流量劫持的种类手段有哪些
流量劫持的手段也层出不穷，从主页配置篡改、hosts劫持、进程Hook、启动劫持、LSP注入、浏览器插件劫持、http代理过滤、内核数据包劫持、bootkit等等不断花样翻新。或许从开机的一瞬间，流量劫持的故事就已经开始。那么你的流量都被劫持到哪里去了?是谁劫持了你的流量?下面一起看看流量劫持的种类手段。
流量劫持的种类手段有哪些
[1] 某软件下拉加载主页劫持插件
上图就是我们在其中一款软件中抓取到的主页劫持模块文件和更新数据包，可能你对数据包里这个域名不是很熟悉，但是提到“音速启动”这款软件相信安全圈内很多人都会有所了解，当年各大安全论坛的工具包基本上都是用它来管理配置的，伴随了很多像本文作者这样的三流小黑客的学习成长，所以分析这个样本过程中还是有很多感触的，当然这些木马劫持行为可能和原作者没有太大关系，听说这款软件在停止更新几年后卖给了上海某科技公司，其旗下多款软件产品都曾被发现过流氓劫持行为，感兴趣的读者可以自行百度，这里不再进行更多的披露。
正如前面的案例，一部分曾经的老牌软件开始慢慢变质，离用户渐行渐远;另一方面，随着最近几年国内安全环境的转变，之前流行的盗号、下载者、远控等传统木马日渐式微，另外一大批披着正规软件外衣的流氓也开始兴起，他们的运作方式有以下几个特点：
1.冒充正规软件，但实际功能单一简陋，有些甚至是空壳软件，常见的诸如某某日历、天气预报、色播、输入法等五花八门的伪装形式，企图借助这些正常功能的外衣逃避安全软件的拦截，实现常驻用户系统的目的。
2.背后行为与木马病毒无异，其目的还是为了获取推广流量，如主页锁定，网页劫持、广告弹窗、流量暗刷、静默安装等等。而且其中很大一部分流氓软件的恶意模块和配置都通过云端进行下拉控制，可以做到分时段、分地区、分场景进行投放触发。
[2] 某流氓软件的云端控制后台
3.变种速度比较快，屡杀不止，被安全软件拦截清理后很快就会更换数字签名，甚至换个软件外壳包装后卷土重来。这些数字签名注册的企业信息很多都是流氓软件作者从其他渠道专门收购的。
[3]某流氓软件1个月内多次更换数字签名证书逃避安全软件查杀
下面可以通过几个典型案例了解下这些流氓软件进行流量劫持的技术手法：
1)通过浏览器插件进行流量劫持的QTV系列变种，该样本针对IE浏览器通过BHO插件在用户网页中注入JS脚本，针对chrome内核的浏览器利用漏洞绕过了部分浏览器插件的正常安装步骤，通过篡改配置文件添加浏览器插件实现动态劫持。
[4]被静默安装到浏览器中的插件模块，通过JS注入劫持网页
通过注入JS脚本来劫持用户网页浏览的技术优点也很明显，一方面注入的云端JS脚本比较灵活，可以随时在云端控制修改劫持行为，另一方面对于普通用户来说非常隐蔽，难以察觉。被注入用户网页的JS脚本的对网页浏览中大部分的推广流量都进行了劫持，如下图：
[5] 在网页中注入JS劫持推广流量
2)下面这个“高清影视流氓病毒”案例是去年曾深入跟踪的一个流氓病毒传播团伙，该类样本主要伪装成播放器类的流氓软件进行传播，技术特点如下图所示，大部分劫持模块都是驱动文件，通过动态内存加载到系统内核，实现浏览器劫持、静默推广等病毒行为。
[6] “高清影视”木马劫持流程简图
从木马后台服务器取证的文件来看，该样本短期内传播量非常大，单日高峰达到20w+，一周累计感染用户超过100万，安装统计数据库每天的备份文件都超过1G。
[7] “高清影视”木马后台服务器取证
2.持续活跃的广告弹窗挂马
提到流量劫持，不得不说到近2年时间内保持高度活跃的广告弹窗挂马攻击案例，原本的广告流量被注入了网页木马，以广告弹窗等形式在客户端触发，这属于一种变相的流量劫持，更确切的说应该称之为“流量污染”或“流量投毒”，这里我们将其归类为本地劫持。
