求助运营商 HTTP 劫持要怎么取证

[m0nkeyd]

我试了两台电脑两套路由设备两个联通不同物理位置的(跨区但在同一个城市)联通的链路，在不同网页上出现同样源代码的广告，而且刷新就消失。应该明确的是 http 劫持了，但是除了网页源代码里面加进来一段以外我实在不知道还能怎么取证

开头第一句是这样的
<img空格style="display: none;" src="http://www.baidu.com/img/baidu_jgylogo3.gif?t=1463804882734">
加载一个不显示的百度 logo 我实在不明白是干嘛的难道是百度的一种统计方式？

中间有一段定义变量的
var h="http:",v=!1,I="d.chaoliangyun.com/px",S="d.chaoliangyun.com/log",y={mobile:1,imei:2,email:4,qq:8,baiduname:16,taobaoname:32,mac:64,jdpin:128,qihooid:256,adpro:521},b={adpro:1},U=/^[-a-z0-9~!$%^&*_=+}{\'?]+(\.[-a-z0-9~!$%^&*_=+}{\'?]+)*@([a-z0-9_][-a-z0-9_]*(\.[-a-z0-9_]+)*\.(aero|arpa|biz|com|coop|edu|gov|info|int|mil|museum|name|net|org|pro|travel|mobi|[a-z][a-z])|([0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}))(:[0-9]{1,5})?$/i,k=/^(0|86|17951)?(13[0-9]|15[012356789]|17[678]|18[0-9]|14[57])[0-9]{8}$/,C="",O="",R="",_=!0,x=!1;

我想不明白像 email imei taobaoname qq 这种个人用户名一段网页代码是怎么拿到的

这句是显示广告的代码
<iframe width="300" height="250" src="http://www.guguj.cn/images/ad/juxiao.html" border="0" frameborder="0" scrolling="no"></iframe>

完整代码太长如果有需要我作为附件传上来

[bdbai]

F12 大法，给刷新前后的 DOM 结构分别截个图，高亮广告元素。

[m0nkeyd]

@bdbai 我现在就是这么干的，我把整个插进来的那段代码都截下来了但是没法证明是联通插的啊

[bdbai]

我们那边用的是 iframe 植入， src 中 URL 对应运营商内部的地址。你找找有没有直接用 IP 写的 URL 。
其实这些就够了，他们嘴上不承认，实际上会把你加入白名单的。

[dlsflh]

我直接打电话投诉，就给取消了。

[haolisand]

最后还是然并卵 早日 https 报平安