铁通近期劫持百度统计插播广告的案例

以往的运营商利用会话劫持技术插播广告，一般都是在客户端浏览器GET一个页面的时候，返回一个200或302代码，给客户端推送一段iframe代码（或者劫持到有iframe的页面上），框架里面嵌套客户要访问的网站，外面插一个广告banner。

这种劫持技术早在2006年就特么有啦，特点是被劫持后浏览器标题栏显示的是url而不是目标页面title中的内容，很容易辨别。文章源自两天的博客-https://2days.org/2776.html

有关部门吃人饭不干人事，这种东西至今依然有，呵呵。（我猜你们都知道所谓“secure”互联网，secure的是什么东西）文章源自两天的博客-https://2days.org/2776.html

近期上网发现，好多网站会蹦出一个右下角广告小窗或者banner，而且只在铁通的网络下有这个情况。文章源自两天的博客-https://2days.org/2776.html

很显然是被劫持插了广告，但是抓包分析，所有到目标网站的GET请求都有正确地回复，没有出现上文所述的情况。文章源自两天的博客-https://2days.org/2776.html

后来对比分析了一下网页的源代码，分别用IE的查看源文件功能和开发人员工具，二者获得的源代码有点区别，凭空多出来一段显示广告内容的代码。文章源自两天的博客-https://2days.org/2776.html

好吧，估计是哪个JS被劫持了。因为太多的站点有这个情况了，所以很容易就想到统计代码。文章源自两天的博客-https://2days.org/2776.html

仔细一翻出问题网站的源码，都用了百度统计。文章源自两天的博客-https://2days.org/2776.html

百度统计，就是这么一段代码（某网站的，没去掉后面的参数直接贴了）：文章源自两天的博客-https://2days.org/2776.html

在内网IIS上新建个页面，就写这一段代码，浏览器访问一下。好嘛，也出广告了。文章源自两天的博客-https://2days.org/2776.html

文章源自两天的博客-https://2days.org/2776.html

针对这个抓了一下包，看看，果然是给302劫持走了。

访问一下219.238.159.182这个地址，得到下面这一堆烂代码……

翻译一下，就是：

嗯，好了，帖子也写完了。

那么，问题来了：

解决此问题的方法，打开你电脑上的hosts文件，添加这样一行：