当用户输入网址访问一个网站时，却被跳转到另一个网站，或者访问一个网站时，页面被插入一些乱七八糟的广告，就属于流量劫持。

流量劫持总体来说属于中间人攻击（Man-in-the-Middle Attack，MITM）的一种，本质上攻击者在通信两端之间对通信内容进行嗅探和篡改，以达到插入数据和获取关键信息的目的。目前互联网上发生的流量劫持基本是两种手段来实现的：

域名劫持：通过劫持掉域名的DNS解析结果，将HTTP请求劫持到特定IP上，使得客户端和攻击者的服务器建立TCP连接，而非和目标服务器直接连接，这样攻击者就可以对内容进行窃取或篡改。在极端的情况下甚至攻击者可能伪造目标网站页面进行钓鱼攻击。

直接流量修改：在数据通路上对页面进行固定的内容插入，比如广告弹窗等。在这种情况下，虽然客户端和服务器是直接建立的连接，但是数据内容依然可能遭到野蛮破坏。

能够实施流量劫持的根本原因，是HTTP协议没有办法对通信对方的身份进行校验以及对数据完整性进行校验。如果能解决这个问题，则流量劫持将无法轻易发生。

HTTPS如何防止劫持

HTTPS，是HTTP over SSL的意思，提到HTTPS就不得不先简单描述一下SSL/TLS协议。

SSL协议在HTTP请求开始之前增加了握手的阶段，在SSL握手阶段，客户端浏览器会认证服务器的身份，这是通过“证书”来实现的，证书由证书机构（CA）为某个域名或IP签发，可以理解为网站的身份信息，客户端需要对证书进行认证，需要确定该证书是否属于目标网站并确认证书本身是否有效。最后在握手阶段，通信的双方还会协商出一个用于加密和解密的会话密钥。

SSL握手阶段结束之后，服务器和客户端使用协商出的会话密钥对交互的数据进行加密/解密操作，对于HTTP协议来说，就是将HTTP请求和应答经过加密之后再发送到网络上。

由此可见，因为SSL协议提供了对服务器的身份认证，所以DNS劫持导致连接错误服务器的情况将会被发现进而终止连接，最终导致DNS挟持攻击无法实现。此外SSL协议还提供数据的加密和完整性校验，这就解决了关键信息被嗅探以及数据内容被修改的可能。

如何部署HTTPS

要将网站进行HTTPS支持以达到防劫持的效果，首先需要的是为网站的域名或IP部署一张证书。这个证书必须是由权威CA所签发的，这是因为权威CA的根证书广泛的存在于大多数浏览器和操作系统中，因此可以被客户端用来校验网站证书是否合法。

传统CA的证书签发流程大体相同，基本上都是根据证书认证的级别，进行一系列不同流程的认证，然后认证通过后申请者缴纳相应的费用就可以或得到证书。

在获得到证书（以及对应的私钥）之后，主要有如下几种方法来使用：

直接在Web服务器上部署证书和私钥，相关apache或nginx都有大量的文档说明，请参考：https://www.wosign.com/Info/apache_freessl.htm