电信劫持 http 会话又升级了，不仅仅是弹出广告了。

访问非 https 的网站都有可能被劫持，随机的，特别是第一次访问站点特容易出现，反正我访问 sina 、 sohu 、 csdn 、 51cto 都遇到过，其他站点就更不用说了。

现象是：网页上某个 js 被重复访问，比如 http://js.sohu.com/library/jquery-1.7.1.min.js 在请求搜狐科技频道时被请求了一次，然后又会被请求第二次，变成 http://js.sohu.com/library/jquery-1.7.1.min.js?_vv=20080808 ，后面这个参数是固定的，然后紧跟着就请求 http://p.haolew.com:7777/pt/pt.php?src=p0007&t=%E7%A7%91%E6%8A%80%E9%A2%91%E9%81%93-%E6%90%9C%E7%8B%90&ci=3702359731

src=p0007 也是固定的， t=就是网页 title ，后面 ci=不知道是啥

我是广西电信宽带用户，看了下 p.haolew.com 的 ip 地址是解析到南宁电信。

由于用的是 chrome 浏览器，直接显示的是全红色页面“要访问的网站包含恶意软件

目前 p.haolew.com 上的攻击程序可能会试图在您的计算机上安装危险程序来窃取或删除您的信息（例如：照片、密码、通讯内容和信用卡信息）。”

点详细，会看到“ Google 安全浏览功能最近在 it.sohu.com 上检测到了恶意软件。平常非常安全的网站有时也会感染恶意软件。检测到的恶意内容来自于 p.haolew.com ，这是个出了名的恶意软件散布方。”

现在不像以前只是右下角弹出广告了。这样完全影响正常浏览网页的，刷 f5 都不一定有用；但是如果能正常显示页面，却不会有上面的请求地址出现。

还是 chrome 强大，能有提示，我试了其他几种浏览器，比如 ie 和 firefox 居然没有反应。

eirk2004

2015-10-13 12:36:57 +08:00

@chinaglwo 除了找电信你没有任何办法的，上官网找在线客服，把抓包的截图发给他，告诉他已经获取了关键证据，如果不能解决就投诉工信部，电信就会督促承包商把劫持暂时关掉，当然过滤依旧存在。抓包截图要包含，劫持发生时的 ReTransmission 、根据“ follow tcp stream ”找到的劫持内容、伪造的数据包的 TTL 值，分两个图发给客服

eirk2004

2015-10-13 16:32:07 +08:00

@rwzsycwan 我这是实战经验。投诉也要用一点技巧，毕竟客服都是外包的。

对于良心未泯的 ISP 打电话就行了，客服肯定知道有个推送系统，会帮你关掉；
其他 ISP ，首先你要用客服能明白的东西去描述你的问题，然后发送截图，告知你已掌握关键证据（这个证据非常重要），然后要求找工程师或者上级领导。等他们回电时，必须要有对方承认（或者默认）推送系统的相关对话，一般两次投诉就能解决问题。
以上未能解决，或者装傻不承认，凭你手中证据，去工信部投诉。 15 天未解决再次投诉。

以上经验仅限于电信、联通。如果对方来电，通话全程录音，言语逻辑清晰，态度坚决，不辱骂对方。