有没有人发现七牛云储存可能被劫持了

[yu1u]

昨天偶然发现网站前台页面有一个叉 悬浮的，还以为是网站的模板的问题，代码审查发现一个框架代码，我立即查看网站是否被纂改，后来排除了网站的问题，又随即检查了本地 dns 使用了阿里 dns 排除了本地运营商 dns 劫持，再测试使用 https 访问网站前台，发现这个悬浮的叉还是存在，最后在排查网站 css 和 js 文件的时候，最终发现了。 放在七牛上的一个 js 出了问题，访问发现被植入了广告代码，登录七牛云储存管理平台，查看了修改时间，没有异常，下载了 js 文件到本地查看，发现也没有异常。但用七牛分配的二级域名访问 js 以及 https 访问查看都被劫持，最后怀疑七牛是否被劫持了

[demoxu]

这个是运营商干的事情吧，最近很火

[yu1u]

为什么只看到一个悬浮的叉，后来发现广告页面被本地的软件拦截了。

[yu1u]

@demoxu 七牛可能在某个 cdn 服务商被劫持了。

[demoxu]

@yu1u 换个好点的广告拦截插件试试 历来广告和反广告一直在斗

[yu1u]

@demoxu 归根结底要解决劫持的问题

[aaaron7]

七牛经常搞这种事情

[zangbob]

此处要问一句：为毛不用又拍云。。。。

[BOYPT]

https 都劫持，那是七牛的回源 ISP 问题了。。。

[chac88]

加个 SRI hash 吧

https://www.srihash.org/

[yeyeye]

解决不了 七牛要加速网站 就必须像普通用户那样访问 抓取资源 但是抓取过程中如果被运营商劫持 根本就没办法解决 除非放弃这次请求（如果有做 hash 标记可以分辨出被劫持了）

或者原网站只允许 HTTPS 方式访问

明白？

[yu1u]

@ty0716 这个是什么梗

[yu1u]

@yeyeye 已经把 js 放到本地服务器了 防不胜防

[asddsa]

为什么说“本地 dns 使用了阿里 dns 排除了本地运营商 dns 劫持”？

[niuer]

@yu1u 能不能给个联系方式，让我们技术支持看下这个问题~

[rwifeng]

@yu1u 这个应该是运营商的劫持， 这边可否给下你的劫持外链， 我们推送下，然后排查下具体的愿意。

[zachgenius]

用他们的图床我们都出现好几次图片不显示，强制刷新几次才出来。。。给他们反映过几次，都是说给刷新一下 CDN ，全国各地用户都出现图片偶尔刷不出来。。。

[sakeven]

我们这也有用户反映这个问题。

[czb]

我们在海外访问也是被国内的缓存了

[VmuTargh]

@yu1u 跨站资源 hash 不过不给加载，就这个意思

[kawaiiushio]

@zangbob 为毛要用又拍云？

[ewex]

墙裂推荐又拍云，自建 CDN 比骑牛二道贩子好多了。

七牛绑定域名一周都没配置好，又拍 3 分钟就好了；七牛 HTTPS 费用相比又拍高很多。

虽然我也在用七牛（也仅限存储，存储也是备份，不会回源），没有黑七牛的意思，他的存储做的还是相当不错的。

[yu1u]

@rwifeng
@niuer
https://dn-yulu.qbox.me/all.js

[yu1u]

@asddsa 这个还用说么 给你个眼神 自己体会

[asddsa]

@yu1u 谁告诉你自定义 DNS 了就不会被运营商劫持？

[yu1u]

@asddsa 我可没有这样说哦

[asddsa]

@yu1u 又随即检查了本地 dns 使用了阿里 dns 排除了本地运营商 dns 劫持


对，这句话是我说的，我眼瞎了不好意思。

[nocwat]

@niuer 今天也发现有这个问题， https CDN 资源同样会被劫持，页面上有一个悬浮的叉，
将 user agent 切换成 Android Chrome 然后刷新时更容易出现，
页面被内嵌一个 iframe ，地址是： http://dbcpm.com/locate_1/jiwei_MBpt.html
这样还会导致本来完好的 https 页面出现 mixed content 错误

[yu1u]

@nocwat 关键的东西还是放到本地安全点 太恶心了