公安部網(wǎng)安局公眾號(hào)近日發(fā)文：

2023年6月，北京市公安局網(wǎng)安總隊(duì)發(fā)現(xiàn)北京某單位二級(jí)頁(yè)面顯示博彩網(wǎng)站內(nèi)容。

經(jīng)進(jìn)一步核查，事件的起因系該單位主頁(yè)上鏈接到其簽約廣告商的鏈接域名停用后，被一博彩網(wǎng)站搶注，致使通過(guò)互聯(lián)網(wǎng)訪問(wèn)該域名時(shí)，顯示為博彩網(wǎng)站頁(yè)面，造成了不良影響。

針對(duì)該情況，北京公安網(wǎng)安部門(mén)根據(jù)《中華人民共和國(guó)網(wǎng)絡(luò)安全法》等相關(guān)規(guī)定，對(duì)該單位相關(guān)負(fù)責(zé)人進(jìn)行了約談，并責(zé)令該單位對(duì)以上問(wèn)題立即整改。

公安機(jī)關(guān)鄭重提示：

各網(wǎng)絡(luò)運(yùn)營(yíng)者，尤其是新聞?lì)惥W(wǎng)站，要進(jìn)一步完善第三方外鏈的管理工作，尤其是自動(dòng)跳轉(zhuǎn)的廣告鏈接。

在頁(yè)面發(fā)布流程中嚴(yán)格審查內(nèi)容，定期開(kāi)展專項(xiàng)檢查，及時(shí)下線到期、失效的第三方鏈接。

要進(jìn)一步提升對(duì)第三方鏈接的實(shí)時(shí)監(jiān)測(cè)能力，及時(shí)發(fā)現(xiàn)黑鏈等頁(yè)面異常情況，有效開(kāi)展處置工作。

要進(jìn)一步完善應(yīng)急處置預(yù)案，發(fā)現(xiàn)突出情況第一時(shí)間處置，盡快消除影響，并將相關(guān)情況報(bào)送公安機(jī)關(guān)。

其實(shí)，除了以上域名到期后被搶注導(dǎo)致訪問(wèn)該域名時(shí)，顯示為博彩網(wǎng)站頁(yè)面，還有一種情況也會(huì)導(dǎo)致頁(yè)面跳轉(zhuǎn)成另外一個(gè)未知頁(yè)面的情況，那就是被流量劫持！

什么是瀏覽器劫持？

瀏覽器劫持是一種惡意程序，通過(guò)瀏覽器插件、BHO（瀏覽器輔助對(duì)象）、Winsock LSP等形式對(duì)用戶的瀏覽器進(jìn)行篡改，使用戶的瀏覽器配置不正常，被強(qiáng)行引導(dǎo)到商業(yè)網(wǎng)站。常見(jiàn)現(xiàn)象為主頁(yè)及互聯(lián)網(wǎng)搜索頁(yè)變?yōu)椴恢木W(wǎng)站、經(jīng)常莫名彈出廣告網(wǎng)頁(yè)輸入正常網(wǎng)站地址卻連接到其他網(wǎng)站。

展開(kāi)全文

HTTPS 如何預(yù)防流量劫持

由于 HTTPS 足夠安全，且無(wú)法偽造，因此一般劫持者不會(huì)選擇運(yùn)營(yíng)商下手。

01DNS 劫持

實(shí)際上 HTTPS 并不能預(yù)防 DNS 劫持，但是由于用戶訪問(wèn)頁(yè)面會(huì)空白或者顯示網(wǎng)頁(yè) HTTPS 不正常，此時(shí)會(huì)找運(yùn)營(yíng)商投訴，因此一般運(yùn)營(yíng)商對(duì) DNS 劫持比較慎重，HTTPS 反而是安全的。

02HTTP 劫持

事實(shí)上，劫持者一般會(huì)直接放行 HTTPS 流量，劫持 HTTPS 網(wǎng)頁(yè)并不能讓用戶端顯示正常的網(wǎng)頁(yè)內(nèi)容。

03預(yù)置證書(shū)

像一些公司，網(wǎng)吧會(huì)強(qiáng)制預(yù)置根證書(shū)，配合網(wǎng)關(guān)達(dá)到 HTTPS 劫持的目的。（此方式只能通過(guò) 解析 CAA 記錄解決劫持，但網(wǎng)頁(yè)顯示空白）。

不同于簡(jiǎn)單的HTTP代理，HTTPS 服務(wù)需要權(quán)威CA機(jī)構(gòu)頒發(fā)的SSL證書(shū)才算有效。自簽證書(shū)瀏覽器不認(rèn)，而且會(huì)給予嚴(yán)重的警告提示。而遇到“此網(wǎng)站安全證書(shū)存在問(wèn)題”的警告時(shí)，大多用戶會(huì)選擇關(guān)閉頁(yè)面，所以網(wǎng)站證書(shū)需要選擇權(quán)威CA機(jī)構(gòu)頒發(fā)。

這里所說(shuō)的權(quán)威CA機(jī)構(gòu)是指已經(jīng)通過(guò)WebTrust國(guó)際認(rèn)證，根證書(shū)由微軟預(yù)置，受微軟等各類操作系統(tǒng)、主流移動(dòng)設(shè)備和瀏覽器信任的CA機(jī)構(gòu)；在中國(guó)還要附加一項(xiàng)，就是要拿到工信部許可的CA牌照；這樣的CA機(jī)構(gòu)，才有權(quán)利簽發(fā)各類數(shù)字證書(shū)。

當(dāng)前，HTTPS依然是非常有效的流量劫持防范措施之一，無(wú)論是網(wǎng)絡(luò)服務(wù)提供商還是廣大網(wǎng)民，為保障自己的帳戶安全和個(gè)人權(quán)益，都要形成使用HTTPS訪問(wèn)網(wǎng)站的習(xí)慣和意識(shí)，重要的網(wǎng)站更要及時(shí)部署權(quán)威機(jī)構(gòu)頒發(fā)的SSL證書(shū)，才能確保網(wǎng)站關(guān)鍵數(shù)據(jù)的安全和完整。