了百度的JS文件。如图所示，百度服务器所发送数据包的TTL=64，第一次抵达用户浏览器时TTL=42，经过了22跳，用户发回的请求包的TTL值也是64，但接下来的响应包的TTL值却突然变成了227，显然有中间人设备注入了伪造包。一位研究人员用定制Traceroute工具测试发现，注入设备位于第11跳和第12跳之间，通过查询第12跳设备的IP地址，作者发现它位于中国联通骨干网，因此得出了中国政府与此有关的结论。
Google对JS劫持攻击的分析.2015年4月24日，Google安全