【科普】HTTPS如何防止流量劫持，常见的劫持方式介绍

HTTPS 加密如何防止流量劫持，常见的劫持方式有哪些？

流量劫持，是利用各种恶意软件修改浏览器、锁定主页或不停弹出新窗口，强制用户访问某些网站，从而造成用户流量损失的情形。流量劫持是一种古老的攻击方式，比如早已见惯的广告弹窗等，很多人已经对此麻木，并认为流量劫持不会造成什么损失。而事实上，流量劫持可以通过多种你无法觉察的方式窃取信息，那么HTTPS加密如何防止流量劫持？本文详细介绍。

现在互联网的开放性，使得假冒、钓鱼网站层出不穷。用户在线操作或交易，必须确认网站身份。用户为网站安装ssl证书后只需点击浏览器地址栏的锁头标志，即可确认网站身份，安装ssl证书的网站数据在链路上传输，经过多个节点，防止数据传输易遭窃取和攻击，以及可以防止运营商或不法分子可能植入广告或其他信息。

HTTPS如何防止流量劫持？

SSL证书（HTTPS加密）是如何防止流量劫持的？

HTTPS (HTTPS的核心功能：浏览器和网站服务器之间的通信受到加密保护)，顾名思义，是在HTTP (超文本传输协议) 的基础上，通过引入SSL/TLS(安全套接层/传输层安全) 协议来实现加密传输的。可以理解为 HTTP 穿上了一层加密的“盔甲”。SSL/TLS 协议是专门为解决网络传输层安全问题而设计的，其核心在于利用公钥密码学的原理，构建了一套完善的安全机制。

主要实现以下几个关键功能：

服务器身份认证

当您通过 HTTPS 连接到一个网站时，SSL/TLS协议（什么是 SSL/TLS 证书）首先会验证服务器的身份。这通过服务器出示的 SSL证书来完成。

SSL证书是由受信任的证书颁发机构 (CA) 签发的数字证书，它包含了服务器的公钥、域名信息以及CA（CA机构是什么？）的签名。您的浏览器会检查这个证书的有效性，包括验证证书是否由受信任的 CA签发、证书是否过期、以及证书上的域名是否与您尝试访问的网站域名一致。
DNS 劫持是一种常见的流量劫持手段，它通过篡改域名解析结果，将用户对网站域名的访问请求指向错误的服务器 IP 地址。

在HTTP环境下，如果发生DNS劫持，用户可能会被引导到一个仿冒的网站服务器，而用户浑然不知。但是，在 HTTPS 环境下，由于 SSL/TLS 的服务器身份认证机制，即使 DNS 劫持将用户引导到了错误的服务器，用户的浏览器在建立 SSL/TLS 连接时，会发现该服务器提供的 SSL 证书与预期的网站域名不符，或者证书无效（例如，不是由受信任的 CA 签发）。这时，浏览器会立即识别出潜在的风险，并终止连接，同时向用户发出安全警告，例如“连接不是私密连接”或“证书无效”等提示。这有效地阻止了 DNS 劫持导致用户连接到错误服务器并遭受进一步攻击的可能性。

数据加密

SSL/TLS 协议使用加密算法对客户端（例如您的浏览器）和服务器之间传输的所有数据进行加密。在建立 HTTPS 连接时，客户端和服务器会通过一系列握手过程，协商确定一个 加密密钥。

之后，所有通过这个连接传输的数据都会使用这个密钥进行加密，变成只有客户端和服务器才能理解的密文。

常用的加密算法包括对称加密算法（如 AES、CHACHA20）和非对称加密算法（如 RSA、ECDHE）。
在 HTTP 协议中，所有数据都以明文形式传输，这意味着任何能够截获网络数据的人（例如，在公共 Wi-Fi 环境下的攻击者，或者网络链路上的监听者）都可以轻易地读取到传输的内容，包括用户的账号密码、浏览内容、个人信息等敏感数据。而 HTTPS 的数据加密功能，则彻底改变了这一状况。即使攻击者成功地截获了 HTTPS 加密的数据包，由于没有解密密钥，他们看到的只是一堆乱码，无法还原出原始的明文信息。

