流量劫持的種類手段有哪些
流量劫持的手段也層出不窮，從主頁(yè)配置篡改、hosts劫持、進(jìn)程Hook、啟動(dòng)劫持、LSP注入、瀏覽器插件劫持、http代理過濾、內(nèi)核數(shù)據(jù)包劫持、bootkit等等不斷花樣翻新?；蛟S從開機(jī)的一瞬間，流量劫持的故事就已經(jīng)開始。那么你的流量都被劫持到哪里去了?是誰劫持了你的流量?下面一起看看流量劫持的種類手段。
流量劫持的種類手段有哪些
[1] 某軟件下拉加載主頁(yè)劫持插件
上圖就是我們?cè)谄渲幸豢钴浖凶ト〉降闹黜?yè)劫持模塊文件和更新數(shù)據(jù)包，可能你對(duì)數(shù)據(jù)包里這個(gè)域名不是很熟悉，但是提到“音速啟動(dòng)”這款軟件相信安全圈內(nèi)很多人都會(huì)有所了解，當(dāng)年各大安全論壇的工具包基本上都是用它來管理配置的，伴隨了很多像本文作者這樣的三流小黑客的學(xué)習(xí)成長(zhǎng)，所以分析這個(gè)樣本過程中還是有很多感觸的，當(dāng)然這些木馬劫持行為可能和原作者沒有太大關(guān)系，聽說這款軟件在停止更新幾年后賣給了上海某科技公司，其旗下多款軟件產(chǎn)品都曾被發(fā)現(xiàn)過流氓劫持行為，感興趣的讀者可以自行百度，這里不再進(jìn)行更多的披露。
正如前面的案例，一部分曾經(jīng)的老牌軟件開始慢慢變質(zhì)，離用戶漸行漸遠(yuǎn);另一方面，隨著最近幾年國(guó)內(nèi)安全環(huán)境的轉(zhuǎn)變，之前流行的盜號(hào)、下載者、遠(yuǎn)控等傳統(tǒng)木馬日漸式微，另外一大批披著正規(guī)軟件外衣的流氓也開始興起，他們的運(yùn)作方式有以下幾個(gè)特點(diǎn)：
1.冒充正規(guī)軟件，但實(shí)際功能單一簡(jiǎn)陋，有些甚至是空殼軟件，常見的諸如某某日歷、天氣預(yù)報(bào)、色播、輸入法等五花八門的偽裝形式，企圖借助這些正常功能的外衣逃避安全軟件的攔截，實(shí)現(xiàn)常駐用戶系統(tǒng)的目的。
2.背后行為與木馬病毒無異，其目的還是為了獲取推廣流量，如主頁(yè)鎖定，網(wǎng)頁(yè)劫持、廣告彈窗、流量暗刷、靜默安裝等等。而且其中很大一部分流氓軟件的惡意模塊和配置都通過云端進(jìn)行下拉控制，可以做到分時(shí)段、分地區(qū)、分場(chǎng)景進(jìn)行投放觸發(fā)。
[2] 某流氓軟件的云端控制后臺(tái)
3.變種速度比較快，屢殺不止，被安全軟件攔截清理后很快就會(huì)更換數(shù)字簽名，甚至換個(gè)軟件外殼包裝后卷土重來。這些數(shù)字簽名注冊(cè)的企業(yè)信息很多都是流氓軟件作者從其他渠道專門收購(gòu)的。
[3]某流氓軟件1個(gè)月內(nèi)多次更換數(shù)字簽名證書逃避安全軟件查殺
下面可以通過幾個(gè)典型案例了解下這些流氓軟件進(jìn)行流量劫持的技術(shù)手法：
1)通過瀏覽器插件進(jìn)行流量劫持的QTV系列變種，該樣本針對(duì)IE瀏覽器通過BHO插件在用戶網(wǎng)頁(yè)中注入JS腳本，針對(duì)chrome內(nèi)核的瀏覽器利用漏洞繞過了部分瀏覽器插件的正常安裝步驟，通過篡改配置文件添加瀏覽器插件實(shí)現(xiàn)動(dòng)態(tài)劫持。
[4]被靜默安裝到瀏覽器中的插件模塊，通過JS注入劫持網(wǎng)頁(yè)
通過注入JS腳本來劫持用戶網(wǎng)頁(yè)瀏覽的技術(shù)優(yōu)點(diǎn)也很明顯，一方面注入的云端JS腳本比較靈活，可以隨時(shí)在云端控制修改劫持行為，另一方面對(duì)于普通用戶來說非常隱蔽，難以察覺。被注入用戶網(wǎng)頁(yè)的JS腳本的對(duì)網(wǎng)頁(yè)瀏覽中大部分的推廣流量都進(jìn)行了劫持，如下圖：
