一个电信劫持案例的简要分析

最后编辑时间: 2018-02-04

前言

每到年底，网络劫持就要来一波，不管是运营商还是黑产帝都不放过这一年一度的黄金时段，可以说是年年有今日岁岁有今朝，马上就过年了，各种运营商内鬼和黑产帝们显然已经蠢蠢欲动，我之前写过关于运营商流量劫持的利益链关系，而每到年底，又是大家钱包满满开开心心过年的大好时机，花钱娱乐潇洒也是情理之中，运营商里面的一些内鬼自然不能放过这个机会，于是随处可见的流量劫持，铺天盖地的袭来。

如果我记得没错，去年年底移动的流量劫持最为猖狂，先不说宽带上的劫持，各种跳转也就算了，就连手机上的4G都特么的是一大堆弹窗广告，我艹NMB的流量劫持，你特么就那么缺钱？4G你特么也弹？你特么天天弹个JB夺宝，夺个JB的宝，CNM的夺宝，弹了夺宝弹棋牌，实在不行给你跳转个黄站，再来个什么葡京赌场，我赌NMB啊，别特么以为我不知道是你们自己人干的，就那点JB破站点，一眼就看出来其中的利益链，还遮遮掩掩跳来跳去换IP搞什么CDN。

好了，不吐槽移动了，反正吐槽了也没用，每年年底都要来一波的，今天来说说电信的劫持。

分析

之前写过电信跳转情色APP的案例，这次写一写弹窗吧。

是这样的，博主已经很久没有上微博了，大概有个两三年了吧，今天想登录下微博，就打开浏览器输入了weibo.com，稍等一会就打开了，但是似乎有点不对


比如图片上右下角的那个弹窗，怎么看怎么畸形，这图做的也太草率了吧，有点专业水平好吗？而且，这一看就是黄色网站的广告啊，人家微博也不会放这种广告对不对，好歹你也跳一个有点关联的广告啊喂，太不专业了。


观察浏览器地址栏，weibo.com是应该有https证书的，但是这里明显没有带上https，没有进行强制https，所以让运营商有机可乘！



顺手F12看下页面的结构，如图所示


图中显示真正的微博页面被嵌入到了一个iframe里面，弹窗广告也被嵌入到一个iframe里面


这样看来其实整个页面就是运营商返回的，这种链路劫持一般来说只能由电信运营商的设备自动化完成，so？？？

下面来看下这个虚假页面的一些代码，先看js部分，这个段js代码是由运营商的服务器自动生成，用于控制广告，代码如下

var m = "http://weibo.com/";

var a = "http://m.vivi997.com/qiyi/";

var w = window;

var n = navigator;

var d = document;



function ad() {

var md, adh, adw;

var ua = n.userAgent.toLowerCase();

var isipad = ua.match(/ipad/i) == "ipad";

var isiphone = ua.match(/iphone os/i) == "iphone os";

var ismidp = ua.match(/midp/i) == "midp";

var isuc7 = ua.match(/rv:1.2.3.4/i) == "rv:1.2.3.4";

var isuc = ua.match(/ucweb/i) == "ucweb";

var isandroid = ua.match(/android/i) == "android";

var isce = ua.match(/windows ce/i) == "windows ce";

var iswm = ua.match(/windows\s*mobile/i) == "windows mobile";

if (isandroid || isiphone || isipad || iswm) {

var meta = d.createElement("meta");

meta.name = "viewport";

meta.content = "width=device-width, initial-scale=1.0, minimum-scale=1.0, maximum-scale=1.0,user-scalable=no";

d.getElementsByTagName("head")[0].appendChild(meta);

md = d.body.clientWidth;

adh = Math.ceil(md / 320 * 60);

adw = "100%"

} else {

adh = "250";

adw = "300"

}

var div0 = d.createElement("div");

div0.id = "i";

d.getElementsByTagName("body")[0].appendChild(div0);

var ifr0 = d.createElement("iframe");

ifr0.id = "m";

ifr0.width = "100%";

ifr0.height = "100%";

ifr0.setAttribute("frameborder", "0");

ifr0.src = m + (m.indexOf("?") < 0 ? '?' : '&') + "_ad" + Math.random();

d.getElementById("i").appendChild(ifr0);

var div1 = d.createElement("div");

div1.id = "x";

div1.style.width = adw;

div1.style.height = adh + "px";

div1.style.display = "none";

d.getElementsByTagName("body")[0].appendChild(div1);

var a0 = d.createElement("a");

a0.setAttribute("onClick", "clo();");

a0.innerHTML = "x";

d.getElementById("x").appendChild(a0);

var e0 = d.createElement("em");

e0.id = "e0";

e0.innerHTML = "广告";

d.getElementById("x").appendChild(e0);

var ifr1 = d.createElement("iframe");

ifr1.id = "a";

ifr1.width = adw;

ifr1.height = adh;

ifr1.setAttribute("frameborder", "0");

ifr1.setAttribute("marginheight", "0");

ifr1.setAttribute("marginwidth", "0");

ifr1.src = a;

d.getElementById("x").appendChild(ifr1);

var im = d.getElementById("m");

if (isiphone || isipad) {

im.width = d.body.clientWidth;

im.scrolling = "no"

