摘要

流量劫持现象在国内十分猖獗，6家国内顶级互联网公司呼吁有关运营商严格打击流量劫持问题。流量劫持分为域名劫持和内容篡改两类，通过HTTP DNS产品和内容HTTPS加密可以基本解决这两类问题。
 

概述

2015年12月15日，今日头条、美团大众点评网、360、腾讯、微博、小米科技六家公司发表联合声明，共同呼吁有关运营商严格打击流量劫持问题，重视互联网被流量劫持可能导致的严重后果。

联合声明指出，在当前的移动互联网环境下，流量劫持主要分为两种方式：域名劫持和数据劫持，放任流量劫持会导致扰乱市场秩序、损害用户利益以及传播诈骗、色情等低俗甚至严重违法信息的恶果。

而在2015年11月，上海浦东法院也刚刚对中国大陆地区首例流量劫持刑案作出判决，两名被告人被判有期徒刑三年，缓刑三年，扣押在案的作案工具以及没收退缴在案的违法所得。

在此前的很长时间内，流量劫持行为并没有被定义为刑事犯罪，而随着浦东法院的判决、六大互联网公司联合声明的发出，流量劫持正在得到更大范围的关注。如何防范流量劫持正成为各家互联网公司的探讨重点。

就此，记者联系了阿里云资深开发工程师亭林，请他介绍了流量劫持的技术原理以及相应的防范措施，精简分享如下。
 
相对于PC端的网络环境，移动端的网络环境更为复杂，2G、3G、4G、Wi-Fi各有不同，而复杂的网络环境也增加了流量劫持的可能性和复杂程度。
 
首先流量劫持的方式主要分为两种，域名劫持和数据劫持。
 

域名劫持

域名劫持是针对传统DNS解析的常见劫持方式。用户在浏览器输入网址，即发出一个HTTP请求，首先需要进行域名解析，得到业务服务器的IP地址。使用传统DNS解析时，会通过当地网络运营商提供的Local DNS解析得到结果。域名劫持，即是在请求Local DNS解析域名时出现问题，目标域名被恶意地解析到其他IP地址，造成用户无法正常使用服务。

解决域名劫持的一个办法就是绕开Local DNS，通过一个可信的源头来解析域名，解析方式不需要拘泥于DNS协议，也可以通过HTTP的方式。两年前，手机淘宝等APP也曾遇到这一问题，随后在做底层网络优化时，通过使用自己定制的HTTPDNS，一个安全可信的域名解析方案，解决了域名劫持问题。

HTTPDNS技术也准备通过阿里云平台开放给广大开发者使用，当前这款产品正在公测中，将于2016年3月29日提供商业化服务。到时，阿里云上的移动开发者也能自主选择，将需要防劫持的域名进行保护。
 

数据劫持

数据劫持基本针对明文传输的内容发生。用户发起HTTP请求，服务器返回页面内容时，经过中间的运营商网络，页面内容被篡改或加塞内容，强行插入弹窗或者广告。

行业内解决的办法即是对内容进行HTTPS加密，实现密文传输，彻底避免劫持问题。MD5校验同样能起到防止数据劫持的作用，MD5校验是指内容返回前，应用层对返回的数据进行校验，生成校验值；同时，内容接收方接收到内容后，也对内容进行校验，同样生成校验值，将这两个校验值进行比对，倘若一致，则可以判断数据无劫持。但相比HTTPS加密，MD5校验存在一定风险，劫持方技术能力强则有可能在篡改内容后替换校验值，导致接收方判断错误。

使用HTTPS加密，已经成为了互联网行业的大势所趋。今年双11，阿里的淘宝、天猫、聚划算等电商平台也都全面实现了HTTPS加密访问，全站改造投入巨大，但有效防止了资源被劫持，保障了用户的收发信息安全。未来，这一技术将不仅限于电商平台，还将通过阿里云对外输出，赋能更多的中小互联网企业，降低他们的创业成本，在更安全的移动互联网环境中得到发展。

阅读分享：https://yq.aliyun.com/articles/8656?spm=5176.100239.blogcont60033.8.zmhPUY

一、DNS
DNS，Domain Name System或者Domain Name Service（域名系统或者域名服务）。域名系统为Internet上的主机分配域名地址和IP地址。由于网络中的计算机都必须有个IP地址，来识别, 互相之间才能通信,但让我们记住一大串的IP地址来访问网站显然是不可能的,所以用户使用域名地址，而DNS系统的功能就是自动把域名地址翻译为IP地址。域名服务是运行域名系统的Internet工具。执行域名服务的服务器称之为DNS服务器，通过DNS服务器来应答域名服务的查询。

