• <samp id="mz5ne"><acronym id="mz5ne"></acronym></samp>
      <ol id="mz5ne"></ol>
      

    1. <samp id="mz5ne"></samp>
      <mark id="mz5ne"></mark>
        

        <fieldset id="mz5ne"></fieldset>
        

        免费看又黄又无码的网站_久久久高清国产免费观看_亚洲一区二区三区在线免费观看_免费欧洲美女a视频一级毛片_日本最新免费二区三区
        



        

        
  
  
  ×

        

        
  
        
    
        


        
  

  
        
    
  
        

  

        











  
        

        

        





        


        
	

        

		
		
        
			
        

				
				
        
					
        
                    
					
        
					
        
						
         電商網(wǎng)站流量劫持案例分析與思考（一）
        
						
          
							
        • 作者：新網(wǎng)
          • 
							
        • 來源：新網(wǎng)
          • 
							
        • 瀏覽：100
          • 
							
        • 2018-03-16 17:36:59
          • 
						
        
						
        我們都知道之前騰訊與京東建立了戰(zhàn)略合作關(guān)系，很多人都會選擇京東來購買一些電器等。我發(fā)現(xiàn)某天在家里訪問京東首頁的時候突然吃驚地發(fā)現(xiàn)瀏覽器突然跳到了第三方網(wǎng)站再回到京東，這就是典型的中病毒了。

        
						
						
        <div>我們都知道之前騰訊與京東建立了戰(zhàn)略合作關(guān)系，很多人都會選擇京東來購買一些電器等。我發(fā)現(xiàn)某天在家里訪問京東首頁的時候突然吃驚地發(fā)現(xiàn)瀏覽器突然跳到了第三方網(wǎng)站再回到京東，這就是典型的中病毒了。
        

        141803058630.gif
        

        竟然有這樣的事，一定要把木馬大卸八塊。
        

        原因排查
        

        首先在重現(xiàn)的情況下抓包，京東官網(wǎng)確實返回了一段JavaScript讓瀏覽器跳轉(zhuǎn)到了yiqifa.com。
        

        服務(wù)器返回的代碼導(dǎo)致跳轉(zhuǎn)，基本可以排除本地木馬，推測是網(wǎng)絡(luò)或者服務(wù)器的問題。根據(jù)筆者的經(jīng)驗，這種情況很大可能是鏈路上的流量劫持攻擊。當(dāng)然也不能排除京東服務(wù)器被黑的情況。
        

        繼續(xù)排查。應(yīng)用層已經(jīng)不行了，我們要用Wireshark抓網(wǎng)絡(luò)層的包。
        

        從Wireshark結(jié)果可以看到，網(wǎng)絡(luò)上出現(xiàn)了兩個京東的HTTP響應(yīng)。第一個先到，所以瀏覽器執(zhí)行里面的JavaScript代碼轉(zhuǎn)到了yiqifa.com;第二個HTTP響應(yīng)由于晚到，被系統(tǒng)忽略(Wireshark識別為out-of-order)。
        

        兩個京東的HTTP響應(yīng)包，必然一真一假?？旖沂菊嫦嗔恕?/div>

        再來看看兩個HTTP響應(yīng)的IP頭。
        

        第一個包TTL值是252，第二個包TTL值是56，而之前TCP三次握手時京東服務(wù)器的TTL值是56，故可以判斷先到的包是偽造的，真的包晚到而被系統(tǒng)忽略。
        

        至此，確認(rèn)是鏈路上的劫持。
        

        攻擊方式
        

        繼續(xù)分析偽造的數(shù)據(jù)包。
        

        偽造包的TTL值是252，也就是說它的原始TTL值應(yīng)該是255(大于252的系統(tǒng)默認(rèn)TTL值只能是255了，一般不會修改)，也就表明攻擊者的設(shè)備離我隔了3個路由;而正常的京東網(wǎng)站的HTTP響應(yīng)TTL值是56，隔了8個路由。物理上假的設(shè)備離我近，所以偽造的HTTP響應(yīng)會先到——比較有意思的是，筆者實際監(jiān)測時候發(fā)現(xiàn)也有偽造包晚到導(dǎo)致劫持失敗的情況。
        

        推測是一個旁路設(shè)備偵聽所有的數(shù)據(jù)包，發(fā)現(xiàn)請求京東首頁的HTTP請求就立即返回一個定制好的HTTP響應(yīng)。
        

         
        

         
        

         
        

						
					
        
					
        
                    
					
        
					
					
        
						
        免責(zé)聲明：本文內(nèi)容由互聯(lián)網(wǎng)用戶自發(fā)貢獻(xiàn)自行上傳，本網(wǎng)站不擁有所有權(quán)，也不承認(rèn)相關(guān)法律責(zé)任。如果您發(fā)現(xiàn)本社區(qū)中有涉嫌抄襲的內(nèi)容，請發(fā)送郵件至：operations@xinnet.com進(jìn)行舉報，并提供相關(guān)證據(jù)，一經(jīng)查實，本站將立刻刪除涉嫌侵權(quán)內(nèi)容。
        
					
        
					
				
        
				
			
        
		
        
	
        
  
  
  

        
  
        
    
        
    

    
        
  
        

  

        





        
  
  免費咨詢獲取折扣
  

        





        

        
  

        Loading
        

        




 




 









国产精品视频白浆免费视频_久久久高清国产免费观看_亚洲一区二区三区在线免费观看_免费欧洲美女a视频一级毛片 

      2. <samp id="mz5ne"><acronym id="mz5ne"></acronym></samp>
          <ol id="mz5ne"></ol>
          

        1. <samp id="mz5ne"></samp>
          <mark id="mz5ne"></mark>
            

            <fieldset id="mz5ne"></fieldset>
            
巧家县|
治县。|
阿图什市|
乌鲁木齐县|
同仁县|
台中县|
南昌市|
得荣县|
丰县|
湘西|
安丘市|
河东区|
通河县|
临漳县|
龙井市|
临澧县|
江口县|
泌阳县|
中超|
隆化县|
龙州县|
资源县|
昭苏县|
南汇区|
安仁县|
上思县|
山东省|
合山市|
张家港市|
沙洋县|
海南省|
科尔|
荥经县|
兴文县|
苍山县|
汉阴县|
裕民县|
宝丰县|
博罗县|
潜山县|
温宿县|