揭开“流量劫持”的神秘面纱丨劫持五万IP流量，月入至少三万！

明明打开的是A网站，莫名其妙却被跳转至B网站；明明想下的是A软件，下载安装后却是B软件；打开一个App，弹出的广告让人心乱如麻，同时也不胜其烦……你以为电脑手机中毒了？错！或许你真的错怪了病毒，因为你的互联网流量很可能被劫持了。

在互联网的世界里，流量劫持并不是件新鲜事。所谓流量劫持，是指通过一定技术手段，控制用户的上网行为，让你打开不想打开的网页，看到不想看的广告，而这些都会给劫持者带去源源不断的收入。

尽 管早已存在，但在“用户是绵羊”的环境下，流量劫持始终“野火烧不尽”。到底谁在劫持流量？流量劫持背后的“恶魔之手”究竟什么样？《IT时报》记者调查 发现，在互联网世界，流量劫持背后有一个庞大的灰色产业链，仅DNS劫持一种方式，每天被恶意劫持的流量至少有上千万个IP。

下载小米商店却“变脸”成UC浏览器

不久前，乌云网发布的一则《疑似某基于运营商流量的APK劫持推广系统存漏洞（每天高达百万计的劫持数据统计）》的公告再次将“流量劫持”推到了风口浪尖。

事情起源是乌云网白帽子“路人甲”的朋友在下载小米商店应用时遭遇尴尬，无论是手机端还是PC端，下载到本地都会变成UC浏览器。“路人甲”随后进行抓包测试，在测试过程中发现了一套隐秘的管理系统。

在乌云网提供给记者的漏洞信息中，详细分解了“路人甲”是如何发现背后劫持流量那只黑手的过程：先是在抓包测试过程中发现了UC浏览器的下载链接，该用户在利用当地运营商宽带发出请求时，传回的链接就被篡改了。

“路人甲”顺藤摸瓜，挖出了一个“安装分发平台”，并在后台的数据库中发现，每天从该系统中被劫持的数据都很庞大，最高一天劫持数量达到了151万，这只是一个准二线城市的量级。

“简 单来说就是下载时地址为a，然后下载链接变成了地址b，b地址尾部有个加密参数，解密后是a地址，但下载的依然是b地址里的内容，”一位乌云网的安全专家 向《IT时报》记者解释道。这种劫持行为目前很常见，而尾部的加密参数则让这种劫持变得更具迷惑性，“从劫持方来说，也是为了标记这个用户下载的应用是从 a地址劫持的，到时候就很容易计算通过劫持a地址到底带来多少量。”

“流 量劫持泛指网上的流量被窃取、刺探、控制，在收到用户的流量后，还可以分析窃取用户隐私。我们上网时使用的电脑是客户端，请求访问的目标是服务器，从你发 生请求到看到网页，速度很快，中间却要经过网络链路及设备，而链路上的点和设备都可以被人做手脚，对流量进行恶意分析窃取。”国内安全团队Keen Team成员吕礼胜告诉《IT时报》记者。

在吕礼胜看来，能接触到网络链路及设备的人都可以进行流量劫持，常见的两种劫持方式：一种是DNS劫持，用户输入域名后转去了黑客指定的IP地址；一种是链路劫持，页面被替换或插入许多广告或被黑客用于DDOS攻击。

记者调查

每天被劫持的用户多达上千万

流量售价：千人IP

最高可卖70元/日

“PC端横幅点击1.5毛，贴片点击1.2毛和1.8毛，右下角富媒体2.2元/千次展示，对联2.1元/千次展示，弹窗5.5元/千次，移动端下悬浮2.5元/千次展示”，在近千人的“DNS劫持 移动流量”群里，每天高价收流量的消息在不停刷新，直至深夜也没有停止。

“我们都在这里找渠道，什么流量都收，”刚发完一波收量信息的孙婷（化名）告诉《IT时报》记者，在群里喊话的，大部分都是“买流量的”，而流量从哪里来，孙婷三缄其口。

流 量价值不菲。收流量的中介或流量购买方按照带来的流量（千次IP）按日计算费用，千次IP的市场行情是每天35元至70元，根据用户的质量和数量，价格不 等。比如某黑客劫持的流量是每天5万个IP，合作90天，千次IP的价格是35元，那么流量购买方应付给黑客的费用就是157500元（50000 /1000×90×35），平均每月5万元。

事实上，出售流量的人，手里拥有的IP远不止5万个。

在这些收流量的群里，不时有一些提供劫持技术的团队“探头张望”，偶尔跳出一条信息，“我们提供劫持技术，有意者私聊。”

