流量劫持的種類手段有哪些
流量劫持的手段也層出不窮，從主頁配置篡改、hosts劫持、進(jìn)程Hook、啟動劫持、LSP注入、瀏覽器插件劫持、http代理過濾、內(nèi)核數(shù)據(jù)包劫持、bootkit等等不斷花樣翻新?；蛟S從開機的一瞬間，流量劫持的故事就已經(jīng)開始。那么你的流量都被劫持到哪里去了?是誰劫持了你的流量?下面一起看看流量劫持的種類手段。
流量劫持的種類手段有哪些
[1] 某軟件下拉加載主頁劫持插件
上圖就是我們在其中一款軟件中抓取到的主頁劫持模塊文件和更新數(shù)據(jù)包，可能你對數(shù)據(jù)包里這個域名不是很熟悉，但是提到“音速啟動”這款軟件相信安全圈內(nèi)很多人都會有所了解，當(dāng)年各大安全論壇的工具包基本上都是用它來管理配置的，伴隨了很多像本文作者這樣的三流小黑客的學(xué)習(xí)成長，所以分析這個樣本過程中還是有很多感觸的，當(dāng)然這些木馬劫持行為可能和原作者沒有太大關(guān)系，聽說這款軟件在停止更新幾年后賣給了上海某科技公司，其旗下多款軟件產(chǎn)品都曾被發(fā)現(xiàn)過流氓劫持行為，感興趣的讀者可以自行百度，這里不再進(jìn)行更多的披露。
正如前面的案例，一部分曾經(jīng)的老牌軟件開始慢慢變質(zhì)，離用戶漸行漸遠(yuǎn);另一方面，隨著最近幾年國內(nèi)安全環(huán)境的轉(zhuǎn)變，之前流行的盜號、下載者、遠(yuǎn)控等傳統(tǒng)木馬日漸式微，另外一大批披著正規(guī)軟件外衣的流氓也開始興起，他們的運作方式有以下幾個特點：
1.冒充正規(guī)軟件，但實際功能單一簡陋，有些甚至是空殼軟件，常見的諸如某某日歷、天氣預(yù)報、色播、輸入法等五花八門的偽裝形式，企圖借助這些正常功能的外衣逃避安全軟件的攔截，實現(xiàn)常駐用戶系統(tǒng)的目的。
2.背后行為與木馬病毒無異，其目的還是為了獲取推廣流量，如主頁鎖定，網(wǎng)頁劫持、廣告彈窗、流量暗刷、靜默安裝等等。而且其中很大一部分流氓軟件的惡意模塊和配置都通過云端進(jìn)行下拉控制，可以做到分時段、分地區(qū)、分場景進(jìn)行投放觸發(fā)。
[2] 某流氓軟件的云端控制后臺
3.變種速度比較快，屢殺不止，被安全軟件攔截清理后很快就會更換數(shù)字簽名，甚至換個軟件外殼包裝后卷土重來。這些數(shù)字簽名注冊的企業(yè)信息很多都是流氓軟件作者從其他渠道專門收購的。
[3]某流氓軟件1個月內(nèi)多次更換數(shù)字簽名證書逃避安全軟件查殺
下面可以通過幾個典型案例了解下這些流氓軟件進(jìn)行流量劫持的技術(shù)手法：
1)通過瀏覽器插件進(jìn)行流量劫持的QTV系列變種，該樣本針對IE瀏覽器通過BHO插件在用戶網(wǎng)頁中注入JS腳本，針對chrome內(nèi)核的瀏覽器利用漏洞繞過了部分瀏覽器插件的正常安裝步驟，通過篡改配置文件添加瀏覽器插件實現(xiàn)動態(tài)劫持。
[4]被靜默安裝到瀏覽器中的插件模塊，通過JS注入劫持網(wǎng)頁
通過注入JS腳本來劫持用戶網(wǎng)頁瀏覽的技術(shù)優(yōu)點也很明顯，一方面注入的云端JS腳本比較靈活，可以隨時在云端控制修改劫持行為，另一方面對于普通用戶來說非常隱蔽，難以察覺。被注入用戶網(wǎng)頁的JS腳本的對網(wǎng)頁瀏覽中大部分的推廣流量都進(jìn)行了劫持，如下圖：