[]DNS就是域名服务器，他的任务就是确定域名的解析，比如A记录MX记录等等。[/][]任何域名都至少有一个DNS，一般是2个。但为什么要2个以上呢？因为DNS可以轮回处理，这样第一个解析失败可以找第二个。这样只要有一个DNS解析正常，就不会影响域名的正常使用。[/][]确定域名的DNS，到http://www.internic.net/whois.html 输入你要查询的域名就可以看到了。这个是国际域名管理中心。唯一的权威。只要这里能查到某个域名，就表示域名是生效的。它说你什么时候到期，就是什么时候到期。[/][]有效的DNS表示当前正在起作用的DNS服务器是谁，比如查询结果是NS.XINNETDNS.COM、NS.XINNET.CN(新网信海)就表示 当前域名是由NS.XINNETDNS.COM、NS.XINNET.CN(新网信海)负责解析。其他未显示的DNS的设置，都是无效的。[/][]DNS是可以修改的。修改以后需要24-72小时以后，全世界范围的所有DNS服务器才能刷新过来。internic的信息一般在24小时以后可以看 到。另外，修改的过程，并不表示域名会停止解析，只要你在2边都做好了解析。如果生效了就是新的DNS在起作用。如果没生效。就是旧的DNS在起作用。要么生效，要么不生效。不存在2个都不起作用的时间。所以域名解析，不会中断。前提是两边都做了解析[/]

 
二、A记录
A (Address) 记录是用来指定主机名（或域名）对应的IP地址记录。用户可以将该域名下的网站服务器指向到自己的web server上。同时也可以设置您域名的子域名。通俗来说A记录就是服务器的IP，域名绑定A记录就是告诉DNS，当你输入域名的时候给你引导向设置在 DNS的A记录所对应的服务器。
 
三、子域名
子域名道理等同二级域名，不过比二级域名更加延伸，比如我们继续扩展该域名的主机名，设置主机名为bbs.at,那么就可以建立一个三级域 名：bbs.at.abc.com，当然也可以建立四级域名bbs.at.go.abc.com，五级域名 bbs.at.go.home.abc.com……，依次类推，可以建立无限级别的域名，我们统称这些域名为顶级域名abc.com的子域名。
 
四、CNAME别名指向记录
CNAME (Canonical Name)记录，通常称别名指向。在这里，您可以定义一个主机别名，比如设置ftp.google.com，用来指向一个主机www.google.com,那么以后就可以用ftp.google.com来代替访问www.google.com了。
 
五、MX记录
MX记录也叫做邮件路由记录，用户可以将该域名下的邮件服务器指向到自己的mail server上，然后即可自行操控所有的邮箱设置。您只需在线填写您服务器的IP地址，即可将您域名下的邮件全部转到您自己设定相应的邮件服务器上。简单的说，通过操作MX记录，您才可以得到以您域名结尾的邮局。
 
六、TXT 记录
TXT 记录，一般指为某个主机名或域名设置的说明，如： admin IN TXT “管理员, 电话：13901234569″ mail IN TXT “邮件主机, 存放在xxx , 管理人：AAA” Jim IN TXT “contact: abc@mailserver.com” 也就是您可以设置 TXT ，以便使别人联系到您。
 
七、SRV 记录
SRV 记录：一般是为Microsoft的活动目录设置时的应用。DNS可以独立于活动目录，但是活动目录必须有DNS的帮助才能工作。为了活动目录能够正常的 工作，DNS服务器必须支持服务定位（SRV）资源记录，资源记录把服务名字映射为提供服务的服务器名字。活动目录客户和域控制器使用SRV资源记录决定 域控制器的IP地址。 此技术细节请参考相应网站。

