不知什么起，用手机端浏览博客园的频率变多了。
也不知什么时候，浏览就成了这个样子，满屏是广告：
手机端就那么点空间，三分之二都是广告，我靠！！！！！
于是，不断追寻着真相！！！
细心的网友发现，我把打赏插件去了，而是直接换成了在下面的两张图片。
在发现广告之初，我的思维是这样的：
1
2
3
4
5
<code>a：我发现其它人的博客基本没有广告。</code>
<code>b：只有我的博客有广告。</code>
<code>c：电脑没有，只有手机端出现。</code>
因此，我怀疑我的博客链接的第3方的网址引发的。
于是，我彻查了一下，发现引入了第三方打赏插件的js。
神奇的是，当我把js删除，保存后，广告竟然就消失了！！！
因此，我有点火了，一个开源的js，竟然偷偷摸摸插广告？
一度我想写文喷这种行为！
不过要写文，就要拿证据，因为，我必须拿到源代码，而且有截图！
于是，我新建了个demo页，引入js，在手机端浏览，期待它出来广告之时，竟然木有？？？？
咋了，竟然出乎我的预期？
于是，我进一步在园子里找，其它引用该插件人的博客。
用手机端浏览，发现，对方的博客竟然也没有弹！！！
既然广告不弹了，就不管了，我也不再引入该js，换成图片了！！！
才过没1-2天，广告又袭来了，而且变本加厉，从原来的1/3屏，到现在的2/3屏。
因此，既然不是第三方插件，很有理由，相信网络的劫持！
而且，劫持手机端，我还无可奈何，因为电脑端还能写个软件或改host屏蔽，手机端。。。唉！
忍了！！！！后来在闪存给dudu @了一个，希望它从源头处理。
dudu的反馈是这样的：
但是昨晚的一件事，让我怀疑这事并不简单。
我在另一个地区的地方访问时（其它电信网络），同样出现了广告，而且是一模一样的广告。
我觉的运营商就算弹广告，也是各自为政，分散小团体搞，不可能在一个市的层面上搞。
但是也没有办法去证实。
说二度，就是在怀疑打赏插件时，我博客也就只剩下引入cnzz插件了。
就在刚刚，1点多的时候，发现睡不着，手机浏览一下，又是满屏的广告，火大了！！！！！
玛尼，三更半夜又咋的，躺床上又咋的，起床开电脑，一定要彻查！！！！
打开fiddler来追踪，结果发现拦截不到（大概fiddler监听的是127.0.0.1，没细想）
于是打开了秋式广告杀的项目：
虽然它现在已经退休，没怎么维护了，但它目前最好的效用就是用来拦截调试手机端的请求。
运行软件，怀念一下：
默认监听着8888端口，debug模式下，会输出所有请求的网址：
接着把手机端的代理设置上：
然后在手机浏览自己的博客，接着看输出的窗口信息：
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
<code>“秋式广告杀手.exe”(托管): 已加载“c:\windows\assembly\gac_64\mscorlib\2.0.0.0__b77a5c561934e089\mscorlib.dll”，已跳过符号加载。已对模块进行了优化并启用了调试器选项“仅我的代码”。</code>
<code>“秋式广告杀手.exe”(托管): 已加载“f:\code\开源代码\adkiller\adkiller\bin\debug\秋式广告杀手.exe”，符号已加载。</code>
<code>“秋式广告杀手.exe”(托管): 已加载“c:\windows\assembly\gac_msil\system\2.0.0.0__b77a5c561934e089\system.dll”，已跳过符号加载。已对模块进行了优化并启用了调试器选项“仅我的代码”。</code>
<code>“秋式广告杀手.exe”(托管): 已加载“c:\windows\assembly\gac_msil\system.windows.forms\2.0.0.0__b77a5c561934e089\system.windows.forms.dll”，已跳过符号加载。已对模块进行了优化并启用了调试器选项“仅我的代码”。</code>
<code>“秋式广告杀手.exe”(托管): 已加载“c:\windows\assembly\gac_msil\system.drawing\2.0.0.0__b03f5f7f11d50a3a\system.drawing.dll”，已跳过符号加载。已对模块进行了优化并启用了调试器选项“仅我的代码”。</code>
<code>“秋式广告杀手.exe”(托管): 已加载“c:\windows\assembly\gac_64\system.web\2.0.0.0__b03f5f7f11d50a3a\system.web.dll”，已跳过符号加载。已对模块进行了优化并启用了调试器选项“仅我的代码”。</code>
<code>“秋式广告杀手.exe”(托管): 已加载“c:\windows\assembly\gac_msil\system.configuration\2.0.0.0__b03f5f7f11d50a3a\system.configuration.dll”，已跳过符号加载。已对模块进行了优化并启用了调试器选项“仅我的代码”。</code>
<code>“秋式广告杀手.exe”(托管): 已加载“c:\windows\assembly\gac_msil\system.xml\2.0.0.0__b77a5c561934e089\system.xml.dll”，已跳过符号加载。已对模块进行了优化并启用了调试器选项“仅我的代码”。</code>
<code>在 system.net.sockets.socketexception 中第一次偶然出现的“system.dll”类型的异常</code>
<code>“秋式广告杀手.exe”(托管): 已加载“c:\windows\assembly\gac_msil\mscorlib.resources\2.0.0.0_zh-chs_b77a5c561934e089\mscorlib.resources.dll”，未加载符号。</code>
<code>“秋式广告杀手.exe”(托管): 已加载“c:\windows\assembly\gac_msil\system.resources\2.0.0.0_zh-chs_b77a5c561934e089\system.resources.dll”，未加载符号。</code>