}

}

function clo() {

d.getElementById("x").style.display = "none"

}

setTimeout("clo()", 300000);

setTimeout(function() {

d.getElementById("x").style.display = "block"

}, 1000);

这段代码写的还是比较6的，不仅仅做了完善的设备类型检查，还可以自适应设备的屏幕，兼容性强了不少，而且设定了30秒后广告弹窗关闭，就是这段简短的代码产生了如此神奇的页面。

这段代码的关键点就在这里 http://m.vivi997.com/qiyi/ ，这就是那个广告iframe所嵌入的url，先看看这个域名的相关信息，信息显示此域名注册人为赵敏，我说这位哥，你的张无忌哥哥现在还好吗？

注册性质为个人注册，备案号 浙ICP备16001403号 是重点，反查这个备案号，发现赵敏同时备案了很多域名，列表如下

序号     主办单位名称     主办单位性质     网站备案/许可证号     网站名称     网站首页网址     审核时间     是否限制接入     详细信息
1     赵敏     个人     浙ICP备16001403号-1     好易网     www.apkopb7.com    2016-05-12     否     详细
2     赵敏     个人     浙ICP备16001403号-10     品尚网     www.22ccg.com    2016-05-12     否     详细
3     赵敏     个人     浙ICP备16001403号-11     tm时尚     www.ma789v.com    2016-05-12     否     详细
4     赵敏     个人     浙ICP备16001403号-12     找大牌     www.9113529.com    2016-05-12     否     详细
5     赵敏     个人     浙ICP备16001403号-13    9966导航 www.schoolf4.com 2016-05-12     否     详细
6     赵敏     个人     浙ICP备16001403号-2     聚惠网     www.sxdzrmv.com    2016-05-12     否     详细
7     赵敏     个人     浙ICP备16001403号-3     时尚坞     www.66y77u8.com    2016-05-12     否     详细
8     赵敏     个人     浙ICP备16001403号-4     享趣网     www.xarm688.com    2016-05-12     否     详细
9     赵敏     个人     浙ICP备16001403号-5     依人网     www.fqceyqo.com    2016-05-12     否     详细
10     赵敏     个人     浙ICP备16001403号-6     品聚惠     www.90wwq.com    2016-05-12     否     详细
11     赵敏     个人     浙ICP备16001403号-7     久美网     www.mapvoo.com    2016-05-12     否     详细
12     赵敏     个人     浙ICP备16001403号-8     任我挑     www.vivi997.com    2016-05-12     否     详细
13     赵敏     个人     浙ICP备16001403号-9     如意网     www.hg4fa.com    2016-05-12     否     详细

