測(cè)發(fā)現(xiàn)用戶的網(wǎng)絡(luò)被運(yùn)營(yíng)商劫持,打開網(wǎng)頁(yè)的數(shù)據(jù)包中被注入了廣告劫持代碼。類似的案例還有很多,除了明面上的廣告彈窗,還有后臺(tái)靜默的流量暗刷。對(duì)于普通用戶來(lái)說(shuō),可能只有運(yùn)營(yíng)商客服投訴或工信部投訴才能讓這些劫持行為稍有收斂。
[13] 用戶打開網(wǎng)頁(yè)的數(shù)據(jù)包被注入廣告代碼
[14] 用戶任意點(diǎn)擊網(wǎng)頁(yè)觸發(fā)廣告彈窗跳轉(zhuǎn)到“6間房”推廣頁(yè)面
這個(gè)案例劫持代碼中的域名“abc.ss229.com”歸屬于推廣廣告聯(lián)盟,在安全論壇和微博已有多次用戶反饋,其官網(wǎng)號(hào)稱日均PV達(dá)到2.5億。其實(shí)運(yùn)營(yíng)商劫持流量的買賣其實(shí)已是圈內(nèi)半公開的秘密,結(jié)合對(duì)用戶上網(wǎng)習(xí)慣的分析,可以實(shí)現(xiàn)對(duì)不同地區(qū)、不同群體用戶的精準(zhǔn)定制化廣告推送,感興趣的讀者可以自行搜索相關(guān)的QQ群。
[15] 公開化的運(yùn)營(yíng)商劫持流量買賣
缺乏安全保護(hù)的dns協(xié)議和明文傳輸?shù)膆ttp流量非常容易遭到劫持,而運(yùn)營(yíng)商占據(jù)網(wǎng)絡(luò)流量的必經(jīng)之路,在廣告劫持技術(shù)上具有先天優(yōu)勢(shì),比如常見(jiàn)的分光鏡像技術(shù),對(duì)于普通用戶和廠商來(lái)說(shuō)對(duì)抗成本相對(duì)較高,另一方面國(guó)內(nèi)主流的搜索引擎、導(dǎo)航站點(diǎn)、電商網(wǎng)站都已經(jīng)開始積極擁抱更加安全的https協(xié)議,這無(wú)疑是非常可喜的轉(zhuǎn)變。
[16] 常用于運(yùn)營(yíng)商流量劫持的分光鏡像技術(shù)
wooyun平臺(tái)上也曾多次曝光運(yùn)營(yíng)商流量劫持的案例,例如曾經(jīng)被用戶舉報(bào)的案例“下載小米商城被劫持到UC瀏覽器APP”,感謝萬(wàn)能的白帽子深入某運(yùn)營(yíng)商劫持平臺(tái)系統(tǒng)為我們揭秘內(nèi)幕。
[17] 被曝光的某運(yùn)營(yíng)商apk下載分發(fā)劫持的管理后臺(tái)
以上種種,不得不讓人想起“打劫圈”最富盛名的一句渾語(yǔ),“此山是我開,此樹是我栽,要想過(guò)此路,留下買路財(cái)”,“買網(wǎng)絡(luò)送廣告”已經(jīng)成為網(wǎng)絡(luò)運(yùn)營(yíng)商的標(biāo)準(zhǔn)套餐。這些劫持流量的買賣顯然不僅僅是所謂的“個(gè)別內(nèi)部員工違規(guī)操作”,還是那句話,用戶越多責(zé)任越大,且行且珍惜。
2.CDN緩存污染
CDN加速技術(shù)本質(zhì)上是一種良性的DNS劫持,通過(guò)DNS引導(dǎo)將用戶對(duì)服務(wù)器上的js、圖片等不經(jīng)常變化的靜態(tài)資源的請(qǐng)求引導(dǎo)到最近的服務(wù)器上,從而加速網(wǎng)絡(luò)訪問(wèn)。加速訪問(wèn)的良好用戶體驗(yàn)使CDN加速被各大網(wǎng)站廣泛使用,其中蘊(yùn)含的驚人流量自然也成為流量劫持者的目標(biāo)。
[18] 用戶打開正常網(wǎng)頁(yè)后跳轉(zhuǎn)到“色播”誘導(dǎo)頁(yè)面
