在乌云网提供给记者的漏洞信息中，详细分解了“路人甲”是如何发现背后劫持流量那只黑手的过程：先是在抓包测试过程中发现了UC浏览器的下载链接，该用户在利用当地运营商宽带发出请求时，传回的链接就被篡改了。
“简单来说就是下载时地址为a，然后下载链接变成了地址b，b地址尾部有个加密参数，解密后是a地址，但下载的依然是b地址里的内容，”一位乌云网的安全专家向《IT时报》记者解释道。这种劫持行为目前很常见，而尾部的加密参数则让这种劫持变得更具迷惑性，“从劫持方来说，也是为了标记这个用户下载的应用是从a地址劫持的，到时候就很容易计算通过劫持a地址到底带来多少量。”
“流量劫持泛指网上的流量被窃取、刺探、控制，在收到用户的流量后，还可以分析窃取用户隐私。我们上网时使用的电脑是客户端，请求访问的目标是服务器，从你发生请求到看到网页，速度很快，中间却要经过网络链路及设备，而链路上的点和设备都可以被人做手脚，对流量进行恶意分析窃取。”国内安全团队Keen Team成员吕礼胜告诉《IT时报》记者。
在吕礼胜看来，能接触到网络链路及设备的人都可以进行流量劫持，常见的两种劫持方式：一种是DNS劫持，用户输入域名后转去了黑客指定的IP地址；一种是链路劫持，页面被替换或插入许多广告或被黑客用于DDOS攻击。
