1. 定义
AB页跳转风险图谱是指针对AB页跳转技术中流量劫持类攻击的系统化分析模型。它将跳转链路中可能发生的DNS劫持、CDN节点污染、中间人攻击（MITM）及浏览器端劫持等攻击行为，按照攻击阶段、攻击目标与攻击复杂度进行分类与关联。风险图谱的建立目的是帮助运营者从被动应对转向主动防御，通过标准化的排查流程快速定位劫持点，并实施有效的阻断与修复措施。
2. 工作原理
AB页跳转风险图谱的工作原理基于全链路流量追踪与行为异常分析。整个排查过程分为四个核心阶段，每个阶段对应特定的技术与检查手段。
2.1 链路映射阶段
首先，排查人员需要完整绘制从用户发起请求到最终页面渲染的跳转链路图。该链路包括：
- 用户DNS解析阶段：通过公共DNS（如8.8.8.8）或本地运营商DNS获取A页域名IP
- CDN边缘节点阶段： 请求到达CDN边缘节点，进行缓存命中判断与跳转逻辑触发
- 源站阶段： CDN回源至ABcloakPro斗篷源站，执行AB页跳转决策（基于用户UA、IP、Cookie等参数）
- 重定向执行阶段： 源站返回302或307状态码，引导用户至目标B页
2.2 劫持点定位阶段
在每个链路节点上，排查人员通过对比预期行为与实际行为来识别劫持。常用的技术手段包括：
- Traceroute与MTR分析：检测网络路径中是否存在异常节点或高延迟跳变
- DNS查询响应比对： 对比不同递归服务器返回的A记录是否一致，识别DNS劫持
- HTTPS证书链验证： 检查中间节点是否注入了自签名证书或伪造CA
- 原始响应体完整性校验： 对A页和B页的HTML/JS响应内容计算哈希值，比对预期值与实际值
2.3 攻击行为分类阶段
根据劫持点的位置与攻击手法，将风险图谱中的劫持行为分为三类：
- 代理型劫持：攻击者在网络中间层（如路由器、ISP缓存服务器）插入代理，对HTTPS流量进行中间人解密。此类型的特点是不修改原始请求路径，但会添加额外的HTTP头部字段（如Via、X-Forwarded-For）。
- 注入型劫持： 攻击者直接在响应体中注入JavaScript代码，用于弹出虚假广告、强制跳转或窃取Cookie。此类型的特点是响应体长度异常增大，且HTML中会出现非预期的<script>标签。
- 重定向型劫持： 攻击者修改302跳转的目标URL，将用户引导至恶意页面。此类型的特点是最终渲染页面的域名与预期B页域名不一致，通常为高仿钓鱼域名。
2.4 异常流量模式分析
风险图谱还包含对异常流量模式的统计分析。当AB页跳转链路遭遇劫持时，通常会表现出以下流量特征：
- 302跳转成功率异常下降：正常场景下，AB页跳转的302响应成功率应在99%以上。如果该指标在短时间内骤降至90%以下，极有可能发生链路劫持。
- B页面首屏加载时间异常延长： 劫持注入的JS代码会增加额外的网络请求与解析时间，导致首屏渲染延迟增加300ms以上。
- 用户端报错率上升： 尤其是TLS握手失败、证书错误、混合内容（Mixed Content）警告等浏览器级错误。
3. 技术分类
AB页跳转风险图谱中的劫持类型可根据攻击发生的技术层面进行详细分类。
3.1 网络层劫持
网络层劫持发生在OSI模型的第三层及以下。其主要形式包括：
- BGP劫持：攻击者通过伪造BGP路由通告，将目标IP段流量引向自己的路由器。这种劫持范围广，影响整个互联网段。排查时需要通过BGP Looking Glass工具检查目标IP的前缀通告是否被异常篡改。
- DNS劫持： 攻击者通过篡改DNS响应记录，将A页域名指向恶意IP。排查方法为使用dig命令查询不同DNS服务器（如8.8.8.8、1.1.1.1、114.114.114.114）的A记录，如果结果不一致，则存在DNS劫持。
3.2 传输层劫持