几 经周折，记者终于和一家提供流量劫持技术服务的公司搭上了话。据其客服介绍，他们可以帮助有流量的公司安装劫持系统，“在你们的服务器上安装 centos（社区企业）操作系统，做好分光端口，然后把服务器IP提供给我们就行，”该工作人员表示，他们的技术人员会部署好劫持系统，基本保证每天能 反馈数据，看到收入，“即便运营商有源地址校验，也能做，就是稍微复杂一点。”

要想和他们合作，手里至少要有10万以上可劫持流量的IP，通过劫持流量获得的收入，“三七开，我们拿三成。”

谁在卖流量？

谁在卖流量？又是谁在买流量？这些被劫持的流量是怎么流动的呢？在互联网世界里，一个巨大的黑色产业链若隐若现。

据吕礼胜介绍，电信运营商、互联网公司、路由器的生产厂商、黑客都可能是流量劫持的操作者，目的不外乎广告收入、商业竞争（给网站刷点击率）、收集用户信息等。

流 量劫持者将流量出售的方式有三种：将流量直接劫持到购买方的网站，行业内称为“直设合作”；第二种是将流量先劫持到自己的网站域名，再跳转到购买方的网 站，比如先劫持2345.com到qjjxw.com，然后再跳转到5w.com，行业内称为“跳转合作”；最后一种是将流量劫持到自己的网站域名后，不 跳转到购买方网站，而是完全引用购买方的网站内容，购买方同样可以获益，行业内称为“框架合作”。

“劫持者为了利益最大化，一般不愿意直设合作，主要是跳转合作和框架合作。一旦有出价更高的，可以立即把劫持流量转走。”上述安全界人士向记者表示。

收 量中介从流量劫持者手中购买流量，流量购买方则从收量中介那里购买流量，“有几家大的流量中介手中动辄可以掌握每天数百万IP的庞大流量，他们经营的公司 表面上业务看起来都很正常，但暗中从事的是一些流量劫持、垃圾广告的生意。”一位熟悉产业链的业内人士向《IT时报》记者透露。

打击劫持流量

非一日之功

2015年12月25日，今日头条、美团大众点评网、360、腾讯、微博、小米科技等六家互联网公司共同发表了一份《六公司关于抵制流量劫持等违法行为的联合声明》，呼吁有关运营商严格打击流量劫持问题，重视互联网公司被流量劫持，可能导致的严重后果。

这封公开信，让电信运营商异常被动。

“作为基础网络的服务商，即使运营商要打击、防范流量劫持，黑客也能通过路由器等其他方式进行劫持后兜售流量，”一位运营商内部人士表示。

据 记者了解，电信运营商内部针对非法流量劫持都有相关防范措施，但仍有劫持系统通过各种方式进行渗透。以常见的DNS服务器劫持为例，在电信运营商里有省级 DNS服务器、市县级DNS服务器，不同级别的服务器，所管辖的区域大小不一样。省级DNS服务器安全级别高，管理较规范，恶意劫持较少。市级、县级 DNS服务器发生恶意劫持用户访问的情况就相对较多。

“互联网世界里流量就等于钱，当一些企业无法通过正常渠道获得足够的流量时，买流量就成了首选。” 另一位不愿具名的互联网人士告诉记者。

“利 益链是流量劫持黑产生存的土壤。”2345总裁助理罗绘向《IT时报》记者表示。2015年11月，上海市浦东新区人民法院判决了全国首起流量劫持刑事案 件，两名被告因售卖劫持的2345网站流量而被判刑。然而，时至今日，流量劫持并未停止，罗绘透露，2345网址导航的整体流量被劫持行为每个月会给公司 带来三四百万元的损失。

当自身的利益受到了损害，互联网公司打击流量劫持的力度开始加大。据罗绘介绍，2345形成了包括商务反劫持监控系统、页面反劫持技术以及推广平台反作弊系统在内的全面反劫持系统，并通过建设技术联盟加强协同攻关，为网络安全提供有力的技术支撑。

“流量劫持的监管比较难，从技术上，监管部门不知道怎样监管和防范，监管力度也不够，应该多和电信运营商沟通，防止有人为了谋取私利进行电信DNS服务器劫持。”上述人士表示。

记者手记

莫伸手，伸手必被捉

茫 茫互联网江湖里，总是不乏希望快速掘金的人，有需求就有帮你实现需求的人，然而法律对流量劫持是不会宽容的。《刑法》第286条规定，“违反国家规定，对 计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，处五年以下有期徒刑或者拘役，后果特别严重的，处五年以上 有期徒刑。”在上述流量劫持案中，两名被告人被判有期徒刑3年，缓刑3年。

短期内，在巨大的利益下，这只“恶魔之手”不会消失，依然会继续蹂躏互联网、蹂躏用户，但别忘了，天网恢恢，莫伸手，伸手必被捉。