八、TTL值
TTL值全称是“生存时间（Time To Live)”，简单的说它表示DNS记录在DNS服务器上缓存时间。要理解TTL值，请先看下面的一个例子： 假设，有这样一个域名myhost.abc.com（其实，这就是一条DNS记录，通常表示在abc.com域中有一台名为myhost的主机）对应IP 地址为1.1.1.1，它的TTL为10分钟。这个域名或称这条记录存储在一台名为dns.abc.com的DNS服务器上。现在有一个用户在浏览器中键入一下地址（又称URL）：http://myhost.abc.com 这时会发生什么呢？该访问者指定的DNS服务器（或是他的ISP,互联网服务商, 动态分配给他的)8.8.8.8就会试图为他解释myhost.abc.com，当然8.8.8.8这台DNS服务器由于没有包含 myhost.abc.com这条信息，因此无法立即解析，但是通过全球DNS的递归查询后，最终定位到dns.abc.com这台DNS服务器，dns.abc.com这台DNS服务器将myhost.abc.com对应的IP地址1.1.1.1告诉8.8.8.8这台DNS服务器，然有再由 8.8.8.8告诉用户结果。8.8.8.8为了以后加快对myhost.abc.com这条记录的解析，就将刚才的1.1.1.1结果保留一段时间，这就是TTL时间，在这段时间内如果用户又有对myhost.abc.com这条记录的解析请求，它就直接告诉用户1.1.1.1，当TTL到期则又会重复上面的过程。

九、泛域名与泛解析
泛域名是指在一个域名根下，以 .Domain.com 的形式表示这个域名根所有未建立的子域名。 泛解析是把.Domain.com 的A 记录解析到某个IP 地址上，然后别人通过任意的前缀.domain.com访问都能访问到你解析的站点上。

例如：域名根 name.com 只建立了 www.name.com 和 name.com 这两个域名记录，那么 ftp.name.com mail.name.com bbs.name.com 等域名记录是不存在的，但为域名根 name.com 建立泛域名记录 .name.com 后，.name.com 就涵盖了 ftp.name.com mail.name.com bbs.name.com 等所有不存在的子域名记录。您可以定义 .name.com 指向一个 IP ，那么当访问者无论是输入 ftp.name.com mail.name.com 或 bbs.name.com 的时候，访问者都将直接访问您定义 .name.com 的那个 IP 。

十、域名绑定
什么是域名绑定域名绑定是指，域名绑定是指域名和主机(即某个服务器)的空间绑定,其实就是在虚拟服务器上设置或者WEB服务器上设置，使一个域名被指导向一特定空间， 访问者访问你的域名的时候就会打开你存放在该空间上的网页，简单来说其实就是把域名解析到服务器IP,然后在服务器上设置该域名有权限访问的过程。

十一、域名转向
域名转向我们又称为域名(URL)指向或域名转发，当用户地址栏中输入您的域名时，将会自动跳转到您所指定的另一个网络地址（URL）。 假设abc.com是您注册的域名，则通过URL转发服务可以实现当用户访问http://www.abc.com时，自动转向访问另外一个URL，如:我的空间不支持绑定到目录功能,所以为了方便访问者,我就设置:http://bbs.bnnb.net来访问,这个是设置了通过URL转发服务转发到http: //www.bnnb.net/bbs上面来实现的，这样您就可以轻松实现多个域名指向一个网站或网站子目录；另外，通过URL转发服务，可以方便的实现 将您的中文域名，设置自动转发到您的英文域名主站点。域名转发的另外一个好处就是可以把长域名压缩，用短域名的转向代替，让你的访客不需输入那么长的域名。

十二、IIS连接数
IIS连接数指并发连接数，什么意思呢？ 要分几种情况：（以100M空间50人在线为例）

A. 用户单点下载你的文件，结束后正常断开，这些连接是按照瞬间计算的，就是说你50人的网站瞬间可以接受同时50个点下载

B .用户打开你的页面，就算停留在页面没有对服务器发出任何请求，那么在用户打开一面以后的15分钟内也都要算一个在线，就是说你50人的网站15分钟内可以接受不同用户打开50个页面

C .上面B的情况用户继续打开同一个网站的其他页面，那么在线人数按照用户最后一次点击（发出请求）以后的15分钟计算，在这个15分钟内不管用户怎么点击（包括新窗口打开）都还是一人在线。

D. 当你的页面内存在框架(Iframe)，那么每多一个框架就要多一倍的在线！因为这相当于用户同一时间向服务器请求了多个页面。

E. 当用户打开页面然后正常关闭浏览器，用户的在线人数也会马上清除。