互联网那么大 究竟谁在劫持流量？

■IT时报 许恋恋是什么让曾经水火不容的腾讯和360站到了一起？近日，今日头条、美团大众点评网、360、腾讯、微博、小米科技六家公司发布《关于抵制流量劫持等违法行为的联合声明》（下文简称《声明》），呼吁有关运营商严格打击流量劫持问题，重视互联网公司被流量劫持。《声明》中“含糊其辞”地将矛头指向“运营商”，这让包括三大运营商在内的一众运营商们再次来到舆论的风口浪尖

■IT时报 许恋恋

是什么让曾经水火不容的腾讯和360站到了一起？近日，今日头条、美团大众点评网、360、腾讯、微博、小米科技六家公司发布《关于抵制流量劫持等违法行为的联合声明》（下文简称《声明》），呼吁有关运营商严格打击流量劫持问题，重视互联网公司被流量劫持。

《声明》中“含糊其辞”地将矛头指向“运营商”，这让包括三大运营商在内的一众运营商们再次来到舆论的风口浪尖。

“流量劫持”到底是什么？是谁在劫持流量？这个互联网及通信行业的冷门话题突然被炒热的背后，真相究竟如何。

什么是“流量劫持”？

提起流量劫持，其实几乎每个网民都遇到过。例如，明明点击的A网站，打开的内容却是B网站；有时打开一个网页就能看到各种让人眼花缭乱的弹窗及插件，其中不乏许多涉嫌赌博、色情的非法内容，让人防不胜防。

对于互联网公司来说，网络流量是维持生存的最基本条件。就好比一家线下的百货超市，眼见所有顾客都被人从大门前劫走了，能不着急吗！

所以，流量是互联网的衣食父母，如果流量被恶意劫持，损失一定不小。阿里云网络资深工程师亭林介绍，流量劫持的方式主要分为两种：域名劫持和数据劫持。

用户在浏览器输入网址，即发出一个HTTP请求，首先需要进行域名解析，使用传统DNS解析时，会通过当地网络运营商提供的Local DNS解析得到结果。域名劫持，即是在请求 Local DNS 解析域名时出现问题，目标域名被恶意地解析到其他IP地址，造成用户无法正常使用服务。这就像是有人将高速公路上的路标指向牌给换了，所有车都乖乖驶入了错误的方向和目的地。

百度就曾深受域名劫持之害，2010年百度域名被劫持，造成百度整整8个小时无法访问，直接和间接损失重大。

另一种常见的流量劫持是数据劫持，基本针对明文传输的内容发生。用户发起 HTTP 请求，服务器返回页面内容时，经过中间网络，页面内容被篡改或加塞内容，强行插入弹窗或者广告。通俗一点来说，就是往你浏览的网站里加点料。这一点很多网民深有体会，各种弹窗、广告让人不胜其烦的同时，也在偷偷劫持流量。哪怕是网民鼠标的一下误点击，都会给相关公司导入流量，带来实际收益。

对普通用户来说，如果你登录的页面被劫持，将一些重要的账号密码甚至银行信息输入一个虚假的网站，那么也会有很大的安全隐患。

流量劫持不是谁的专利

《IT时报》记者调查采访后发现，其实阿里、腾讯、百度、中国电信、中国移动、中国联通、360、小米、微博、世纪互联等大部分互联网公司都可能成为流量劫持的原告和被告。流量劫持不是谁的专利，而是一种互联网社会的灰色现象。

六家公司联合发布《声明》之后不久，百度和搜狗立刻不合时宜地因流量劫持这件事吵了起来。搜狗指责移动端流量被百度恶意劫持，百度则在官方微博上强硬回复，否认劫持搜狗流量，并请搜狗不要用输入法“取”百度流量。双方各执一词，谁也不服软。

流量劫持谁都避之不及，小米于近日被曝出旗下的小米路由器劫持了用户的404界面，随后小米路由器团队回应称“近期尝试的404错误页面优化功能，旨在网页出错时帮助用户更便利地继续浏览，”并表示如果用户不需要，在手机App中关闭即可。

一个多月前，上海浦东法院判决了全国首例流量劫持案，这起案件的被告并不是某一家互联网公司或运营商，而是个人。从2013年年底到2014年10月，陕西人付某和广东人黄某租赁多台服务器，使用恶意代码修改互联网用户路由器的DNS设置，进而使用户登录“2345.com”等导航网站时，跳转至其设置的“5w.com”导航网站。最终，两名被告人被判有期徒刑3年，缓刑3年。

再将时间向前推，2012年，腾讯和360之间曾展开过声势浩大的世纪3Q大战，当时腾讯和360都想方设法公开阻碍用户使用对方的服务，这从某种意义来说也涉嫌流量劫持。

互联网公司之间因为流量劫持针锋相对早已是家常便饭，百度在2013年就曾状告360，360因此被判赔付40万元。

界限不清 监管模糊

“监管目前是一个比较麻烦的问题，因为对于判定哪些是合法行为，哪些是不合法的行为，包括运营商应该负哪些责任、能做什么不能做什么？这些问题都没有一个明确的界定。”电信专家付亮表示，对流量劫持的监管并不容易。

付亮认为，从监管方来说，工信部、互联网信息办公室、工商总局应共同搭建监管体系，履行监管责任。但由于流量劫持涉及网络安全、信息泄露、域名管理等复杂情况，行为不容易被定性，“只有定性了，才能寻求相关部门进行处理。”

“只要是个合法网站，一旦掌握了确凿证据，下一步根本不是在媒体上互喷口水，必须立马对簿公堂，法庭上见。”一位技术专家向《IT时报》记者表示，法律才是最好的武器。

运营商不是监管者

《声明》中，六家公司呼吁有关运营商严格打击流量劫持问题，但运营商能否负起监管之责？答案也是模糊的。

在整个网络服务的链条中，电信运营商属于基础服务提供商，所有的流量需要经过电信运营商的管道，“如果将这个电信运营商比喻成高速公路，路上几辆车在跑，有的车是正常的，有的车可能携带了一些违法的东西，但运营商近似‘哑管道’，看不出几辆车之间的区别，运营商没办法清楚知道经过管道的流量是什么属性。”付亮解释道。

付亮进一步表示，运营商并不是监管者，因为运营商并非纯粹的高速公路，也有各自的内容服务，需要流量来发展业务。

针对流量劫持，目前行业通行的做法是网站主体对内容进行HTTPS 加密，实现密文传输。记者观察发现，目前银行等金融机构以及一些网站如百度、淘宝、知乎等都已使用HTTPS加密传输。