去年我們?cè)啻谓拥接脩舴答伿褂檬謾C(jī)瀏覽器打開網(wǎng)頁(yè)時(shí)經(jīng)常被跳轉(zhuǎn)到色情推廣頁(yè)面,經(jīng)過(guò)抓包分析,發(fā)現(xiàn)是由于百度網(wǎng)盟CDN緩存服務(wù)器中的關(guān)鍵JS文件被污染注入廣告代碼,劫持代碼根據(jù)user-agent頭判斷流量來(lái)源后針對(duì)PC、android、iso等平臺(tái)進(jìn)行分流彈窗,誘導(dǎo)用戶安裝“偽色播”病毒APP。
[19] 抓包分析顯示百度網(wǎng)盟的公共JS文件被注入廣告代碼
[20] 劫持代碼根據(jù)訪問(wèn)來(lái)源平臺(tái)的不同進(jìn)行分流,推廣“偽色播”病毒app
百度網(wǎng)盟作為全國(guó)最大的廣告聯(lián)盟之一,每天的廣告流量PV是都是以億為單位的,其CDN緩存遭遇劫持產(chǎn)生的影響將非常廣泛。通過(guò)分析我們確認(rèn)全國(guó)只有個(gè)別地區(qū)的網(wǎng)絡(luò)會(huì)遭遇此類劫持,我們也在第一時(shí)間將這個(gè)情況反饋給了友商方面,但造成緩存被劫持的原因沒(méi)有得到最終反饋,是運(yùn)營(yíng)商中間劫持還是個(gè)別緩存服務(wù)器被入侵導(dǎo)致還不得而知,但是這個(gè)案例給我們的CDN服務(wù)的安全防護(hù)再一次給我們敲響警鐘。
相關(guān)文章
- 本文教大家如何找回密碼,僅供參考,用于密碼丟失的情況,不要做壞事哦2013-01-09
在linux下使用reaver獲取無(wú)線wifi密碼的步驟
這篇文章主要為大家介紹了在linux下使用reaver破解無(wú)線wifi密碼的下載安裝使用方法,需要的朋友可以參考下2013-11-20警告:如果你的密碼設(shè)置成這20個(gè),趕緊改了
大家平時(shí)設(shè)置密碼時(shí),為了省事就設(shè)置很簡(jiǎn)單的密碼,殊不知卻留下了很大的安全隱患2013-12-06防止泄露公司機(jī)密、企業(yè)數(shù)據(jù)防泄密軟件排名、電腦文件加密軟件排行
面對(duì)日漸嚴(yán)重的內(nèi)部泄密事件,我們?nèi)绾问刈o(hù)企業(yè)的核心信息,如何防止內(nèi)部泄密也就成了擺在各個(gè)企業(yè)領(lǐng)導(dǎo)面前的一大問(wèn)題。其實(shí),針對(duì)內(nèi)網(wǎng)安全,防止內(nèi)部信息泄漏早已有了比較2015-12-17- 這篇文章主要介紹了XSS跨站腳本攻擊問(wèn)題和原理,跨站腳本攻擊(XSS,Cross-site scripting)是最常見(jiàn)和基本的攻擊Web網(wǎng)站的方法,感興趣的小伙伴們可以參考一下2016-01-27
- 這篇文章主要介紹了黑客七大慣用攻擊策略,你必須掌握!,需要的朋友可以參考下2016-02-01
黑客1小時(shí)內(nèi)破解16位密碼,散列口令安全研究
散列法會(huì)讓黑客很難從散表中回到口令上,同時(shí)也會(huì)讓網(wǎng)站保存一系列的散列,而不是將它們儲(chǔ)存為安全性低的文本口令。這就意味著,即使散列的口令被偷竊,真正的純文本口令也2016-05-25你的賬號(hào)密碼是怎樣丟失的?暴力破解攻擊的檢測(cè)和防御
很多安全專家反復(fù)提醒用戶設(shè)置賬戶和密碼時(shí)要盡可能多樣化,以防被破解。黑客只要簡(jiǎn)單的使用暴力破解攻擊。暴力破解攻擊是指攻擊者嘗試所有的可能性破解用戶的賬戶名、密碼2016-05-26