这就像给数据传输过程增加了一个“加密隧道”，保证了数据在传输过程中的机密性，有效防止了敏感信息被第三方窃听和泄露，也就是俗称的“流量嗅探”。

数据完整性校验

SSL/TLS 协议还提供了数据完整性校验的功能，确保数据在传输过程中没有被篡改。它通过使用消息认证码 (MAC) 或数字签名等技术来实现。

发送方在发送数据时，会根据数据内容计算出一个哈希值 (类似于数据的“指纹”)，并将哈希值与数据一同加密发送给接收方。接收方收到数据后，会使用相同的哈希算法重新计算数据的哈希值，并与接收到的哈希值进行比对。

如果数据在传输过程中被恶意篡改（例如，被中间人攻击修改了数据包的内容），那么接收方计算出的哈希值就会与接收到的哈希值不一致，完整性校验失败。这时，SSL/TLS 协议会检测到数据已被篡改，并采取相应的措施，例如丢弃数据包或断开连接，从而防止接收方接收到被篡改的数据。这确保了数据在传输过程中的完整性，防止了数据被恶意修改，保证了用户接收到的信息是真实可靠的。

网站安装ssl证书实现HTTPS加密，通过 SSL/TLS 协议提供的服务器身份认证、数据加密和数据完整性校验三大核心功能，构建了一个安全的网络传输通道，就可以有效的防止流量劫持、数据窃听和数据篡改等多种网络安全威胁，极大地提升了网络通信的安全性。所以可以说HTTPS的服务器身份认证是抵御 DNS 劫持的第一道防线。

HTTP 协议的缺陷主要存在哪些问题？

首先HTTP 协议最初设计时，并没有考虑到安全性问题，它以明文方式传输数据，且缺乏身份验证和完整性保护机制，这使得 HTTP 协议在网络传输过程中存在诸多安全漏洞，为各种流量劫持攻击提供了可乘之机。

什么是明文传输呢？

明文传输就是HTTP 协议以明文形式传输所有数据，包括请求头、请求体、响应头、响应体等。这意味着任何能够截获网络数据包的人都可以直接读取到传输的内容，没有任何加密保护。HTTP 协议本身不提供对通信双方身份进行验证的机制。客户端无法验证服务器的真实身份，服务器也无法验证客户端的身份（虽然可以通过其他方式如 HTTP 认证来实现，但 HTTP 协议本身不强制要求）。虽然 TCP 协议本身提供一定的校验和功能，但 TCP 的校验和主要用于检测传输错误，而非恶意篡改，并且 TCP 校验和的强度相对较低，容易被绕过。

常见的HTTP流量劫持方式有哪些？

由于HTTP协议的上述缺陷，导致了多种流量劫持方式得以实现，常见的流量劫持方式主要包括：

DNS 劫持

攻击者通过篡改 DNS 服务器的解析记录，或者在用户本地的 DNS 缓存中植入错误记录，使得用户在访问特定域名时，被解析到错误的 IP 地址，通常是攻击者控制的服务器。DNS 劫持可以劫持所有通过域名发起的 HTTP 流量。用户通过域名访问网站时，实际上是先通过 DNS 解析获取 IP 地址，然后再根据 IP 地址建立连接。如果 DNS 解析被劫持，用户就会被引导到错误的服务器，从而导致流量被劫持。直接使用 IP 地址访问网站则不受 DNS 劫持影响，因为绕过了域名解析的环节。

攻击者可以利用劫持的流量进行各种恶意活动，例如：

• 页面篡改（在用户访问的网页中插入广告、恶意代码、或者虚假信息）
• 信息窃取（搭建仿冒的钓鱼网站，诱骗用户输入账号密码、银行卡号等敏感信息）
• 恶意软件传播（在用户访问的网页中植入恶意软件，诱导用户下载安装）
• 流量劫持盈利（将用户引导到广告联盟网站，通过展示广告或点击广告来获取非法收益）