<code>在 system.argumentexception 中第一次偶然出现的“mscorlib.dll”类型的异常</code>
<code>线程 0x1adc 已退出，返回值为 0 (0x0)。</code>
<code>99,100</code>
<code>线程 0x1188 已退出，返回值为 0 (0x0)。</code>
<code>2016/11/24 1:37:28 : http:</code><code>//www.cnblogs.com/cyq1162/</code>
<code>98,100</code>
<code>2016/11/24 1:37:28 : http:</code><code>//www.cnblogs.com/cyq1162/mvc/blog/sidecolumn.aspx?blogapp=cyq1162</code>
<code>97,100</code>
<code>96,100</code>
<code>2016/11/24 1:37:28 : http:</code><code>//www.cnblogs.com/mvc/blog/getblogsideblocks.aspx?blogapp=cyq1162&showflag=showrecentcomment,showtopviewposts,showtopfeedbackposts,showtopdiggposts</code>
<code>95,100</code>
<code>2016/11/24 1:37:28 : http:</code><code>//common.cnblogs.com/script/jquery.js</code>
<code>94,100</code>
<code>2016/11/24 1:37:28 : http:</code><code>//s20.cnzz.com/stat.php?id=5244184&web_id=5244184</code>
<code>92,100</code>
<code>2016/11/24 1:37:28 : http:</code><code>//www.cnblogs.com/skins/nature/bundle-nature.css?v=smsmqrozamyrz003urlszzqqisve_ymedypy07gkhpw1</code>
<code>2016/11/24 1:37:29 : http:</code><code>//www.cnblogs.com/skins/nature/images/post_title.jpg</code>
<code>2016/11/24 1:37:29 : http:</code><code>//www.cnblogs.com/skins/nature/bundle-nature-mobile.css?v=hf5syjmc3zj_0xf2a1td3tonpopucyjx2zhmzhdahn81</code>
<code>2016/11/24 1:37:29 : http:</code><code>//www.cnblogs.com/images/xml.gif</code>
<code>2016/11/24 1:37:29 : http:</code><code>//www.cnblogs.com/blog/customcss/20967.css?v=wclrvddprmdyb+eeeb+wxgj0psa=</code>
<code>2016/11/24 1:37:30 : http:</code><code>//www.cnblogs.com/bundles/blog-common.js?v=hh1lcmv8waiu271nx7jpuv36tenw9-rssxzilxupjtc1</code>
<code>2016/11/24 1:37:30 : http:</code><code>//www.cnblogs.com/bundles/blog-common.css?v=rdf1bbtts5_qvaet1myrajvtd62bsccoja9fzxgv1zm1</code>
<code>线程 0x1bac 已退出，返回值为 0 (0x0)。</code>
<code>线程 0x694 已退出，返回值为 0 (0x0)。</code>
<code>线程 0x1ae0 已退出，返回值为 0 (0x0)。</code>
<code>线程 0x12b8 已退出，返回值为 0 (0x0)。</code>
<code>2016/11/24 1:38:29 : http:</code><code>//www.cnblogs.com/skins/nature/images/bg.gif</code>
<code>2016/11/24 1:38:29 : http:</code><code>//www.cnblogs.com/mvc/blog/news.aspx?blogapp=cyq1162</code>
<code>2016/11/24 1:38:29 : http:</code><code>//www.cnblogs.com/mvc/blog/calendar.aspx?blogapp=cyq1162&datestr=</code>
<code>2016/11/24 1:38:29 : http:</code><code>//www.cnblogs.com/cyq1162/mvc/blog/sidecolumn.aspx?blogapp=cyq1162</code>
<code>93,100</code>
<code>2016/11/24 1:38:29 : http:</code><code>//gzs20.cnzz.com/stat.htm?id=5244184&r=&lg=zh-cn&ntime=1479921109&cnzz_eid=1678838998-1457592648-http://ing.cnblogs.com/&showp=375x667&t=路过秋天 - 博客园&h=1&rnd=458904010</code>
<code>2016/11/24 1:38:29 : http:</code><code>//a.liuzhi520.com/rt_zm/rt_adjs_common.php?id=10153</code>
