HTTP劫持

HTTP劫持

什么是HTTP劫持

想必,大家平时上网的时候,在网页的一脚有时候会出现一些小广告,有时候这些广告,不是访问的站点为了盈利而投放的广告,而是第三方的运营商提供的,类似这种:


HTTP劫持怎么做到的呢?

一般来说 HTTP劫持主要通过下面几个步骤来做:



第三个步骤可以通过抓包来看是否有两个回包以及通过与正常的回报时间进行对比可以得出是否被HTTP劫持的结论

HTTP劫持的手段有哪些呢?

一般通用的方法都是插入静态脚本或者是HTML Content,或者是将整体替换成Iframe,然后再在顶层的Iframe上进行内容的植入

如何防范HTTP劫持呢?

根据对抗HTTP劫持的时机来分类,可以主要分为三类

那么接下来,让我们一个个的来说

事前加密

HTTPS

很大一部分HTTP劫持,主要的原因就是在传输数据时都是明文的,使用了HTTPS后,会在HTTP协议之上加上TLS进行保护,使得传输的数据进行加密,但是使用HTTPS,一定要注意规范,必须要全站使用HTTPS,否则只要有一个地方没有使用HTTPS,明文传输就很有可能会被HTTP劫持了

但是相应的,全部使用HTTPS,也会带来一些问题:

加密代理

加密代理的原理就是在用户侧和目标web服务器之间增加一个代理服务器,在用户和代理之间会经过运营商的节点,这里使用各种加密手段保证安全,在代理服务器与web服务之间使用HTTP请求,只需确认代理与web服务之间不会被HTTP劫持就可以避开HTTP劫持

事中加密

拆分HTTP请求数据包

在HTTP劫持的步骤中,第一步是标记TCP连接,因此只要躲过了标识,那么后续的运营商篡改就不会存在了,有一种方式就是拆分HTTP请求

拆分数据包就是把HTTP请求的数据包拆分成多个,运营商的旁路设备由于没有完整的TCP/IP协议栈,所以就不会被标志,而目标web服务器是有完整的TCP/IP协议栈,能接收到的数据包拼成完整的HTTP请求,不影响服务

事后屏蔽

通过浏览器Api,根据若干规则去匹配DOM中的节点,对匹配到的节点作拦截和隐藏

CSP(内容安全策略),DOM事件监听等。

CSP是浏览器附加的一层安全层,用于对抗跨站脚本与数据注入,运营商植入内容性质与数据注入类似,因此,可以用CSP对抗运营商劫持。通过在HTTP响应头或meta标签设置好规则,支持拦截和上报劫持信息的功能。

DOM事件监听主要是监听DOMNodeInserted、DOMContentLoaded、DOMAttrModified等事件,可以在前端DOM结构发生变化时触发回调,这时补充一些检测逻辑,即可判断是不是业务的正常UI逻辑,如果不是,即可认为是来自劫持

总结

对抗HTTP劫持,可以根据自身的业务,使用不同的手段,最好是尽快的完成HTTPS的切换。

天下网TXWEB龙岗企业网站建设哪家好滁州市网站定制报价泰州网站建设价格珠海市建网站价格南宁网站搭建哪家好唐山市seo优化武汉市网站优化公司聊城市优化哪家专业临汾市seo优化报价漳州网页制作多少钱六安市网站优化多少钱泰州关键词排名推荐扬州网站推广哪家好长治市企业网站建设公司临汾seo按天扣费遵义市企业网站设计坂田网页制作哪家好鞍山市优化多少钱襄阳网页设计哪家好宜春市网站改版报价芜湖企业网站改版公司宁德市网站改版哪家好邵阳网站改版盘锦市seo多少钱定西市seo排名贵阳市模板网站建设张掖市网页制作哪家好商洛市企业网站设计哪家专业延安网络推广推荐吕梁网站开发推荐香港通过《维护国家安全条例》两大学生合买彩票中奖一人不认账让美丽中国“从细节出发”19岁小伙救下5人后溺亡 多方发声卫健委通报少年有偿捐血浆16次猝死汪小菲曝离婚始末何赛飞追着代拍打雅江山火三名扑火人员牺牲系谣言男子被猫抓伤后确诊“猫抓病”周杰伦一审败诉网易中国拥有亿元资产的家庭达13.3万户315晚会后胖东来又人满为患了高校汽车撞人致3死16伤 司机系学生张家界的山上“长”满了韩国人?张立群任西安交通大学校长手机成瘾是影响睡眠质量重要因素网友洛杉矶偶遇贾玲“重生之我在北大当嫡校长”单亲妈妈陷入热恋 14岁儿子报警倪萍分享减重40斤方法杨倩无缘巴黎奥运考生莫言也上北大硕士复试名单了许家印被限制高消费奥巴马现身唐宁街 黑色着装引猜测专访95后高颜值猪保姆男孩8年未见母亲被告知被遗忘七年后宇文玥被薅头发捞上岸郑州一火锅店爆改成麻辣烫店西双版纳热带植物园回应蜉蝣大爆发沉迷短剧的人就像掉进了杀猪盘当地回应沈阳致3死车祸车主疑毒驾开除党籍5年后 原水城县长再被查凯特王妃现身!外出购物视频曝光初中生遭15人围殴自卫刺伤3人判无罪事业单位女子向同事水杯投不明物质男子被流浪猫绊倒 投喂者赔24万外国人感慨凌晨的中国很安全路边卖淀粉肠阿姨主动出示声明书胖东来员工每周单休无小长假王树国卸任西安交大校长 师生送别小米汽车超级工厂正式揭幕黑马情侣提车了妈妈回应孩子在校撞护栏坠楼校方回应护栏损坏小学生课间坠楼房客欠租失踪 房东直发愁专家建议不必谈骨泥色变老人退休金被冒领16年 金额超20万西藏招商引资投资者子女可当地高考特朗普无法缴纳4.54亿美元罚金浙江一高校内汽车冲撞行人 多人受伤

天下网TXWEB XML地图 TXT地图 虚拟主机 SEO 网站制作 网站优化