CDN 入侵

CDN (内容分发网络) 是一种分布式网络架构，通过将网站内容缓存到分布在各地的 CDN 节点服务器上，使用户可以就近访问，提高网站访问速度和用户体验。如果攻击者入侵了 CDN 节点的服务器，就可以篡改缓存的内容。
CDN入侵主要影响的是通过 CDN 加速的网站内容，例如网页静态资源（图片、CSS、JavaScript 文件等）和下载文件。只有当用户浏览网页或下载文件时，才可能受到CDN入侵的影响，其他类型的网络通信则不受影响。

攻击者可以通过 CDN 入侵来实现以下网站问题：

• 替换网页内容（将正常的网页内容替换为恶意内容，例如插入恶意广告、弹窗广告、或者虚假信息）
• 传播恶意软件（替换用户下载的文件，例如将正常的软件安装包替换为包含恶意软件的安装包）

网关劫持

网络网关是连接不同网络的重要节点，例如家庭路由器、企业出口网关、公共 Wi-Fi 热点等。如果攻击者控制了网络网关设备，就可以监控和控制所有通过该网关的网络流量。网关劫持是最为严重的流量劫持方式，因为它可以劫持用户的所有网络流量，包括 HTTP、HTTPS 以及其他所有协议的流量。

需要注意的是网关劫持的危害非常广泛，攻击者可以：

• 监控所有流量（监听用户的所有网络活动，包括浏览记录、聊天记录、账号密码等）
• 篡改网页内容（在用户访问的网页中插入广告、恶意代码、或者虚假信息，甚至可以完全替换网页内容）
• 重定向用户请求（将用户的访问请求重定向到恶意网站，例如钓鱼网站或恶意软件下载站点）
• 中间人攻击（对 HTTPS 连接发起中间人攻击）

ARP 攻击

ARP (地址解析协议) 用于将 IP 地址解析为 MAC 地址，以便在局域网内进行数据传输。ARP 攻击通过发送伪造的 ARP 响应报文，欺骗局域网内的其他设备，将攻击者的 MAC 地址与网关的 IP 地址绑定，从而将原本应该发送给网关的数据包转发给攻击者。ARP 攻击主要发生在局域网内部，攻击者可以劫持局域网内其他设备的流量。出现ARP攻击会出现以下后果：

• 中间人攻击（截获局域网内其他设备的网络流量，包括 HTTP 流量，进行数据监听和篡改）
• 拒绝服务攻击 (DoS)通过大量发送 ARP 攻击报文，导致局域网内网络瘫痪）

Hub 嗅探

在早期的网络中，使用集线器 (Hub) 作为网络连接设备。Hub的工作原理是将接收到的数据包广播到所有连接到 Hub 的设备上。因此，连接到同一个Hub的任何设备都可以接收到所有网络流量。攻击者可以通过在 Hub 网络中部署 抓包工具 (Packet Sniffer)，来捕获网络流量。Hub 嗅探可以捕获所有通过 Hub 传输的网络流量，包括 HTTP 流量。

不过由于现代网络已经普遍使用交换机 (Switch) 替代了Hub，交换机只将数据包发送给目标设备，而不是广播到所有设备，因此Hub 嗅探的攻击方式在现代网络环境中已经比较少见，不在多叙。

域名劫持和网关劫持当前互联网上常见的流量劫持手段。

当前互联网攻击者通过劫持域名 DNS 解析结果，将HTTP 请求劫持到攻击者指定的IP地址，使得客户端与攻击者的服务器建立TCP连接，而非目标服务器。攻击者可以借此窃取用户数据，篡改网页内容，甚至进行钓鱼攻击，伪造目标网站页面以骗取用户敏感信息。同时攻击者控制网络网关，拦截和篡改所有经过网关的网络流量，网关劫持的影响范围更广，危害性也更大，攻击者可以进行流量监控、内容注入、重定向等多种恶意行为。

结合上面的介绍SSL证书的加密原理，可以解决上面的问题，但也不是绝对，毕竟技术无极限，但作为网络安全的工作者，我们还是建议在允许的情况下，购买ssl证书，尽可能实现HTTPs加密避免发生流量劫持的情况发生！