转载

某电商网站流量劫持案例分析与思考

博文作者：lake2

发布日期：2015-03-31

阅读次数：34

博文内容：

【前言】

自腾讯与京东建立了战略合作关系之后，笔者网上购物就首选京东了。某天在家里访问京东首页的时候突然吃惊地发现浏览器突然跳到了第三方网站再回到京东，心里第一个反应就是中木马了。

竟然有这样的事，一定要把木马大卸八块。

【原因排查】

首先在重现的情况下抓包，京东官网确实返回了一段JavaScript让浏览器跳转到了yiqifa.com。

下图是应用层的抓包。

某电商网站流量劫持案例分析与思考

服务器返回的代码导致跳转，基本可以排除本地木马，推测是网络或者服务器的问题。根据笔者的经验，这种情况很大可能是链路上的流量劫持攻击。当然也不能排除京东服务器被黑的情况。

继续排查。应用层已经不行了，我们要用Wireshark抓网络层的包。

某电商网站流量劫持案例分析与思考

从Wireshark结果可以看到，网络上出现了两个京东的HTTP响应。第一个先到，所以浏览器执行里面的JavaScript代码转到了yiqifa.com；第二个HTTP响应由于晚到，被系统忽略（Wireshark识别为out-of-order）。

两个京东的HTTP响应包，必然一真一假。快揭示真相了。

再来看看两个HTTP响应的IP头。

第一个包TTL值是252，第二个包TTL值是56，而之前TCP三次握手时京东服务器的TTL值是56，故可以判断先到的包是伪造的，真的包晚到而被系统忽略。

某电商网站流量劫持案例分析与思考

至此，确认是链路上的劫持。

更多链路劫持攻击的信息可以先看看笔者之前写的文章《链路劫持攻击一二三》。

【攻击方式】

继续分析伪造的数据包。

伪造包的TTL值是252，也就是说它的原始TTL值应该是255（大于252的系统默认TTL值只能是255了，一般不会修改），也就表明攻击者的设备离我隔了3个路由；而正常的京东网站的HTTP响应TTL值是56，隔了8个路由。物理上假的设备离我近，所以伪造的HTTP响应会先到——比较有意思的是，笔者实际监测时候发现也有伪造包晚到导致劫持失败的情况。

推测是一个旁路设备侦听所有的数据包，发现请求京东首页的HTTP请求就立即返回一个定制好的HTTP响应。大致的攻击示意图如下。

某电商网站流量劫持案例分析与思考

当时笔者推测攻击者在链路上大动干戈应该不会只针对一个网站，于是就访问了下易迅、淘宝、天猫这些电商网站，结果发现易迅也受到同样的攻击。看起来这次流量劫持的目的是将电商网站流量导给返利联盟，通过返利联盟获得当前用户成交金额的返利。

基本确认运营商有问题，但是无法确认是运营商官方故意的还是遭到黑客攻击或者是内部人士偷偷搞的。

【攻击源定位】

来看看当时的路由结果：

某电商网站流量劫持案例分析与思考

如果按初始TTL值为255来算，HTTP包到达本机后为252，推算出经过了3（255-252）个路由，出问题的地方就在第4个路由附近，也就是这里的119.145.220.86（属于深圳电信）。

当然了，虽然基本可以确认是第四个路由附近的问题（笔者连续几天抓包，伪造的HTTP响应包TTL值一直是252），但是不排除设备故意构造一个初始TTL值（比如设置为254）来增加追查难度，为了严谨的治学态度及避免被攻击者迷惑，所以证据要坐实了。

定位比较简单，既然攻击设备是旁路侦听数据包，可以推测它是基于包而非状态的，我们构造被侦听的数据包（也就是直接发出访问京东首页的HTTP请求TCP包，不需要三次握手）多次发送，TTL值从1开始递增，精确地传递数据包到每一个路径上，直到出现伪造响应——没有问题的位置是不会有响应的，第一个出现伪造响应的位置就是出问题的位置。

这个时候就需要一个数据包构造工具了，基于Python的 Scapy 或者Windows下的XCAP都行。

于是一路发过去，TTL值等于4的时候伪造的响应包出现了——确认就是第四跳路由出问题了，同时119.145.55.14回复了Time-to-live Exceeded的ICMP包。

某电商网站流量劫持案例分析与思考

【问题处理】

有了充分证据，于是整理了一个图文并茂的文档通过腾讯安全应急响应中心向深圳电信报障。

一天后得到运营商答复：“经核查，深圳本地没有进行推送，经网上查询有木马或病毒会导致此现象，非电信网内问题，请进行杀毒后再测试，谢谢”。运营商还附送了这则2013年的新闻：《淘宝易迅纷纷遭木马劫持，电脑管家独家首发专杀工具》。

不过从当天晚上起，我再在ADSL环境测试，就没有发现这种流量劫持现象了。

【攻防之道】

链路劫持对企业和用户都是很麻烦的，影响用户体验，还泄漏敏感信息，而且还是分地域的，检测和防御起来也相对困难。

链路劫持已经被某些人运用的炉火纯青。比如近期业界发现部分区域的百度联盟广告脚本被植入恶意JavaScript去DDoS攻击GitHub 。

腾讯历史上也遇到过多起链路劫持攻击，目的性很强，大部分是插广告（少部分是钓鱼和挂马），攻击手法各种各样，有运营商的区域DNS劫持和链路劫持、运营商区域DNS Server遭到缓存投毒攻击（利用CVE-2007-2926，非常经典）、开发商在路由软件中植入劫持代码、CDN与源通信遭到ARP攻击、用户PC本地木马。当然，这些目前都已经解决了，也在持续监测中。

为了对抗链路劫持，很多腾讯业务也都使用了HTTPS或者私有协议，比如QQ Web登录、QQ邮箱、理财通、Web微信、微信公众平台等。

DNS 劫持攻击相对容易检测和防护。

检测方面，用分布的点去进行DNS查询即可，发现运营商DNS结果不对就可以推动修复。腾讯在2010年起就建设了DNS劫持监控系统，有兴趣的朋友可以去读下这篇文章。

防护方面，一种方案是使用DNSSEC（DNS Security Extensions）；腾讯、114DNS还研发了自己的方案—— HttpDNS 。HttpDNS不使用DNS协议而是通过HTTP协议从HttpDNS后端服务器获取域名对应的IP。当然，类似的思路我们可以实现一堆了：HTTPSDNS、TCPDNS、UDPDNS、ICMPDNS……

某电商网站流量劫持案例分析与思考