[5] 在網(wǎng)頁(yè)中注入JS劫持推廣流量
2)下面這個(gè)“高清影視流氓病毒”案例是去年曾深入跟蹤的一個(gè)流氓病毒傳播團(tuán)伙，該類樣本主要偽裝成播放器類的流氓軟件進(jìn)行傳播，技術(shù)特點(diǎn)如下圖所示，大部分劫持模塊都是驅(qū)動(dòng)文件，通過動(dòng)態(tài)內(nèi)存加載到系統(tǒng)內(nèi)核，實(shí)現(xiàn)瀏覽器劫持、靜默推廣等病毒行為。
[6] “高清影視”木馬劫持流程簡(jiǎn)圖
從木馬后臺(tái)服務(wù)器取證的文件來看，該樣本短期內(nèi)傳播量非常大，單日高峰達(dá)到20w+，一周累計(jì)感染用戶超過100萬，安裝統(tǒng)計(jì)數(shù)據(jù)庫(kù)每天的備份文件都超過1G。
[7] “高清影視”木馬后臺(tái)服務(wù)器取證
2.持續(xù)活躍的廣告彈窗掛馬
提到流量劫持，不得不說到近2年時(shí)間內(nèi)保持高度活躍的廣告彈窗掛馬攻擊案例，原本的廣告流量被注入了網(wǎng)頁(yè)木馬，以廣告彈窗等形式在客戶端觸發(fā)，這屬于一種變相的流量劫持，更確切的說應(yīng)該稱之為“流量污染”或“流量投毒”，這里我們將其歸類為本地劫持。
近期掛馬利用的漏洞多為IE神洞(cve-2014-6332)和HackingTeam泄漏的多個(gè)Flash漏洞。通過網(wǎng)頁(yè)掛馬，流量劫持者將非常廉價(jià)的廣告彈窗流量轉(zhuǎn)化成了更高價(jià)格的安裝量，常見的CPM、CPV等形式的廣告流量每1000用戶展示只有幾元錢的成本，假設(shè)網(wǎng)頁(yè)掛馬的成功率有5%，這意味著劫持者獲取到20個(gè)用戶的安裝量，平均每個(gè)用戶靜默安裝5款軟件，劫持者的收益保守估計(jì)有50元，那么“廣告流量投毒”的利潤(rùn)率就近10倍。這應(yīng)該就是近兩年網(wǎng)頁(yè)掛馬事件頻發(fā)背后的最大源動(dòng)力。
[8] 網(wǎng)頁(yè)木馬經(jīng)常使用的IE神洞(CVE-2014-6332)
[9] 網(wǎng)頁(yè)木馬利用IE瀏覽器的res協(xié)議檢測(cè)國(guó)內(nèi)主流安全軟件
這些廣告流量大多來自于軟件彈窗、色情站點(diǎn)、垃圾站群、運(yùn)營(yíng)商劫持量等等，其中甚至不乏很多知名軟件的廣告流量，從我們的監(jiān)測(cè)數(shù)據(jù)中發(fā)現(xiàn)包括酷狗音樂、搜狐影音、電信管家、暴風(fēng)影音、百度影音、皮皮影音等多家知名軟件廠商的廣告流量被曾被劫持掛馬。正是因?yàn)槿绱司薮蟮牧髁炕鶖?shù)，所以一旦發(fā)生掛馬事件，受到安全威脅的用戶數(shù)量都是非常巨大的。
[10] 對(duì)利用客戶端彈窗掛馬的某病毒服務(wù)器取證發(fā)現(xiàn)的flash漏洞exp
據(jù)了解很多軟件廠商對(duì)自身廣告流量的管理監(jiān)控都存在漏洞，有些甚至經(jīng)過了多層代理分包，又缺乏統(tǒng)一有力的安全審核機(jī)制，導(dǎo)致被插入網(wǎng)頁(yè)木馬的“染毒流量”被大批推送到客戶端，最終導(dǎo)致用戶系統(tǒng)感染病毒。在樣本溯源過程中，我們甚至在某知名音樂軟件中發(fā)現(xiàn)一個(gè)專門用于暗刷廣告流量的子模塊。用戶越多責(zé)任越大，且行且珍惜。
[11] 2015年某次掛馬事件涉及的彈窗客戶端進(jìn)程列表
[12] 對(duì)2015年度最活躍的某掛馬服務(wù)器的數(shù)據(jù)庫(kù)取證(高峰期每小時(shí)5k+的安裝量)
補(bǔ)充：校園網(wǎng)安全維護(hù)技巧