查询whois找到邮箱 3043738376@qq.com，反差邮箱发现赵敏还注册了非常多域名，这是流量劫持常用的套路，经常换域名，域名信息如下

序号    域名    注册者    邮箱    电话    注册商    DNS    注册时间    过期时间
1    22ccg.com     zhao min    3043738376@qq.com        HICHINA ZHICHENG TECHNOLOGY LTD.    F1G1NS1.DNSPOD.NET,F1G1NS2.DNSPOD.NET    2016/3/29 0:00:00    2018/3/29 0:00:00
2    3944540.com     zhao min    3043738376@qq.com        HICHINA ZHICHENG TECHNOLOGY LTD.    F1G1NS1.DNSPOD.NET,F1G1NS2.DNSPOD.NET    2015/12/30 0:00:00    2017/12/30 0:00:00
3    4832880.com     zhao min    3043738376@qq.com    57186737106     HiChina Zhicheng Technology Ltd    F1G1NS1.DNSPOD.NET, F1G1NS2.DNSPOD.NET    2015/12/30 0:00:00    2017/12/30 0:00:00
4    66y77u8.com    zhao min    3043738376@qq.com        HICHINA ZHICHENG TECHNOLOGY LTD.    F1G1NS1.DNSPOD.NET,F1G1NS2.DNSPOD.NET    2015/12/30 0:00:00    2017/12/30 0:00:00
5    7180443.com     zhao min    3043738376@qq.com        HICHINA ZHICHENG TECHNOLOGY LTD.    F1G1NS1.DNSPOD.NET,F1G1NS2.DNSPOD.NET    2015/12/30 0:00:00    2017/12/30 0:00:00
6    7637960.com    ZhaoMin            3043738376@qq.com    57186737106     HiChina Zhicheng Technology Ltd    F1G1NS1.DNSPOD.NET, F1G1NS2.DNSPOD.NET    2015/12/30 0:00:00    2017/12/30 0:00:00
7    90wwq.com    zhao min    3043738376@qq.com        HICHINA ZHICHENG TECHNOLOGY LTD.    F1G1NS1.DNSPOD.NET,F1G1NS2.DNSPOD.NET    2016/3/29 0:00:00    2018/3/29 0:00:00
8    avjgjol.com     zhao min    3043738376@qq.com    95187     HiChina Zhicheng Technology Ltd    F1G1NS1.DNSPOD.NET, F1G1NS2.DNSPOD.NET    2015/12/30 0:00:00    2017/12/30 0:00:00
9    boyoll.com     zhao min    3043738376@qq.com        HICHINA ZHICHENG TECHNOLOGY LTD.    F1G1NS1.DNSPOD.NET,F1G1NS2.DNSPOD.NET    2016/3/29 0:00:00    2018/3/29 0:00:00
10    d7ag8.com     zhao min    3043738376@qq.com    57186737106     HiChina Zhicheng Technology Ltd    F1G1NS1.DNSPOD.NET, F1G1NS2.DNSPOD.NET    2015/12/30 0:00:00    2017/12/30 0:00:00
11    fi5od9.com     zhao min    3043738376@qq.com        HICHINA ZHICHENG TECHNOLOGY LTD.    F1G1NS1.DNSPOD.NET,F1G1NS2.DNSPOD.NET    2015/12/30 0:00:00    2017/12/30 0:00:00
12    fkku194.com     zhao min    3043738376@qq.com    95187     HiChina Zhicheng Technology Ltd    F1G1NS1.DNSPOD.NET, F1G1NS2.DNSPOD.NET    2015/12/30 0:00:00    2017/12/30 0:00:00
13    fqceyqo.com    zhao min    3043738376@qq.com        HICHINA ZHICHENG TECHNOLOGY LTD.    F1G1NS1.DNSPOD.NET,F1G1NS2.DNSPOD.NET    2015/12/30 0:00:00    2016/12/30 0:00:00
14    hnhabc.com     zhao min    3043738376@qq.com    95187     HiChina Zhicheng Technology Ltd    F1G1NS1.DNSPOD.NET, F1G1NS2.DNSPOD.NET    2016/3/29 0:00:00    2018/3/29 0:00:00
15    mapvoo.com     zhao min    3043738376@qq.com        HICHINA ZHICHENG TECHNOLOGY LTD.    F1G1NS1.DNSPOD.NET,F1G1NS2.DNSPOD.NET    2016/3/29 0:00:00    2018/3/29 0:00:00
16    qlg02.com     zhao min    3043738376@qq.com    95187     HiChina Zhicheng Technology Ltd    F1G1NS1.DNSPOD.NET, F1G1NS2.DNSPOD.NET    2015/12/30 0:00:00    2017/12/30 0:00:00
17    vivi997.com     zhao min    3043738376@qq.com        HICHINA ZHICHENG TECHNOLOGY LTD.    F1G1NS1.DNSPOD.NET,F1G1NS2.DNSPOD.NET    2016/3/29 0:00:00    2018/3/29 0:00:00
18    wotish.com     zhao min    3043738376@qq.com    95187     HiChina Zhicheng Technology Ltd    F1G1NS1.DNSPOD.NET, F1G1NS2.DNSPOD.NET    2015/12/30 0:00:00    2017/12/30 0:00:00
19    xarm688.com     zhao min    3043738376@qq.com        HICHINA ZHICHENG TECHNOLOGY LTD.    F1G1NS1.DNSPOD.NET,F1G1NS2.DNSPOD.NET    2015/12/30 0:00:00    2017/12/30 0:00:00

从这些网址上来看，这个赵敏似乎是个做推广的，但是仔细一想，这两年菠菜广告打击力度大，好多流量劫持的都跑去做推广也算正常。这些网址打开全部指向同一个ip地址 218.93.127.125 ，而且默认首页也只是显示hello world，很明显是用了子目录，比如 qiyi 就是其中一个子目录，当然肯定不止做了爱奇艺这一个推广，爱奇艺的推广链接为 http://vip.iqiyi.com/?fv=zz_575fbcda2e772-846430-00wjf6050a0570e90613 ，那么有的同学就要问了，干嘛搞一个黄色广告条结果推广的是正规视频网站？这你就有所不知了，这么做一是为了规避法律风险，至少不会涉黄，其次是因为爱奇艺给出了的佣金也是相当不错，20块钱的会员佣金能给到3块到5块，这么算，流量劫持带来的利润也是相当的可观。

查看图片的src为 http://www.vivi997.com/qiyi/1031.jpg 图片名称似乎是日期，页面访问也就一个很简单的静态页面，没有什么有价值的信息，得想想其他办法。

根据QQ邮箱查询到此人QQ昵称为子非鱼，QQ空间未发表任何信息，应该是小号，位置显示浙江杭州，结合whois信息，浙江杭州天堂软件园应该是没错。

扫描IP地址 218.93.127.125（江苏省常州市 电信） 发现只开放了80和443端口，安全意识还是不错的。

至此没有获取到更多有用的信息...

  1. 曾经的曾经
    曾经的曾经
    2106-02-07 14:28:15
    回复

    牛p qq2225745

  2. 我
    我
    2018-02-04 17:37:33
    回复

    从博主这里学到了好多东西，感谢

请在下方留下您的评论.加入TG吹水群

Copyright 2021 © 黑海洋博客. All rights reserved.看雪赞助 浙ICP备2021040518号