网络劫持完整解析｜AI Web、大模型前端业务安全实战指南

接好运鸭

导语

      上网时明明输入正确网址，却莫名其妙跳转到广告、博彩页面；打开网页无端多出不属于站点的弹窗广告，这些现象很多来自网络劫持。网络劫持会篡改域名解析或者传输途中的流量，不仅危害普通用户上网安全，对于 AI 网页、SSE 流式对话、RAG 知识库 Web 服务，劫持还会注入恶意 JS 脚本、窃取会话 Token，造成用户数据泄露。本文通俗拆解 DNS 劫持、HTTP 劫持、客户端劫持三类攻击原理，模拟公共 WiFi 完整攻击流程，区分三类劫持现象，给出个人用户自检步骤，同时补充 AI 后端 Web 项目的业务防护最佳实践。

     通俗出租车类比：访问网站相当于打车前往目标大厦。网络劫持就是半路出现假交警，篡改导航，把你强行拉到别的陌生商场，还向你强行推送广告传单。通信链路中任意环节被篡改，就会发生劫持。

一、什么是网络劫持

网络劫持：攻击者在域名解析、网络传输链路或者本机客户端环节，篡改正常网络请求，将用户流量重定向至攻击者控制的恶意站点，或是在正常网页中注入广告、恶意脚本。劫持分为 DNS 劫持、HTTP 劫持、客户端劫持三大类，发生的攻击位置完全不一样，表现现象也各不相同。
二、三类主流网络劫持原理、现象对比

1、DNS 劫持（域名解析劫持）

DNS 相当于互联网电话号码簿，把域名翻译成服务器 IP 地址。DNS 劫持就是篡改解析结果，返回虚假 IP 地址。

• 攻击发生位置：本地电脑恶意软件篡改 DNS、被入侵的家用路由器、公共 WiFi 网关、运营商 DNS 服务器。
• 现象：浏览器输入正确域名，浏览器地址栏域名可能发生跳转，直接打开广告、钓鱼网站。从根源就去到错误服务器，根本没有连接真实业务站点。
• 风险：可以搭建高仿钓鱼页面，窃取账号密码、会话 Cookie、AI 对话会话凭证。
  

2、HTTP 劫持（内容劫持，中间人篡改）

仅针对明文 HTTP 协议，HTTPS 加密流量无法篡改。请求的域名解析是正确的，成功连上真实服务器；但是在 HTTP 数据包往返传输的链路上，中间网络节点篡改返回的明文数据流。

• 攻击发生位置：路由器、公共 WiFi、运营商链路中间节点。
• 现象：域名地址栏没有变化，网站还是原本网站，但页面凭空多出弹窗广告、悬浮推广 JS 代码，页面排版错乱。运营商广告劫持大多属于此类。
• 原理类比：寄明信片，中途快递员拆开明信片，手写增加广告文字之后再重新封好送给收件人。HTTP 明文传输，中间人可读可改数据包内容。
  

⚠️关键点：HTTPS/TLS 加密之后，传输内容是密文，中间人无法解析篡改，HTTP 劫持攻击直接失效腾讯云。

3、客户端劫持（本机劫持）

劫持行为不发生在网络链路，攻击发生在用户本机设备内部。

• 攻击发生位置：电脑、手机本地。
• 常见来源：来路不明的优化软件、破解工具、恶意浏览器插件、被篡改的浏览器快捷方式。
• 现象：浏览器主页被锁死，打开浏览器自动跳广告，新增莫名其妙工具栏；无论连什么网络都会复现劫持，切换手机流量依旧会出现异常跳转。
  

劫持类型攻击位置典型现象核心防护手段
DNS 劫持解析阶段（路由器 / DNS 服务器）输对域名跳转到别的网站可信公共 DNS、DoH 加密 DNS
HTTP 劫持网络传输链路（HTTP 明文）网站域名不变，页面多出广告弹窗全站强制 HTTPS+HSTS
客户端劫持用户本机设备切换网络劫持现象依旧复现卸载恶意软件、清理浏览器插件三、模拟完整攻击案例：咖啡厅公共 WiFi 劫持流程

• 用户连接被黑客控制的咖啡厅公共 WiFi；
• 用户浏览器输入目标网站域名，操作系统向路由器配置的恶意 DNS 服务器发起域名查询；
• 恶意 DNS 不返回真实服务器 IP，返回黑客控制的虚假服务器 IP；
• 浏览器向黑客服务器发起访问；
• 黑客服务器返回 302 重定向，引导浏览器跳转广告钓鱼页面；
• 用户肉眼可见瞬间完成跳转，很难察觉异常。
  