传输层劫持主要针对TCP/UDP连接。典型场景是SSL/TLS剥离攻击：攻击者将HTTPS连接降级为HTTP，从而以明文方式读取或修改传输内容。排查手段包括检查服务器HSTS策略是否生效，以及使用SSL Labs测试工具验证TLS配置强度。
3.3 应用层劫持
应用层劫持直接作用于HTTP/HTTPS协议。常见形式有：
- CDN节点污染：攻击者通过CDN管理漏洞或共享节点漏洞，将恶意内容缓存至CDN边缘节点，从而影响大量访问用户。排查时需对比不同地理区域用户的页面渲染结果是否一致。
- 浏览器扩展劫持： 用户浏览器安装的恶意扩展程序可能会在页面加载后修改DOM结构，插入广告或诱导链接。排查方法是在无痕模式或未安装任何扩展的浏览器中重复测试跳转流程。
- 代理服务器劫持： 企业或公共WiFi中的透明代理服务器可能会主动添加或替换页面内容。排查时需检查响应头中的Via、X-Cache等字段。
4. 应用场景
AB页跳转风险图谱主要用于以下场景：
- 广告投放中的合规性审计：当AB页跳转被用于竞价广告时，运营者需要定期执行风险图谱排查，确保审核页面（A页）与实际转化页面（B页）之间不存在劫持导致的差异。
- ABcloakPro斗篷用户的安全自检： 使用斗篷技术的用户可以在部署后首次跳转测试中，按照风险图谱流程检查跳转链路的完整性。
- 大规模流量异常时的根因分析： 当广告账户出现大量异常点击或转化数据异常时，风险图谱可帮助运营者排除链路劫持因素。
- 安全事件响应： 遭遇DDoS攻击或CC攻击后，利用风险图谱检查CDN节点是否被植入恶意重定向规则。
5. 与相邻概念对比
AB页跳转风险图谱与以下概念容易混淆，需要明确区分：
- 与Cloak技术检测工具的区别：Cloak技术检测工具主要针对反爬虫与反审核，用于验证AB页跳转的隐蔽性是否生效；而风险图谱专注于安全层面，用于发现外部攻击导致的流量劫持。
- 与AB测试系统的区别： AB测试系统是用于对比不同页面版本转化效果的工具，其跳转行为是可控且预期的；风险图谱排查的是非预期的、恶意的跳转行为。
- 与CDN日志分析的区别： CDN日志分析侧重于性能与访问模式统计；风险图谱则聚焦于跳转链路中的异常节点与篡改行为，需要结合浏览器端与服务器端的双重数据。
6. 常见问题
6.1 什么是AB页跳转中的流量劫持？
AB页跳转中的流量劫持是指攻击者通过篡改跳转链路中的节点或数据包，导致用户最终访问的B页面内容与预期不一致。劫持行为可能发生在DNS解析、CDN节点、网络路由器或用户浏览器等环节。
6.2 流量劫持对AB页跳转有哪些具体危害？
流量劫持会导致广告转化数据失真、用户隐私泄露、广告账户被判定为异常活动而封禁。严重的劫持行为还可能将用户引导至钓鱼页面，造成资金损失。对于使用AB页跳转的广告主而言，劫持直接导致广告投放效果无法准确归因，ROI计算完全失效。
6.3 如何判断我的AB页跳转是否被劫持？
可以通过以下几个指标判断：1）使用两个不同运营商（如电信和移动）的网络同时访问A页，观察最终渲染的B页内容是否一致。2）检查B页响应体中是否存在非预期的外链JavaScript文件。3）分析服务器端302跳转日志，确认跳转目标URL与配置是否完全一致。4）使用在线SSL检测工具验证CDN节点的证书链完整性。
6.4 DNS劫持与CDN劫持哪个更容易发生？
从实际攻击频率来看，DNS劫持在公共WiFi、运营商内网等场景下更容易发生，因为攻击者可以通过本地路由器或ISP的DNS服务器直接篡改解析结果。CDN劫持则需要攻击者具备更高的技术门槛（如CDN管理后台权限或漏洞利用能力），但在大规模攻击中危害更大。
6.5 使用HTTPS能完全防止流量劫持吗？
不能。HTTPS可以防止传输过程中的内容被窃听和篡改，但无法防御DNS劫持和CDN节点污染。如果用户解析到的A页IP本身就是攻击者的服务器，那么HTTPS连接实际上是建立在与攻击者之间的加密通道上。此外，用户端如果信任了攻击者注入的伪造CA证书，HTTPS保护也会失效。
