我录制了一个视频，麻烦各位老司机给看看这是啥劫持。

This topic created in 3666 days ago, the information mentioned may be changed or developed.

如题，大家看视频吧。
视频上传到了 56 和腾讯视频，结果都给删除了（无脑审核），然后就上传到了 YouTube ，还有一个下载链接（ 16.3MB ）
https://youtu.be/CJrLvv9RRy4
下载链接： http://t.cn/RqBpBWG

Supplement 1 · May 12, 2016

已经上传优酷：

Supplement 2 · May 12, 2016

怎么不显示呢。。。。 http://v.youku.com/v_show/id_XMTU2NzAwMDc0MA==.html

视频

上传

链接

下载

31 replies • 2016-05-12 14:13:42 +08:00

FunnyFun

May 11, 2016

没看懂, 很神奇, 看看楼下的怎么说

abelyao

May 11, 2016 via iPhone

利用 js 把来路窗口做跳转，以前 v2 上有人发过的，可以搜一下

alexapollo

May 11, 2016

有意思，目标网页篡改了原网页

abelyao

May 11, 2016 via iPhone

window.opener.location.replace(url);

qcloud

May 11, 2016

@abelyao 有办法可以防止这样做吗？

popok

May 11, 2016

详情请见： http://666.z1016.com/ck.js

qcloud

May 11, 2016

@popok 我刚才在看源代码发现这个了，没仔细看，果然在这里，牛逼啊老兄，试问能解决这种情况吗？

maskerTUI

May 11, 2016

用 https 呀

qcloud

May 11, 2016

@maskerTUI QAQ ，你没看百度用的 https 还是被跳转了吗。。。。。

lroolle

May 11, 2016

没看懂。。

qcloud

May 11, 2016

@lroolle 这就非常尴尬了。。。。

popok

May 12, 2016

@qcloud 这个就是 javascript 让父框架跳转， https 也没用吧，防止的话，应该可以用 Tampermonkey 通过代码劫持这种跳转吧，反正我不会。

popok

May 12, 2016

Tampermonkey 新建一个脚本
加载位置设置为 document-start ，执行代码 parent.window.opener=null;
匹配规则按你自己需要设置。

maskerTUI

May 12, 2016

@qcloud (#ﾟДﾟ) 没仔细看

qcloud

May 12, 2016

@popok QAQ 这不是浏览器插件吗

yeyeye

May 12, 2016

乌云曾有这方面的帖子不同的浏览器策略不同不是全部都可以跳转的恐怕就只有 popok 的

@popok 应该判断一下 referer 是同一站点的话就不要这样做了以免有的非恶意的情况下用了它

yeyeye

May 12, 2016

另外，这其实也算一个安全漏洞，因为如果跳转到的是一个高仿的登录页，一不小心你就会输入账号（判断你用的搜索引擎，然后跳转到对应站点的登录界面的高仿页面）

yeyeye

May 12, 2016

刚要实验一下结果视频已经被楼主删了晕

qcloud

May 12, 2016

@yeyeye

这里有啊 QAQ

qcloud

May 12, 2016

@yeyeye 第二条附言那边

kamal

May 12, 2016

https://mathiasbynens.github.io/rel-noopener/ About rel=noopener

qcloud

May 12, 2016

@kamal 英语看不懂啊兄弟，能给指点下吗。。。

qcloud

May 12, 2016

@kamal 是这样吗
<a href="..." rel="noreferrer" target="_blank"> has the same behaviour as <a href="..." rel="noreferrer noopener" target="_blank">.

ejin

May 12, 2016

依照 @popok 和 @yeyeye 的想法做了一个脚本完美解决

专门开了个主题楼主快来 https://www.v2ex.com/t/278112

@qcloud @FunnyFun @abelyao @alexapollo @popok @maskerTUI @lroolle @yeyeye @kamal

ejin

May 12, 2016

@qcloud 我想转载你这个视频，有没有问题

qcloud

May 12, 2016

@ejin 可以的，我看了一下 @kamal 的文章，使用 rel="noreferrer"似乎已经解决了这个问题！目前还在观察中，谢谢你的解决方案。

ucaime

May 12, 2016

我看了视频才想起来之前也遇到过。当时猜测以下两种可能：
1. 只在北京鹏博士旗下宽带接入遇到过。
2. 只在盗版海蜘蛛路由下遇到过（可能是官方有什么后门搞得？）

在 VPN 到国内任何一个节点后，劫持消失

做过分析：无 js 侵入，即使 curl 依然返回的是劫持后的页面。楼下可以把这点作为考虑条件。

kamal

May 12, 2016

@qcloud rel=noopener 浏览器支持情况不是很好，也可以考虑链接不要加 _blank 、跳转站外的链接多一步中间页面跳转。

qcloud

May 12, 2016

@kamal 不加_blank 不是很方便呢。。。目前看来还可以使用 rel=noopener

qcloud

May 12, 2016

@kamal 对浏览器的支持不好到什么程度，哥们

popok

May 12, 2016 via iPhone

@qcloud 对啊，一个浏览器脚本管理插件，很方便的，可以在符合条件的页面插入你自己的 JavaScript 脚本。
当然，你直接写到一个 js 文件，然后直接在浏览器扩展那里安装也行。