校園網(wǎng)絡(luò)分為內(nèi)網(wǎng)和外網(wǎng)，就是說他們可以上學(xué)校的內(nèi)網(wǎng)也可以同時(shí)上互聯(lián)網(wǎng)，大學(xué)的學(xué)生平時(shí)要玩游戲購(gòu)物，學(xué)校本身有自己的服務(wù)器需要維護(hù);
在大環(huán)境下，首先在校園網(wǎng)之間及其互聯(lián)網(wǎng)接入處，需要設(shè)置防火墻設(shè)備，防止外部攻擊，并且要經(jīng)常更新抵御外來攻擊;
由于要保護(hù)校園網(wǎng)所有用戶的安全，我們要安全加固，除了防火墻還要增加如ips，ids等防病毒入侵檢測(cè)設(shè)備對(duì)外部數(shù)據(jù)進(jìn)行分析檢測(cè)，確保校園網(wǎng)的安全;
外面做好防護(hù)措施，內(nèi)部同樣要做好防護(hù)措施，因?yàn)橛械膶W(xué)生電腦可能帶回家或者在外面感染，所以內(nèi)部核心交換機(jī)上要設(shè)置vlan隔離，旁掛安全設(shè)備對(duì)端口進(jìn)行檢測(cè)防護(hù);
內(nèi)網(wǎng)可能有ddos攻擊或者arp病毒等傳播，所以我們要對(duì)服務(wù)器或者電腦安裝殺毒軟件，特別是學(xué)校服務(wù)器系統(tǒng)等，安全正版安全軟件，保護(hù)重要電腦的安全;
對(duì)服務(wù)器本身我們要安全server版系統(tǒng)，經(jīng)常修復(fù)漏洞及更新安全軟件，普通電腦一般都是撥號(hào)上網(wǎng)，如果有異常上層設(shè)備監(jiān)測(cè)一般不影響其他電腦。做好安全防范措施，未雨綢繆。
相關(guān)閱讀：提高服務(wù)器安全性的技巧
1.經(jīng)常更改系統(tǒng)管理員密碼。---->且密碼最好是大小寫都有
2.定期更新系統(tǒng)補(bǔ)丁。---->開啟自動(dòng)更新，并設(shè)定到晚上重啟。
3.檢查系統(tǒng)是否多出超級(jí)管理員，檢查是否有帳號(hào)被克隆在“開始”>運(yùn)行中輸入“cmd”>在輸入 net localgroup administrators
4.在“開始”>運(yùn)行中輸入“msconfig”檢查隨機(jī)啟動(dòng)的程序和服務(wù)，關(guān)掉不必要的隨機(jī)啟動(dòng)程序和服務(wù)。
5.服務(wù)器上的所有程序盡量安裝程序的最新穩(wěn)定版。
6.檢查SERVU是否被創(chuàng)建有執(zhí)行權(quán)限的用戶或者對(duì)C盤有讀寫權(quán)限的用戶，并且給SERVU設(shè)置一個(gè)登錄密碼。如果需要請(qǐng)給serv_u設(shè)置獨(dú)立啟動(dòng)賬戶。
7.不要隨意安裝任何的第三方軟件。例如XX優(yōu)化軟件，XX插件之類的，更不要在服務(wù)器上注冊(cè)未知的組件。
8.不要隨意在服務(wù)器上使用IE訪問任何網(wǎng)站，杜絕隱患那是必須的。
9. 檢查系統(tǒng)日志的“安全性”條目，在右側(cè)查看近期“審核成功”的登錄
10.不要在服務(wù)器上雙擊運(yùn)行任何程序，不然怎么中了木馬都不知道。
11.不要在服務(wù)器上用IE打開用戶的硬盤中的網(wǎng)頁(yè)，這是危險(xiǎn)的行為。
12.不要在服務(wù)器上瀏覽圖片，以前windows就出過GDI 的安全漏洞。
13.及時(shí)的更新病毒庫(kù)，查殺病毒。
14.定時(shí)的查看系統(tǒng)各個(gè)盤符的磁盤權(quán)限，是否為設(shè)定的安全權(quán)限。
15.確保你自己的電腦安全，如果自己的電腦不安全，服務(wù)器也可能不太安全。
劫持攻擊相關(guān)文章：
4.年度十大病毒介紹