搜索

[468] 2015-05-21_TheGreatCannon缺陷探究之JS纰漏篇

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2015-05-21_TheGreatCannon缺陷探究之JS纰漏篇 T h e   G r e a t   C a n n o n 缺 陷 探 究 之 J S 纰 漏 篇 L e o   A r k T e a m   2 0 1 5 - 0 5 - 2 1 　 　 前 段 时 间 被 爆 出 的 中 国 强 大 电 子 战 武 器 — — 超 级 大 炮 （ T h e   G r e a t   C a n n o n ） 备 受 关 注 ， 其 疑 似 劫 持 百 度 广 告 服 务 的 流 量 ， 并 将 这 些 流 量 引 导 到 G r e a t f i r e . o r g 、 C N - N Y T i m e s 等 网 站 ， 造 成 大 规 模 D D o S 攻 击 。 　 　 本 文 参 考 自 国 外 一 个 研 究 组 织 针 对 此 次 事 件 的 事 后 分 析 ， 以 及 通 过 被 攻 击 网 站 的 日 志 和 捕 获 的 代 码 上 的 一 处 纰 漏 ， 锁 定 这 份 代 码 正 是 T h e   G r e a t   C a n n o n 攻 击 时 使 用 的 。 G r e a t f i r e . o r g 攻 击 日 志 攻 击 日 志 　 　 G r e a t f i r e . o r g 在 A m a z o n 的 c l o u d f r o n t 基 础 设 施 上 有 几 个 镜 像 网 站 ： d 1 9 r 4 1 0 x 0 6 n z y 6 . c l o u d f r o n t . n e t   就 是 其 中 一 个 ， 2 0 1 5 年 3 月 1 8 日 ， 上 述 镜 像 站 被 攻 击 时 的 日 志 抽 样 如 下 ： 　 　 从 攻 击 日 志 中 ， 奇 怪 的 发 现 攻 击 时 刻 虽 然 是 2 0 1 5 年 3 月 1 8 日 ， 但 G E T 后 面 的 参 数 很 显 然 是 一 个 U n i x 时 间 戳 形 式 ， 转 换 成 时 间 表 示 为 2 0 1 5 年 3 月 3 日 ， 整 整 相 差 了 1 5 天 （ 3 6 0 小 时 ） 。 但 这 看 似 不 经 意 间 的 差 别 却 为 后 来 锁 定 攻 击 源 码 提 供 铁 证 ！ 寻 找 攻 击 代 码 寻 找 攻 击 代 码 G o o g l e 　 　 攻 击 事 后 寻 找 攻 击 代 码 并 不 顺 利 。 G o o g l e （ C a c h e ） 引 擎 在 爬 取 页 面 时 解 析 了 恶 意 代 码 ， 在 G o o g l e 中 直 接 搜 索 ： d 1 9 r 4 1 0 x 0 6 n z y 6 . c l o u d f r o n t . n e t ， 结 果 如 下 ： 但 是 再 次 访 问 这 些 页 面 时 已 没 有 恶 意 代 码 存 在 。 u r l Q u e r y . n e t 　 　 u r l Q u e r y . n e t 是 一 个 提 供 基 于 W e b 恶 意 程 序 的 发 现 和 分 析 服 务 的 网 站 ， 当 浏 览 器 访 问 一 个 页 面 时 ， 它 提 供 了 详 细 的 信 息 ， 包 括 页 面 中 的 其 它 连 接 的 访 问 和 J S 脚 本 的 加 载 等 。 并 以 树 形 图 的 方 式 展 现 出 来 。 　 　 我 们 幸 运 的 在 u r l Q u e r y . n e t 中 找 到 了 一 些 踪 迹 ， u r l Q u e r y . n e t 记 录 了 在 访 问 z h a o . j u j i 1 2 3 . c o m 页 面 时 的 迭 代 加 载 过 程 ， 其 中 记 录 了 对 被 攻 击 网 站 的 访 问 ， 而 请 求 包 的 格 式 与 被 攻 击 网 站 记 录 的 日 志 格 式 相 同 （ 时 间 戳 也 相 差 了 1 5 天 ） 。 这 说 明 在 访 问 z h a o . j u j i 1 2 3 . c o m 时 恶 意 J S 脚 本 被 加 载 了 。
攻 击 代 码 攻 击 代 码 　 　 非 常 幸 运 ， u r l Q u e r y . n e t 也 将 攻 击 代 码 缓 存 了 下 来 ！ 于 是 我 们 打 开 攻 击 代 码 看 看 端 倪 ： 　 　 哈 哈 ， 原 来 在 生 成 时 间 戳 时 误 将 g e t D a t e ( ) 和 g e t D a y ( ) 混 淆 了 。 了 解 J a v a s c r i p t 的 都 知 道 ， g e t D a t e ( ) 是 以 月 为 单 位 表 示 日 期 ， 而 g e t D a y ( ) 是 以 周 为 单 位 表 示 日 期 。 3 月 1 8 日 正 好 是 星 期 三 ， 所 以 差 了 整 整 1 5 天 ！ 　 　 这 也 为 这 份 代 码 的 真 实 性 提 供 了 强 有 力 的 证 据 。
后 记 后 记 　 　 虽 然 国 家 有 了 这 种 能 力 ， 但 提 高 姿 势 水 平 还 很 重 要 : P 更 多 精 彩 内 容 ， 请 关 注 ： 1 .   A r k T e a m 官 方 微 信 官 方 微 信 — 公 众 账 号 名 称 ： A r k T e a m 2 .   A r k T e a m 官 方 微 博 ： 官 方 微 博 ： 昵 称 ： A r k T e a m 网 址 ： h t t p : / / w w w . w e i b o . c o m / a r k t e a m 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理