[5] 在網(wǎng)頁中注入JS劫持推廣流量
2)下面這個“高清影視流氓病毒”案例是去年曾深入跟蹤的一個流氓病毒傳播團(tuán)伙，該類樣本主要偽裝成播放器類的流氓軟件進(jìn)行傳播，技術(shù)特點如下圖所示，大部分劫持模塊都是驅(qū)動文件，通過動態(tài)內(nèi)存加載到系統(tǒng)內(nèi)核，實現(xiàn)瀏覽器劫持、靜默推廣等病毒行為。
[6] “高清影視”木馬劫持流程簡圖
從木馬后臺服務(wù)器取證的文件來看，該樣本短期內(nèi)傳播量非常大，單日高峰達(dá)到20w+，一周累計感染用戶超過100萬，安裝統(tǒng)計數(shù)據(jù)庫每天的備份文件都超過1G。
[7] “高清影視”木馬后臺服務(wù)器取證
2.持續(xù)活躍的廣告彈窗掛馬
提到流量劫持，不得不說到近2年時間內(nèi)保持高度活躍的廣告彈窗掛馬攻擊案例，原本的廣告流量被注入了網(wǎng)頁木馬，以廣告彈窗等形式在客戶端觸發(fā)，這屬于一種變相的流量劫持，更確切的說應(yīng)該稱之為“流量污染”或“流量投毒”，這里我們將其歸類為本地劫持。
近期掛馬利用的漏洞多為IE神洞(cve-2014-6332)和HackingTeam泄漏的多個Flash漏洞。通過網(wǎng)頁掛馬，流量劫持者將非常廉價的廣告彈窗流量轉(zhuǎn)化成了更高價格的安裝量，常見的CPM、CPV等形式的廣告流量每1000用戶展示只有幾元錢的成本，假設(shè)網(wǎng)頁掛馬的成功率有5%，這意味著劫持者獲取到20個用戶的安裝量，平均每個用戶靜默安裝5款軟件，劫持者的收益保守估計有50元，那么“廣告流量投毒”的利潤率就近10倍。這應(yīng)該就是近兩年網(wǎng)頁掛馬事件頻發(fā)背后的最大源動力。
[8] 網(wǎng)頁木馬經(jīng)常使用的IE神洞(CVE-2014-6332)
[9] 網(wǎng)頁木馬利用IE瀏覽器的res協(xié)議檢測國內(nèi)主流安全軟件
這些廣告流量大多來自于軟件彈窗、色情站點、垃圾站群、運營商劫持量等等，其中甚至不乏很多知名軟件的廣告流量，從我們的監(jiān)測數(shù)據(jù)中發(fā)現(xiàn)包括酷狗音樂、搜狐影音、電信管家、暴風(fēng)影音、百度影音、皮皮影音等多家知名軟件廠商的廣告流量被曾被劫持掛馬。正是因為如此巨大的流量基數(shù)，所以一旦發(fā)生掛馬事件，受到安全威脅的用戶數(shù)量都是非常巨大的。
[10] 對利用客戶端彈窗掛馬的某病毒服務(wù)器取證發(fā)現(xiàn)的flash漏洞exp
據(jù)了解很多軟件廠商對自身廣告流量的管理監(jiān)控都存在漏洞，有些甚至經(jīng)過了多層代理分包，又缺乏統(tǒng)一有力的安全審核機制，導(dǎo)致被插入網(wǎng)頁木馬的“染毒流量”被大批推送到客戶端，最終導(dǎo)致用戶系統(tǒng)感染病毒。在樣本溯源過程中，我們甚至在某知名音樂軟件中發(fā)現(xiàn)一個專門用于暗刷廣告流量的子模塊。用戶越多責(zé)任越大，且行且珍惜。
[11] 2015年某次掛馬事件涉及的彈窗客戶端進(jìn)程列表
[12] 對2015年度最活躍的某掛馬服務(wù)器的數(shù)據(jù)庫取證(高峰期每小時5k+的安裝量)
補充：校園網(wǎng)安全維護(hù)技巧
