流量劫持

打开一个购物网站，流量劫持地址栏里显示的流量劫持域名完全正确，页面设计也挑不出毛病。流量劫持你输入账号密码，流量劫持点击登录——信息直接进了别人的流量劫持数据库。这种事每天都在发生，流量劫持只是流量劫持大多数人根本不知道。

流量劫持不是流量劫持新鲜玩意。早些年最常见的流量劫持手段是DNS污染，运营商在解析环节做手脚，流量劫持把你本来要访问的流量劫持A网站偷偷换成B网站。后来HTTPS普及了，流量劫持这条路不好走了，流量劫持攻击者就换了思路。流量劫持现在更流行的流量劫持是在公共WiFi上做文章。我在咖啡馆连过一个叫“Coffee_Free”的热点，信号满格，网速也正常，但每次打开百度都会先跳转到一个博彩页面。那个页面停留不到一秒，然后自动跳到真正的百度。大多数人眨个眼就过去了，根本不会留意。

这一秒不到的跳转，已经完成了cookie注入。你的浏览器里被塞了一个第三方cookie，接下来你在电商平台搜索什么商品，那个博彩网站都能收到数据。精准投放的广告就是这么来的。

还有更隐蔽的。某些免费VPN和浏览器插件，装的时候人畜无害，用起来也正常。但它们会在后台修改你的代理设置，把特定域名的请求转发到攻击者服务器。你访问银行网站，页面看起来一模一样，因为攻击者做了反向代理，实时抓取真实银行页面再传给你。区别在于，你提交的所有数据都会在中间被复制一份。

我见过一个案例。某公司财务在出差时用酒店WiFi登录企业网银，转账时发现U盾无法识别。她以为是驱动问题，换了台电脑重新操作。第二天公司账户少了八十万。后来查日志发现，第一次操作时U盾其实已经工作了，但中间人攻击把证书验证环节劫持了，伪造了一个“U盾未识别”的提示，诱导她换设备。第二次操作时，攻击者已经拿到了足够的信息来伪造交易。

流量劫持的可怕之处在于它不破坏任何东西。页面正常打开，网速没有异常，杀毒软件也不报警。你根本不知道自己被劫持了，直到钱没了或者账号被盗。

怎么防？最直接的办法是别用公共WiFi处理敏感操作。手机流量虽然也走运营商网络，但基站和核心网之间的加密比公共热点可靠得多。如果非要用WiFi，至少确认一下HTTPS证书。浏览器地址栏那个小锁图标点开，看看证书颁发给谁。如果显示是“*.com”这种泛域名，或者颁发者是个没听过的机构，立刻断网。

另一个习惯是关掉浏览器的“自动填充”功能。很多人图方便，账号密码全存浏览器里。一旦流量被劫持，这些填充数据就是攻击者的囊中之物。手动输入虽然麻烦，但至少多一层保障。

企业层面更复杂。BYOD（自带设备办公）让流量劫持的风险成倍增加。员工的个人手机连过什么WiFi、装过什么插件，IT部门根本管不着。等这台手机连上公司内网，攻击者就跟着进来了。零信任架构喊了这么多年，真正落地的没几家。大部分公司还是靠防火墙和杀毒软件，这两样东西对中间人攻击基本无效。

流量劫持不会消失。只要数据还有价值，就有人愿意在中间架一台服务器。作为普通用户，能做的就是别把安全完全交给浏览器和杀毒软件。那个地址栏里的小锁，点开看一眼，花不了十秒钟。