在鼠标点击的一刹那，流量在用户系统中流过层层节点，在路由的指引下奔向远方的处事器。这段路程中，短兵相接的战斗往往是最激烈的，在所有流量可能路过的节点，往往都暗藏着劫持者，他们劫持流量的手段也屡见不鲜，从主页配置篡改、hosts劫持、进程Hook、启动劫持、LSP注入、浏览器插件劫持、HTTP代办代理过滤、内核数据包劫持、bootkit等等不停花样翻新。或许从你按下开机按钮的一瞬间，流量劫持的故事就已经开始了。
一 、本地流量劫持1、不苟言笑的地痞软件“网址导航”堪称国内互联网最奇特的一道风光线，从hao123开始发扬光大，各大导航站开始成为互联网流量最主要的一个入口点，陪同着的是围绕导航主页链接的小尾巴(推广ID)，展开的一场场惊心动魄的攻防狙击战。一方面国内安适软件对传统IE浏览器的主页防护越来越严密， 另一方面用户体验更好的第三方浏览器开始占据主流职位地方，国内的地痞木马为了谋求导航量也开始“另辟蹊径”。下面讲到的案例是我们曾经捕获到的一批导航主页劫持样本，历史活跃期最早可以追溯到2014年，主要通过多类地痞软件绑缚流传，其劫持成果模块通过联网更新获取，颠末多层的内存解密后再动态加载。此中的主页劫持插件模块通过改削浏览器配置文件实现主页篡改，对国表里的chrome、火狐、safari、傲游、qq、360、搜狗等20余款主流浏览器做到了全部笼罩。实现这些成果显然需要对这批浏览器的配置文件格局和加密算法做逆向分析，在样天职析过程中我们甚至发明其操作某缝隙绕过了此中2款浏览器的主页掩护成果，地痞作者可谓非常“走心”，可惜是剑走偏锋。

[1] 某软件下拉加载主页劫持插件 上图就是我们在此中一款软件中抓取到的主页劫持模块文件和更新数据包，可能你对数据包里这个域名不是很熟悉，但是提到“音速启动”这款软件相信安适圈内很多人城市有所了解，当年各大安适论坛的工具包根基上都是用它来打点配置的，陪同了很多像本文作者这样的三流小黑客的学习生长，所以分析这个样本过程中还是有很多感触的，固然这些木马劫持行为可能和原作者没有太大关系，风闻这款软件在遏制更新几年后卖给了上海某科技公司，其旗下多款软件产品都曾被发明过地痞劫持行为，感兴趣的读者可以自行百度，这里不再进行更多的披露。
正如前面的案例，一部分曾经的老牌软件开始慢慢变质，离用户渐行渐远；另一方面，跟着比来几年国内安适环境的改变，之前风行的盗号、下载者、远控等传统木马日渐式微，此外一多量披着正规软件外衣的地痞也开始兴起，他们的运作方法有以下几个特点：
冒充正规软件，但实际成果单一简陋，有些甚至是空壳软件，常见的诸如某某日历、天气预报、色播、输入法等八门五花的伪装形式，企图借助这些正常成果的外衣逃避安适软件的拦截，实现常驻用户系统的目的。
背后行为与木马病毒无异，其目的还是为了获取推广流量，如主页锁定，网页劫持、告白弹窗、流量暗刷、静默安置等等。而且此中很大一部分地痞软件的恶意模块和配置都通过云端进行下拉控制，可以做到分时段、分地区、分场景进行投放触发。

[2] 某地痞软件的云端控制
变种速度对照快，屡杀不止，被安适软件拦截清理后很快就会改换数字签名，甚至换个软件外壳包装后卷土重来。这些数字签名注册的企业信息很多都是地痞软件作者从其他渠道专门收购的。

[3]某地痞软件1个月内多次改换数字签名证书逃避安适软件查杀
下面可以通过几个范例案例了解下这些地痞软件进行流量劫持的技术手法：1） 通过浏览器插件进行流量劫持的QTV系列变种，该样本针对IE浏览器通过BHO插件在用户网页中注入JS脚本，针对chrome内核的浏览器操作缝隙绕过了部分浏览器插件的正常安置法式，通过篡改配置文件添加浏览器插件实现动态劫持。

[4]被静默安置到浏览器中的插件模块，通过JS注入劫持网页
通过注入JS脚原来劫持用户网页浏览的技术长处也很明显，一方面注入的云端JS脚本对照灵活，可以随时在云端控制改削劫持行为，另一方面对付普通用户来说非常隐蔽，难以察觉。被注入用户网页的JS脚本的对网页浏览中大部分的推广流量都进行了劫持，如下图：

[5] 在网页中注入JS劫持推广流量
2） 下面这个“高清影视地痞病毒”案例是去年曾深入跟踪的一个地痞病毒流传团伙，该类样本主要伪装成播放器类的地痞软件进行流传，技术特点如下图所示，大部分劫持模块都是驱动文件，通过动态内存加载到系统内核，实现浏览器劫持、静默推广等病毒行为。

[6] “高清影视”木马劫持流程简图
从木马后台处事器取证的文件来看，该样本短期内流传量非常大，单日岑岭到达20w+，一周累计传染用户赶过100万，安置统计数据库每天的备份文件都赶过1G。