校園網(wǎng)絡(luò)分為內(nèi)網(wǎng)和外網(wǎng)，就是說他們可以上學(xué)校的內(nèi)網(wǎng)也可以同時上互聯(lián)網(wǎng)，大學(xué)的學(xué)生平時要玩游戲購物，學(xué)校本身有自己的服務(wù)器需要維護(hù);
在大環(huán)境下，首先在校園網(wǎng)之間及其互聯(lián)網(wǎng)接入處，需要設(shè)置防火墻設(shè)備，防止外部攻擊，并且要經(jīng)常更新抵御外來攻擊;
由于要保護(hù)校園網(wǎng)所有用戶的安全，我們要安全加固，除了防火墻還要增加如ips，ids等防病毒入侵檢測設(shè)備對外部數(shù)據(jù)進(jìn)行分析檢測，確保校園網(wǎng)的安全;
外面做好防護(hù)措施，內(nèi)部同樣要做好防護(hù)措施，因為有的學(xué)生電腦可能帶回家或者在外面感染，所以內(nèi)部核心交換機上要設(shè)置vlan隔離，旁掛安全設(shè)備對端口進(jìn)行檢測防護(hù);
內(nèi)網(wǎng)可能有ddos攻擊或者arp病毒等傳播，所以我們要對服務(wù)器或者電腦安裝殺毒軟件，特別是學(xué)校服務(wù)器系統(tǒng)等，安全正版安全軟件，保護(hù)重要電腦的安全;
對服務(wù)器本身我們要安全server版系統(tǒng)，經(jīng)常修復(fù)漏洞及更新安全軟件，普通電腦一般都是撥號上網(wǎng)，如果有異常上層設(shè)備監(jiān)測一般不影響其他電腦。做好安全防范措施，未雨綢繆。
相關(guān)閱讀：提高服務(wù)器安全性的技巧
1.經(jīng)常更改系統(tǒng)管理員密碼。---->且密碼最好是大小寫都有
2.定期更新系統(tǒng)補丁。---->開啟自動更新，并設(shè)定到晚上重啟。
3.檢查系統(tǒng)是否多出超級管理員，檢查是否有帳號被克隆在“開始”>運行中輸入“cmd”>在輸入 net localgroup administrators
4.在“開始”>運行中輸入“msconfig”檢查隨機啟動的程序和服務(wù)，關(guān)掉不必要的隨機啟動程序和服務(wù)。
5.服務(wù)器上的所有程序盡量安裝程序的最新穩(wěn)定版。
6.檢查SERVU是否被創(chuàng)建有執(zhí)行權(quán)限的用戶或者對C盤有讀寫權(quán)限的用戶，并且給SERVU設(shè)置一個登錄密碼。如果需要請給serv_u設(shè)置獨立啟動賬戶。
7.不要隨意安裝任何的第三方軟件。例如XX優(yōu)化軟件，XX插件之類的，更不要在服務(wù)器上注冊未知的組件。
8.不要隨意在服務(wù)器上使用IE訪問任何網(wǎng)站，杜絕隱患那是必須的。
9. 檢查系統(tǒng)日志的“安全性”條目，在右側(cè)查看近期“審核成功”的登錄
10.不要在服務(wù)器上雙擊運行任何程序，不然怎么中了木馬都不知道。
11.不要在服務(wù)器上用IE打開用戶的硬盤中的網(wǎng)頁，這是危險的行為。
12.不要在服務(wù)器上瀏覽圖片，以前windows就出過GDI 的安全漏洞。
13.及時的更新病毒庫，查殺病毒。
14.定時的查看系統(tǒng)各個盤符的磁盤權(quán)限，是否為設(shè)定的安全權(quán)限。
15.確保你自己的電腦安全，如果自己的電腦不安全，服務(wù)器也可能不太安全。
劫持攻擊相關(guān)文章：
4.年度十大病毒介紹