[情報] 小心惡質社區網路竄改網頁偷放廣告

[whitedevil (哀悼KKcity)]

從昨天開始陸續在不同的網站看到奇怪的廣告顯示在網頁右下，長得像這樣：
http://i.imgur.com/1h9TxE2.png
廣告是簡體中文，跟瀏覽的網站內容不相關，很明顯不是網站本身正常廣告，
仔細看還有腳掌浮水印，這不就是百度的商標嗎？
顯然我是中了廣告注射(ad injection)，被惡意植入不相干廣告在瀏覽器頁面中...
......原本我是這樣想的。

有好好使用防毒軟體，不安裝盜版，不安裝中國軟體的我，居然也中標？
仔細檢查了電腦系統、瀏覽器外掛，都沒問題，
上網搜尋解法也找不太到，幾乎都是講被惡意程式綁架或首頁綁架之類，
直到我檢查網頁原始碼用找到的可疑源碼去做關鍵字搜尋，
終於有一篇中國部落格，是跟我同樣的情況
http://blog.iytc.net/wordpress/?p=501

比較技術成分的東西部落格內都寫了，該文指出，原來兇手竟是網路營運商，
在傳送網頁封包的過程中直接把廣告程式碼插入，當然在自己電腦上是甚麼也找不到的！
為了交叉比對確認，我也開手機分享4G網路給電腦，確實只有在使用家裡網路會跳廣告，
改用行動網路連同樣網頁，檢視原始碼就是乾淨的了，當然也沒有跳廣告。

這種偷渡廣告的作法從部落格作者發文日期來看，大約從上一季才開始出現，
想不到沒多久就已經流傳到臺灣來了，
這樣手法卑鄙的地方是讓不懂電腦的人很容易以為是網站本身的廣告，
而且就算開啟adblock擋掉，廣告不會出現但植入的框架還在，
就會有個透明廣告框在那礙眼，所以除非用關鍵字過濾否則沒辦法阻擋它進入網頁。

家裡是用社區網路的請留意自家網路是不是也被這種方式滲透了。

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 220.132.241.38
※ 文章網址: https://www.ptt.cc/bbs/Broad_Band/M.1449781145.A.669.html
→ rick65134: 可以透露是哪家社區網路嗎?
推 haleytll: 搜集證據，向NCC提報吧
推 waterboy1012: 想知道哪間+1
推 chang0206: 哪間？
→ wuliou: 之前不是哪家的AP也會搞injection? 記得有看到新聞
→ sigurose: 想知道哪間社區網路業者敢這麼做+1 強制插入這種遊戲廣
→ sigurose: 告也太奇怪了…… ="=
推 klt: XD 通常會這樣搞的是出租套房的房東
→ klt: 通知繳房租之類的 XD
→ whitedevil: 我還在確認其他住戶的情況，暫時不敢貿然公開名字
→ whitedevil: 我們社區網路費是管委會統一繳交，沒有欠繳問題
→ chang0206: 嗯，那個部落格不見了！
推 cooladam: 並沒有不見，是網址錯了，應該是p=501
不好意思，因字數太多沒換行，被吃字，現在改了
→ HamalAri: 這是 Facebook ?? 所以連 https 也可以 ??
→ HamalAri: 如果是 https 的話就代表連 mitm 的能力都有
不是，那是網頁的一部分，截圖是要顯示出廣告遮擋網頁的樣子，
被遮擋的是該網站的粉絲團連結貼紙
推 memphis: 聽起來有點神..
推 mstar: 試試看手機吃家裏網路會不會有類似狀況
不會喔，這個文中有解釋了，吃手機網路時就一切正常
推 GJME: AP廣告指的應該是之前小米路由會在404錯誤頁插廣告 而ISP插
推 GJME: 廣告在台灣倒是第一次看到 對岸很常見就是了
→ adms: vpn 試試看
推 HiJimmy: 路由器就有這個功能 大部分就裝PROXY 方便插入廣告 管制
目前發現https網頁都正常，而廣告也不是每一個網站都有植入，
若不是網站本身含防止竄改網頁的原始碼，還真看不出廣告商選擇的標準是甚麼
會被植入的大型網站包括：momoshop、udn購物、東森、森森購物、中華郵政、
合庫、臺銀、xuite blog、gomaji、17life...目前我檢查過的有這些
雖然不能代表這些網站資安有問題，但至少說明網頁技術本身較不嚴謹不防竄改吧，
只是臺灣網站技術架構落後也不是一天兩天的事了。
被偷植入的原始碼長這樣：
<div id="dvImg" style="display:none"></div>
<div class="fancybox-overlay"></div>
<script src='http://api.dreamfull.cn/s/js/fshow.js?_qwert_sid=179911966&
_zxcvb_pid=990469362036' type='text/javascript' charset='utf-8'></script>
推 mike7689: 第一次看到這種手法
→ HamalAri: 就沒有 mitm 攻擊的能力，所以 https 加密沒辦法植入
→ HamalAri: 其實像這麼落後的技術，把 api.dreamfull.cn 擋掉就好
→ HamalAri: 比如加到 hosts 檔之類的
推 asdfghjklasd: 他能植 html 就能在中間偷東西...這種的要告一下
偷東西還比較不怕，畢竟本來網路上比較敏感的個資都應該加密傳送
可是竄改封包讓我很不爽，這是完全違背信賴原則，獨裁國家才在做的事
這樣子怎麼能確定看到的網頁內容真的是本來的網站內容呢？想想就毛骨悚然
→ bestpika: QNO 賣的 AP 好像就有辦法加廣告進去
→ bestpika: 還有只要不是在網站端被改都不是網站的問題
推 jhangyu: 直接檢舉啦！太扯了！
推 geniuscheung: 需要鬧大嗎 請轉八卦版
推 richjf: 偷放直接dns放廣告的，不就對岸中國電信嗎？
推 wang7752: 不是 mstar意思是說 手機用你家網路來上網
懂了，但手機瀏覽器無法檢視原始碼，所以這點沒有確認
不過無所謂，因為現在已經基本上肯定社區網路公司有問題了
社區其他住戶開啟網頁也有相同被植入的症狀
所以除非這是一個大規模感染臺灣用戶的新手法，否則就只有社區網路嫌疑最大

正研究如何向NCC提出檢舉中
(然後連到NCC網站發現也會被植入廣告碼，真是無言)
※ 編輯: whitedevil (220.132.241.38), 12/12/2015 21:12:43
推 HiJimmy: 不過，這行為有違反法律嗎?
→ HiJimmy: 沒有NCC也是不管的 最多就是流失客戶
→ HiJimmy: 想在有這種商業模式 靠基本流量來放廣告來賺錢
→ HiJimmy: 不過大多是在免費的網路 有廣告路由器
→ jones2011: 被用來做賺廣告點閱數的"代理攻擊"?
→ jones2011: 概念源自於中國的網路長城的監控方式吧
→ smiling: 早期也有租用過社區網路一段時間，但無類似狀況。
→ smiling: 洽NCC檢舉前，還是先洽客服反應，確定是否為公司本身政策
→ smiling: 還是其它因素間接造成...
→ c0800805: 不會吧，現在還能這樣插廣告阿!
推 pennymarkfox: android chrome/firefox都可以開debug接pc的chrome
→ pennymarkfox: /firefox開console起來看html
→ pennymarkfox: iphone的話，safari也有這個功能