1.知名软件ADSafe暗藏恶意代码 从众多网站劫持流量
2.http劫持是代理什么?如何防止网站被劫持呢?
3.使用 Socks5 来劫持 HTTPS(TCP-TLS) 之旅
4.https域名被劫持如何解决

知名软件ADSafe暗藏恶意代码 从众多网站劫持流量

       知名软件ADSafe被曝暗藏恶意代码，严重侵犯用户流量。域名源码火绒安全团队揭露，劫持多款声称净网的代理软件，如ADSafe、域名源码清网卫士和广告过滤大师，劫持dll提取源码实则通过替换计费名进行流量劫持，代理涉及多家网站，域名源码包括知名电商、劫持导航站和消费平台。代理这些软件不仅在国内广泛传播，域名源码且劫持规则可远程操控，劫持潜在风险极高。代理

       火绒安全团队发现，域名源码尽管ADSafe官网版本停留在4.0.，劫持但其实际在论坛和下载站发布的v5.3版本与清网卫士、广告过滤大师的功能和恶意行为一致，都涉及流量劫持。下载和安装这些软件，骗子收录源码会导致用户访问网站时流量被非法截取。

       受影响的网站数量创近年之最，不仅淘宝、京东等国内电商，还包括Coach、Hanes等国际品牌购物站。这些软件的恶意行为可能进一步升级，比如用于挖矿和窃取个人信息，因此用户需提高警惕，使用火绒安全软件进行防护。

       流量争夺战中，一些软件打着免费旗号，实际上以用户电脑为战场。健康的商业模式应是用户购买服务，而非利用用户。规范的服务和优质产品才是企业长远发展的关键。火绒团队已经断定，清网卫士与ADSafe的AirPlayer源码输出最新版本（如5.3..）有密切关联，它们的制作商相同且共享同样的劫持逻辑。

       详细分析显示，这些软件通过HTTP代理劫持用户请求，规则不断更新，可能导致更多隐私泄露。ADSafe的运行流程包括网络过滤驱动、HTTP代理和规则文件的加密解密。在官网版本中，由于缺少关键模块，ADSafe不会实施劫持，但其他下载的版本则存在明显问题。

       总的来说，ADSafe及其变种软件的恶意行为对用户隐私和网络安全构成严重威胁，用户在下载和使用软件时务必谨慎，选用可信赖的安全软件进行保护。

http劫持是什么?如何防止网站被劫持呢?

       HTTP劫持，指的是恶意软件或病毒通过篡改浏览器设置、锁定主页或弹出新窗口等方式，球鞋突袭源码迫使用户访问特定网站，导致用户流量损失的现象。这种行为形成了一条庞大的黑色产业链，不仅给企业造成巨额经济损失，还可能严重损害企业形象。黑客可能在企业网站上插入广告或篡改内容，以获取非法利益。防止网站被劫持有以下几点措施：

       1. 使用高纯净度的域名DNS。通过设置域名DNS，可以有效提升网站安全性，减少被劫持的风险。

       2. 更换主机。选择技术更先进、安全性更高的专业主机或云服务器，避免虚拟主机或共享主机易被黑客入侵的问题。

       3. 应用HTTPS加密协议。采用HTTPS可以防止网站协议被篡改，避免网站被劫持，gopacket源码分析同时抵御大部分协议攻击。

       这些方法都是基于实际经验总结的防范策略，希望对您有所帮助。确保网站安全是至关重要的，采取适当的预防措施是保护网站免受攻击的第一步。

使用 Socks5 来劫持 HTTPS(TCP-TLS) 之旅

       在探讨 MITM（中间人）劫持时，我们发现 HTTP 协议并非唯一的途径。实际情况是，BurpSuite 和 Yakit 提供的交互式劫持工具主要针对的是 HTTP 代理的 TLS 流量，但这并非万能。有些场景下，特定后端只支持 TCP 传输层代理（Socks5）代理，交互式劫持将失效，无法获取基于 Socks5 代理的 HTTP 通信。

       因此，我们进行了实验，实现了基于 Socks5 协议的代理劫持。这一实践不仅让 Socks5 的代理适配了传统的 MITM 交互式劫持，还揭示了 TLS 劫持的实质：证书信任链的崩坏。从技术角度讲，HTTP 代理在 TLS 劫持中仅扮演了提供连接介质的角色。

       TLS 劫持的实现过程涉及一个时序回顾。在实现正常的 HTTP 代理时，通常需要处理两种情况：一种是代理直接去掉 Proxy 头，解析出 Host 地址后发起明文 HTTP 链接；另一种是发起 CONNECT 请求后建立 TCP 连接，中间人需要同时进行客户端握手，并尽可能还原信息以与服务端进行握手。在 Socks5 代理中，从 TCP 连接建立开始，劫持的技术实现与现有 TLS 劫持技术几乎一致。

       为了实现 Socks5 可进行中间人攻击的代理，通常的 Socks5 服务器可能无法满足需求，因此需要学习如何实现一个简单且实用的 Socks5 协议。Socks5 通常支持三种模式，而我们以最常见模式为例，解析通信过程，分为 Socks5 握手和转发两部分。实现握手后，拿到 TCP 连接后即有了决策点，通过 Socks5 邪恶版本的实现，顺利劫持到 TLS 的原始内容。

       注意到 SNI（Server Name Indication）在 TLS 手shake过程中作为TLS扩展信息，其存储结构并非字符串，而是一个字符串数组。劫持后TLS握手的时间点至少应在上一个SNI解析出来之后，如果没有解析出来，则应读取Socks5连接的目标Addr。

       在解决工程问题时，我们发现现有的基础设施通常用于处理HTTP请求，导致我们面临是否需要完全重写基础设施的抉择。经过思考，我们发现让Socks5和HTTP共存是可行的解决方案，即Socks5和HTTP代理可以并存，从而减轻用户切换代理的负担。

       通过巧妙利用二级代理，我们实现了对 Socks5 劫持 TLS 的兼容性，即在劫持 TCP（HTTP 的传输层）时，主动放弃除 HTTP 之外的其他协议。这样，我们的基础设施可以被有效利用，实现“劫持”问题的降级处理。

       最终，我们通过实验和实践，证明了Socks5代理的TLS劫持技术是可行的，并且在Yakit等工具中得到了实际应用。通过这一技术，我们不仅增强了用户在配置和使用过程中的体验，还为BurpSuite等工具的扩展提供了新的可能性。

https域名被劫持如何解决

       可以先检测，看看是哪个劫持，再看这种劫持问题的解决办法是什么？

       IIS7网站监控

       检测网站是否被劫持、域名是否被墙、DNS污染检测、网站打开速度检测等信息。

       对应劫持问题的解决办法：

       一、DNS域名劫持，通过攻击互联网上的DNS服务器，伪造DNS服务器，指引用户指向错误的一个域名地址。简单的说就是DNS服务器被更改了。这种情况下你可以尝试域名DNS查询工具识别或全国Ping，一般都可以看到没有按照你的要求指向的，都是被劫持的。

       二、域名解析，通常输入HTTP网站跳转到另一个协议，或者在移动客户端输入域名，弹出很多广告，那么可以确定的是域名被劫持了，也可以用工具查询，比如HTTP状态查询等。

       三、流量劫持，打开网站弹出很多窗口，并且不断打开，而且提示下载等，这种就属于流量劫持，也属于数据劫持，他的行为判断是比较明显的，如果是独立服务器在资源限制的情况下，恶意代码在网页或者服务器，会造成服务器流量损失。