最近是出现了能绕过 HTTPS 的广告劫持方法吗？

[baskice]

最近陆续有用户反应网站出现悬浮劫持的广告，手机端特别严重。 而且出现这个问题的用户表示除了 bat 三家大厂以外的 app 几乎都有相同劫持广告，甚至游戏里的公告联网都会被插广告。

我的站点已经全部强制 https ，现在有新方法插广告能绕过 HTTPS ？

[kindjeff]

他自己的手机中毒了吧

[baskice]

@kindjeff 你是怀疑用户手机被恶意程序感染直接从内部插广告吗？有可能……

[mdzz]

「手机端特别严重」的意思是 PC 端也出现了劫持？

[czc2004211]

我也遇到了
电脑去斗鱼 给我跳到页游地址

[Shura]

http 降级攻击？

[shoaly]

也有可能是客户的手机 信任了一个 不应该被信任的 CA 证书机构, 签发了你域名的假证书....

[RobertYang]

确认使用了 HSTS 并生效了吗

[flyz]

四川联通已经出现了， https 劫持京东热卖，巧取豪夺推广京东联盟推广者返利。

[BOYPT]

页面有 http 的 js 资源吧

[lyhiving]

看运营商

[phlips5437]

看运营商 +1

上海电信也是出现过这类情况，电话客服说明情况后，确认不要收到广告，然后就再也没有出现过

[des]

@BOYPT 你可以自己试一下，随便什么浏览器都可以，你看会出现什么

[DesignerSkyline]

Content-Security-Policy 仅允许本站资源呢？这样如果还能被劫持插广告，就可以发密码学奖了吧

[Miy4mori]

不知道和 dns 劫持有没有关系

[yuluofanchen]

淘宝已经出现，自动跳转到淘宝热卖

[techyan]

应该是被插了第三方 HTTP 的 JS 。同 #9 。印象里，有些浏览器会默认拦截，但是有些不会，尤其是移动端。

[morethansean]

@yuluofanchen 访问淘宝主页被自动跳转？

[glasslion]

哪些平台， 全是 android 的话， 八成是悬浮窗。和劫持没关系

[Quaintjade]

看了 LZ 的网站，没有非 HTTPS ，配置也是强健的
https://www.ssllabs.com/ssltest/analyze.html?d=zh.moegirl.org

如果不是手机端中毒，也有可能：
页面加载的某些第三方资源出卖了你； CDN 缓存的东西被篡改，或者回源过程中被劫持。

[yuluofanchen]

@morethansean 是的，跳转到爱淘宝这个页面。