论 SSL 有用吗？ HTTPS(RapidSSL SHA256 CA - G3)了为何还是被电信劫持？

[oldcai]

事情是这样的

以前在深圳的时候，经常打开 V2EX 都会变成一整张某信广告，

现在这个项目因为 BOSS 对用户的隐私和安全性要求很高，产品网站是使用的是收费的 SSL 证书的 https ，我想这样也可以防止一些运营商插广告的行为，是很赞的一件事。

however ，有一个可♀爱的男同事，他发现我们官网总是被劫持，地点也是深圳。

如图：

图 1 ： 被劫持后

这个症状和这篇帖子里面 @chinaglwo 描述的一样。

然后我观察了一下我们的证书对比

图 2 ： 我的大约没被劫持的情况下的

图 3 ： 可♀爱的男同事的浏览器被劫持的情况下的（快看可♀爱的收藏夹）

• 都是绿色的 https 标志

此网站的身份已通过了 RapidSSL SHA256 CA - G3 的验证。服务器未提供任何 Certificate Transparency 信息。

然而说好的担保金是真的吗

图 4 ： 10,000 刀担保金的广告

忽然想到购买 SSL 证书的时候，有担保金这件事，所以也想来 V2EX 算一卦， HTTPS 了还是被劫持，拿不拿得到保险金呢？

附：忽然发现 @朱一君的微博图床（最新版）不能上传了，图床用的 imgur ，所以如果看不到图，方便的话，希望可以随手翻一下墙才可以看到。

[lshero]

浏览器隐私模式下打开看看
再打开看看插件列表有啥东西

[gamexg]

https 出问题的可能性太小了，中间人攻击 tls 只为了插个广告，成本太不合适了。

chrome https 插 http 的 js 默认不执行吧？

[lhbc]

估计网站用的是青云 BGP ，然后静态资源用七牛的 https
不知道是不是全站 https ，包括 CDN 回源之类的
应该从非安全连接部分入手检查

[Andy1999]

引入了 http 资源应该 Chrome 边上有个拦截的小盾牌

[wy315700]

目测是浏览器插件

[processzzp]

感觉不像 ISP 的问题，毕竟对 TLS 进行攻击只是为了插个广告，太不划算了

检查一下 CDN 回源的问题看看

[oldcai]

@lshero /t/227555 这篇帖子的作者是重装 chrome 后也无解
@gamexg
@Andy1999 是 https 的，结果被替换成 http ，这个也是个疑点。
@lhbc cdn 上是七牛自己的证书，也是用的 https 的，正常情况下不会出现这种现象才对。

[Andy1999]

@oldcai 那就说得过去了 部分地区为了劫持百度把百度从 https 降级到 http 然后再插广告

[lianz]

1. chrome 下默认屏蔽所有非 https 链接的 js
2. 看起来是插件插入的

[oldcai]

@Andy1999
@lianz
是说网页内的链接，本来是 https 的，而劫持后变成了 http 的。
我也问了同事，他说最近没有装新插件，反而删了好多。
也让他一会再隐私模式下试试看。

谢谢大家。

[aivier]

我就是那个访问百度被强降 HTTP 的...
其他 HTTPS 没看到有插广告

[Andy1999]

@lianz 电信现在很恶心 都上升到 TCP 流量劫持了
以前换个 DNS 解决问题 现在换 DNS 照样被劫持

[Daddy]

不会是个广告吧， 2333

PS ：打开测试没问题

[Slienc7]

@oldcai
更有可能的是你们的网站内部问题或者浏览器插件或者电脑中毒了。
HTTPS 劫持插广告的几率比彩票中奖的几率低很多倍。

建议换一个设备在同一网络下重试。

[nbndco]

HTTPS 被劫持插广告的可能性是零，你知道 HTTPS 被劫持是多大的新闻么？

[miyuki]

qbox.me 是七牛的域名

之前看到有人说 https 也被劫持到这个来着

[miyuki]

@miyuki 抱歉没看清楚

也许是 ISP 强制降到 HTTP 干坏事

[lhbc]

被劫持的是哪个页面或者哪个资源文件？
对应域名的解析 IP 是什么？

[tony1016]

也许是你们的网站在 http 跳转到 https 之时被劫持的

[oldcai]

@Andy1999
@miyuki
没有特别留意过被降级的过程，我不在深圳『事发地点』，所以也没法在我机器上复现。
但是直觉是降级 http 后，地址栏的 https 应该不是绿色的了才对吧？