<code>90,100</code>
<code>2016/11/24 1:38:29 : http:</code><code>//ix.hao61.net/d.js?cid=10153&umac=00:1b:33:28:ac:92&dmac=6c:19:8f:d1:a0:f6</code>
<code>89,100</code>
<code>2016/11/24 1:38:29 : http:</code><code>//wpa.qq.com/pa?p=2:272657997:41 &r=0.30709030851721764</code>
<code>88,100</code>
<code>线程 0xc74 已退出，返回值为 0 (0x0)。</code>
<code>2016/11/24 1:38:29 : http:</code><code>//rcv.union-wifi.com/hm.gif?from=15000&_cid=10153&_dmac=6c198fd1a0f6&_umac=001b3328ac92&_ctype=mb&_black=false&url=http://www.cnblogs.com/cyq1162/&_u=1479922708766-0</code>
<code>线程 0x184 已退出，返回值为 0 (0x0)。</code>
<code>2016/11/24 1:38:29 : http:</code><code>//cpro.baidustatic.com/cpro/ui/dm.js</code>
<code>线程 0x1a68 已退出，返回值为 0 (0x0)。</code>
<code>87,100</code>
<code>2016/11/24 1:38:29 : http:</code><code>//pub.idqqimg.com/qconn/wpa/button/button_11.gif</code>
<code>线程 0xf6c 已退出，返回值为 0 (0x0)。</code>
<code>86,100</code>
<code>2016/11/24 1:38:30 : http:</code><code>//www.cnblogs.com/skins/nature/images/bg_day.jpg</code>
<code>线程 0x17b8 已退出，返回值为 0 (0x0)。</code>
<code>2016/11/24 1:38:30 : http:</code><code>//www.cnblogs.com/mvc/blog/getblogsideblocks.aspx?blogapp=cyq1162&showflag=showrecentcomment,showtopviewposts,showtopfeedbackposts,showtopdiggposts</code>
<code>线程 0x1730 已退出，返回值为 0 (0x0)。</code>
<code>2016/11/24 1:38:30 : http:</code><code>//www.cnblogs.com/skins/nature/images/banner.gif</code>
<code>线程 0xf9c 已退出，返回值为 0 (0x0)。</code>
<code>2016/11/24 1:38:30 : http:</code><code>//www.cnblogs.com/skins/nature/images/tit_list.jpg</code>
<code>线程 0xb38 已退出，返回值为 0 (0x0)。</code>
<code>2016/11/24 1:38:31 : http:</code><code>//www.cnblogs.com/skins/nature/images/line.jpg</code>
<code>线程 0x16a4 已退出，返回值为 0 (0x0)。</code>
<code>2016/11/24 1:38:31 : http:</code><code>//www.cnblogs.com/skins/nature/images/top.gif</code>
<code>线程 0x1934 已退出，返回值为 0 (0x0)。</code>
<code>2016/11/24 1:38:31 : http:</code><code>//www.cnblogs.com/mvc/follow/getfollowstatus.aspx?bloguserguid=2a5e360b-63cf-dd11-9e4d-001cf0cd104b&_=1479922708661</code>
<code>线程 0x1044 已退出，返回值为 0 (0x0)。</code>
<code>2016/11/24 1:38:32 : http:</code><code>//www.cnblogs.com/skins/nature/images/top_menu.gif</code>
<code>线程 0xefc 已退出，返回值为 0 (0x0)。</code>
从输出的网址上看：
从gzs20.cnzz.com之后，就开始出现几个不知名的网站的跳转，最后就出来了。
当我想重新刷新，来调试每个文件输出的信息时，发现广告消失了，我靠，这是有灵敏啊！！！
搜索一下cnzz弹广告的事：
发现网上到处有cnzz弹广告的信息：
根据个人基本常识，可以90%判断它是来源，但是，有但是哦~~~~
我看了一下电脑，并没有设置dns，而手机，我是设置了8.8.8.8，4.4.4.4
网上也有介绍，可能是8.8.8.8这个也被劫持了。
终于的可能性也是，dns劫持后，仅对有统计插件的下手，而且是随机的！
这个广告的插入，手法太叼了，而且反应极灵敏，一感知到有人查，就自动消失。
像博客的文章，只要重新保存，也会消失一阵子。
虽然上面做出了预判，但并没有100%的证据来证实。
目前总体的预装怀疑是：dns+js插件。
目前已取消8.8.8.8的dns，继续观察！
夜太深，写完入眠了~~~~
本文原创发表于博客园，作者为路过秋天，原文链接：http://www.cnblogs.com/cyq1162/p/6096283.html