近期挂马利用的漏洞多为IE神洞(cve-2014-6332)和HackingTeam泄漏的多个Flash漏洞。通过网页挂马，流量劫持者将非常廉价的广告弹窗流量转化成了更高价格的安装量，常见的CPM、CPV等形式的广告流量每1000用户展示只有几元钱的成本，假设网页挂马的成功率有5%，这意味着劫持者获取到20个用户的安装量，平均每个用户静默安装5款软件，劫持者的收益保守估计有50元，那么“广告流量投毒”的利润率就近10倍。这应该就是近两年网页挂马事件频发背后的最大源动力。
[8] 网页木马经常使用的IE神洞(CVE-2014-6332)
[9] 网页木马利用IE浏览器的res协议检测国内主流安全软件
这些广告流量大多来自于软件弹窗、色情站点、垃圾站群、运营商劫持量等等，其中甚至不乏很多知名软件的广告流量，从我们的监测数据中发现包括酷狗音乐、搜狐影音、电信管家、暴风影音、百度影音、皮皮影音等多家知名软件厂商的广告流量被曾被劫持挂马。正是因为如此巨大的流量基数，所以一旦发生挂马事件，受到安全威胁的用户数量都是非常巨大的。
[10] 对利用客户端弹窗挂马的某病毒服务器取证发现的flash漏洞exp
据了解很多软件厂商对自身广告流量的管理监控都存在漏洞，有些甚至经过了多层代理分包，又缺乏统一有力的安全审核机制，导致被插入网页木马的“染毒流量”被大批推送到客户端，最终导致用户系统感染病毒。在样本溯源过程中，我们甚至在某知名音乐软件中发现一个专门用于暗刷广告流量的子模块。用户越多责任越大，且行且珍惜。
[11] 2015年某次挂马事件涉及的弹窗客户端进程列表
[12] 对2015年度最活跃的某挂马服务器的数据库取证(高峰期每小时5k+的安装量)
补充：校园网安全维护技巧
校园网络分为内网和外网，就是说他们可以上学校的内网也可以同时上互联网，大学的学生平时要玩游戏购物，学校本身有自己的服务器需要维护;
在大环境下，首先在校园网之间及其互联网接入处，需要设置防火墙设备，防止外部攻击，并且要经常更新抵御外来攻击;
由于要保护校园网所有用户的安全，我们要安全加固，除了防火墙还要增加如ips，ids等防病毒入侵检测设备对外部数据进行分析检测，确保校园网的安全;
外面做好防护措施，内部同样要做好防护措施，因为有的学生电脑可能带回家或者在外面感染，所以内部核心交换机上要设置vlan隔离，旁挂安全设备对端口进行检测防护;
内网可能有ddos攻击或者arp病毒等传播，所以我们要对服务器或者电脑安装杀毒软件，特别是学校服务器系统等，安全正版安全软件，保护重要电脑的安全;
对服务器本身我们要安全server版系统，经常修复漏洞及更新安全软件，普通电脑一般都是拨号上网，如果有异常上层设备监测一般不影响其他电脑。做好安全防范措施，未雨绸缪。
相关阅读：提高服务器安全性的技巧
1.经常更改系统管理员密码。---->且密码最好是大小写都有
2.定期更新系统补丁。---->开启自动更新，并设定到晚上重启。
3.检查系统是否多出超级管理员，检查是否有帐号被克隆在“开始”>运行中输入“cmd”>在输入 net localgroup administrators
4.在“开始”>运行中输入“msconfig”检查随机启动的程序和服务，关掉不必要的随机启动程序和服务。
5.服务器上的所有程序尽量安装程序的最新稳定版。
6.检查SERVU是否被创建有执行权限的用户或者对C盘有读写权限的用户，并且给SERVU设置一个登录密码。如果需要请给serv_u设置独立启动账户。
7.不要随意安装任何的第三方软件。例如XX优化软件，XX插件之类的，更不要在服务器上注册未知的组件。
8.不要随意在服务器上使用IE访问任何网站，杜绝隐患那是必须的。
9. 检查系统日志的“安全性”条目，在右侧查看近期“审核成功”的登录
10.不要在服务器上双击运行任何程序，不然怎么中了木马都不知道。
11.不要在服务器上用IE打开用户的硬盘中的网页，这是危险的行为。
12.不要在服务器上浏览图片，以前windows就出过GDI 的安全漏洞。
13.及时的更新病毒库，查杀病毒。
14.定时的查看系统各个盘符的磁盘权限，是否为设定的安全权限。
15.确保你自己的电脑安全，如果自己的电脑不安全，服务器也可能不太安全。
劫持攻击相关文章：
4.年度十大病毒介绍
