麻豆成人91精品二区三区,国产91在线播放,加勒比无码专区中文字幕,欧美黑人XXXX高潮猛交

×

電商網(wǎng)站流量劫持案例分析與思考（一）

  • 作者：新網(wǎng)
  • 來源：新網(wǎng)
  • 瀏覽：100
  • 2018-03-16 17:36:59

我們都知道之前騰訊與京東建立了戰(zhàn)略合作關系，很多人都會選擇京東來購買一些電器等。我發(fā)現(xiàn)某天在家里訪問京東首頁的時候突然吃驚地發(fā)現(xiàn)瀏覽器突然跳到了第三方網(wǎng)站再回到京東，這就是典型的中病毒了。

<div>我們都知道之前騰訊與京東建立了戰(zhàn)略合作關系，很多人都會選擇京東來購買一些電器等。我發(fā)現(xiàn)某天在家里訪問京東首頁的時候突然吃驚地發(fā)現(xiàn)瀏覽器突然跳到了第三方網(wǎng)站再回到京東，這就是典型的中病毒了。

141803058630.gif
竟然有這樣的事，一定要把木馬大卸八塊。
原因排查
首先在重現(xiàn)的情況下抓包，京東官網(wǎng)確實返回了一段JavaScript讓瀏覽器跳轉到了yiqifa.com。
服務器返回的代碼導致跳轉，基本可以排除本地木馬，推測是網(wǎng)絡或者服務器的問題。根據(jù)筆者的經(jīng)驗，這種情況很大可能是鏈路上的流量劫持攻擊。當然也不能排除京東服務器被黑的情況。
繼續(xù)排查。應用層已經(jīng)不行了，我們要用Wireshark抓網(wǎng)絡層的包。
從Wireshark結果可以看到，網(wǎng)絡上出現(xiàn)了兩個京東的HTTP響應。第一個先到，所以瀏覽器執(zhí)行里面的JavaScript代碼轉到了yiqifa.com;第二個HTTP響應由于晚到，被系統(tǒng)忽略(Wireshark識別為out-of-order)。
兩個京東的HTTP響應包，必然一真一假。快揭示真相了。
再來看看兩個HTTP響應的IP頭。
第一個包TTL值是252，第二個包TTL值是56，而之前TCP三次握手時京東服務器的TTL值是56，故可以判斷先到的包是偽造的，真的包晚到而被系統(tǒng)忽略。
至此，確認是鏈路上的劫持。
攻擊方式
繼續(xù)分析偽造的數(shù)據(jù)包。
偽造包的TTL值是252，也就是說它的原始TTL值應該是255(大于252的系統(tǒng)默認TTL值只能是255了，一般不會修改)，也就表明攻擊者的設備離我隔了3個路由;而正常的京東網(wǎng)站的HTTP響應TTL值是56，隔了8個路由。物理上假的設備離我近，所以偽造的HTTP響應會先到——比較有意思的是，筆者實際監(jiān)測時候發(fā)現(xiàn)也有偽造包晚到導致劫持失敗的情況。
推測是一個旁路設備偵聽所有的數(shù)據(jù)包，發(fā)現(xiàn)請求京東首頁的HTTP請求就立即返回一個定制好的HTTP響應。
 
 
 

免責聲明：本文內容由互聯(lián)網(wǎng)用戶自發(fā)貢獻自行上傳，本網(wǎng)站不擁有所有權，也不承認相關法律責任。如果您發(fā)現(xiàn)本社區(qū)中有涉嫌抄襲的內容，請發(fā)送郵件至：operations@xinnet.com進行舉報，并提供相關證據(jù)，一經(jīng)查實，本站將立刻刪除涉嫌侵權內容。

免費咨詢獲取折扣

Loading
日韩精品12| 日本视频在线看3| 国产熟女乱伦一区| 又色又爽又黄的美女裸体| 天天乱亚洲激情| 一起草17c国产官网| 成人国产精品一级毛片视频| 老牛国产AV| 狼友视频久久| x8x8成人| 91成人精品爽啪在线观看| 亚洲色大成| 国产爆操视频| 精产熟女一区二区| 午夜精品成人毛片非洲| 久老色| 超碰大字幕| 精品久久久噜噜噜久久| 久久中文丁香| 97久久网| 普兰店市| 亚洲午夜本道窝窝无码| 成人在线小电影| 日韩欧美1级| 激情小说久久| 精品在线9999| 在线i国产99| 一区二区三区视频免费| 国产色码| 亚洲成人av一区| 日韩香蕉在线视频| 波多野47部无码喷潮在线| 丝袜美腿无码经典一区| 国产精品日本在线观看| 亚洲AV一二三区| 午夜区女人香蕉| 亚洲中文无码永久免费| 人妻在线上| 在线观看日韩欧美亚洲| 麻花豆精产三产区区别| 久久久婷婷婷|