深圳电信isp劫持www.google-analytics.com的ga.js来弹出广告窗口分析

原创

于 2015-10-30 00:23:39 发布 · 5.5k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#isp劫持

本文分析了一种现象：每次首次登录QQ时，浏览器会自动打开一个广告页面。通过抓包发现，ISP通过篡改Google Analytics的JS文件实现广告推送。文章详细解释了这一过程，并提供了屏蔽该行为的方法。

现象

每天第一次登录QQ的时候的，浏览器就会自动打开，gd.189.cn的一个广告页面，特别烦如图呐

调查

通过抓取有登录数据包和分析包的数据。
其实和QQ没多大关系。
* QQ的登录与验证通地udp完成。
* 首次登录QQ弹出dailynews。（我用的是没广告的国际版）
* dailynews中包含一个www.google-analytics.com的ga.js
* 由于是普通的http。isp修改了这个ga.js。如下

 var _open_v5_ = new Object;
 _open_v5_.arrivalstat = 'http://172.18.18.6:81/stat.aspx?p=1446126023|5783462|72962|0|0|0';
 _open_v5_.stat = 'http://125.88.131.11:81/stat/img.php?p=1446126023|5783462|72962|0|0|0&param=ABioyajZGekprCz8jKys/MyM7JzcjOv87JzNGYm9mPkJOWnIaWm8LIzcbJzdmejZqenJCbmsLLy8/Mz8/ZjJCKjZyaio2TwoiIiNGYkJCY';
 _open_v5_.expires = 10;
 _open_v5_.p