变种攻击：不做跳转，黑客做中间人代理，访问原网站，在 HTTP 返回流注入广告 JS，页面显示原网站，但是多出广告弹窗。

四、普通用户四步自检与防护手段

• 检查浏览器锁头标识：访问网站观察地址栏 HTTPS 绿色小锁；涉及账号、聊天对话的页面如果没有锁头，立刻停止操作。
• 清理可疑软件与浏览器扩展：卸载来路不明的加速器、系统优化工具，删除陌生浏览器插件；检查浏览器快捷方式，目标属性末尾是否附加陌生网址。
• 加固家庭路由器：修改路由器管理员密码，升级固件；怀疑被入侵直接复位出厂设置。公共不安全 WiFi 环境尽量不要操作账号、不要访问敏感业务。
• 更换可信 DNS，开启加密 DNS
  
  • 国内公共 DNS：阿里223.5.5.5、腾讯192.9.29.29
  • 优先浏览器开启 DNS‑over‑HTTPS(DoH)，DNS 查询本身加密，防止 DNS 查询被窃听篡改。
    

快速定位问题小技巧：遇到网页异常跳转广告，切换手机 4G/5G 流量访问。切换流量之后现象消失，说明劫持发生在原先的 WiFi 或者宽带运营商链路；切换流量依旧复现，大概率本机客户端劫持。

如果确认是运营商层面 HTTP 劫持，可以向运营商客服投诉，情节严重可以向通信管理部门提交证据申诉。
五、AI Web / RAG 网页业务后端开发者防护方案

面向用户的 AI 对话、RAG 知识库网页服务，必须做好防护，防止劫持窃取用户会话 Token、Cookie。

• 全站强制 HTTPS，关闭 HTTP 访问，不要保留 HTTP 明文入口。
• 配置 HSTS 响应头：Strict‑Transport‑Security，告诉浏览器以后永远使用 HTTPS 访问本域名，规避 HTTP 跳转带来劫持风险腾讯云。
• Cookie 会话凭证设置安全属性：Secure; HttpOnly; SameSite；Secure 表示仅 HTTPS 下发送 Cookie，明文 HTTP 不会携带会话 Cookie。
• SSE 流式接口全部走 HTTPS，SSE 如果跑在 HTTP 明文链路，中间人同样可以注入恶意脚本。
• 后端业务日志监控异常重定向、异常脚本注入特征；同时提示用户不要在公共未加密 WiFi 下输入账号密码。
  

注意：HTTPS 可以防御 HTTP 内容劫持，但无法完全防御 DNS 劫持，需要配合域名服务商 DNS 安全加固。

六、新手高频认知误区澄清

误区 1：只要用 HTTPS，就可以完全杜绝所有网络劫持

纠正：HTTPS 可以防御 HTTP 内容篡改劫持，但无法阻止 DNS 劫持把你引向钓鱼假冒域名；还需要配合可信 DNS、HSTS、证书校验。
误区 2：网页出现广告，一定是网站本身植入广告

纠正：更换手机流量测试，如果换网络广告消失，大概率运营商 HTTP 劫持。
误区 3：公共 WiFi 只是网速慢，不会有劫持风险

纠正：无加密公共 WiFi 极易被中间人攻击，不要在公共 WiFi 操作账号、AI 对话等敏感业务。
误区 4：客户端劫持跟网络没关系，重装浏览器就可以彻底解决

纠正：恶意程序修改系统、快捷方式，单纯重装浏览器不一定解决，需要卸载恶意软件。
误区 5：DNS 劫持只会出现在陌生公共 WiFi，家庭宽带不会中招

纠正：家用路由器弱密码被黑客入侵篡改配置，家庭宽带同样发生 DNS 劫持。
七、本期全文总结

1 网络劫持分三类：DNS 劫持篡改解析结果、HTTP 劫持篡改明文传输流量、客户端劫持来自本机恶意软件，三者攻击位置、现象各不相同。2 HTTP 明文极易被中间人篡改，全站部署 HTTPS 是抵御 HTTP 劫持的根本手段；DNS 劫持需要使用可信 DNS、DoH 加密 DNS 防护。3 用户排查小技巧：切换移动流量复现对比，区分是网络链路劫持还是本机客户端劫持。4 AI Web 开发：AI 对话、SSE 流式业务强制 HTTPS，配置 HSTS、Cookie Secure 安全属性，降低会话凭证被窃取风险。5 公共无加密 WiFi 属于高风险环境，避免登录账号、访问敏感业务。