劫持 js 如何做到?

[megoo]

在路由器检测http请求,如何请求的是xx.js,不去站点下载xx.js,可以直接把路由器本地的bbb.js发送过去?
路由器对每个http请求做扫描检测,是否要加大路由器的性能开销呢?

被GitHub用弹出JS警告alert()防住
如在访问baiduxxx.js时,返回的是bbbb.js,里面有向github发送请求的代码,这就是ddos原理了么?
但是github如何检测出这个 请求是攻击,而不是正常的请求呢?
github直接禁止http refer非空的的请求么? 这也太凶残了吧?

[Slienc7]

简单的方法是路由器上装个nginx，要劫持的域名指向路由器，然后nginx端设置。当然这么做开销太大...

[youxiachai]

国家节点的出口路由...性能不算什么问题...这种攻击几乎没什么可复制性.

因为毕竟这是国家级资源

弹框的防住.因为这次攻击的是某两个github repo..

[padthai]

现在这些攻击不单纯是个人行为

ddos是要花钱的

属于伤低1000自损100

根本不是个人行为

[kslr]

=.= 搜索一下就知道了,满屏都是你帖子.

[megoo]

@padthai 自己没有损失吧?

[chenqing663]

首先，js的劫持或者替换是http层面的事情，一般来说都一个旁路设备接收分光过来得流量，将这个js请求的内容进行内容替换就可以了。
还有另外一种就是先劫持DNS，这样请求的js文件都到了非源站的服务器上，虽然看起来都很正常。。。

[sneezry]

@padthai
@megoo

这种借刀杀人的方法自己的损失好像还真不算大

[palxex]

前两天攻击那阵，你访问被借刀杀的那两个URI直接返回的就是alert，根本不管是否正常访问。现在还是独角兽状态。

[jyootai]

楼主一天发了我一个月发的帖子量==

[kxmp]

dpi这么多年了,你咋不想想他到底开销多大...

[janxin]

改dns record不就行了

[Eleutherios]

@chenqing663 这次应该是前者

[learnshare]

拥有最大用户覆盖和带宽的点上才能做这种劫持，所以你懂的

[dndx]

不用 SSL/TLS ，如何阻止别人做到？