搜索

[12015] 2017-11-16_真实网站劫持案例分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-11-16_真实网站劫持案例分析 真 实 网 站 劫 持 案 例 分 析 原 创   f e i n i a o   F r e e B u f   2 0 1 7 - 1 1 - 1 6 * 本 文 原 创 作 者 ： f e i n i a o ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 禁 止 转 载 。 1 .   概 述 概 述 上 段 时 间 一 直 忙 于 处 理 大 会 安 全 保 障 与 应 急 ， 借 助 公 司 云 悉 情 报 平 台 ， 发 现 并 处 置 几 十 起 网 站 被 劫 持 的 情 况 。 上 段 时 间 一 直 忙 于 处 理 大 会 安 全 保 障 与 应 急 ， 借 助 公 司 云 悉 情 报 平 台 ， 发 现 并 处 置 几 十 起 网 站 被 劫 持 的 情 况 。 对 黑 客 对 黑 客 S E O 技 术 颇 有 感 觉 。 正 好 这 段 时 间 有 时 间 ， 把 以 前 遇 到 比 较 有 趣 的 案 例 和 大 家 分 享 一 下 。 里 面 很 多 技 术 技 术 颇 有 感 觉 。 正 好 这 段 时 间 有 时 间 ， 把 以 前 遇 到 比 较 有 趣 的 案 例 和 大 家 分 享 一 下 。 里 面 很 多 技 术 其 实 早 已 被 玩 透 ， 只 是 网 上 搜 了 一 下 并 无 太 多 这 方 面 的 介 绍 。 所 以 在 这 里 共 享 一 下 相 关 的 案 例 ， 案 例 主 要 分 享 其 实 早 已 被 玩 透 ， 只 是 网 上 搜 了 一 下 并 无 太 多 这 方 面 的 介 绍 。 所 以 在 这 里 共 享 一 下 相 关 的 案 例 ， 案 例 主 要 分 享 一 下 思 路 。 一 下 思 路 。 1 . 1   原 理 原 理 网 站 劫 持 是 一 个 相 对 古 老 的 技 术 ， 主 要 是 黑 帽 用 来 做 S E O 用 。 实 现 网 站 劫 持 如 果 以 下 步 骤 : 1 .   入 侵 相 关 网 站 2 .   然 后 在 网 站 中 插 入 J S 或 修 改 其 配 置 文 件 ， 增 加 相 应 的 劫 持 代 码 。 另 外 一 般 会 加 入 判 断 条 件 ， 判 断 条 件 一 般 会 根 据 u s e r - a g e n t 或 r e f e r e r 进 行 判 断 。 大 多 数 判 断 条 件 会 判 断 是 爬 虫 还 是 人 工 ， 如 果 是 人 工 会 返 回 正 常 的 网 站 ； 如 果 是 爬 虫 ， 会 返 回 相 关 博 彩 、 娱 乐 类 等 黑 客 设 置 好 的 网 站 3 .   人 工 访 问 时 ， 会 显 示 正 常 网 站 。 但 是 爬 虫 去 访 问 时 ， 返 回 是 相 关 博 彩 、 娱 乐 类 网 站 ， 导 致 收 录 的 却 是 黑 客 精 心 准 备 好 的 网 站 4 .   黑 帽 S E O 基 本 上 都 是 给 爬 虫 收 录 的 ， 对 于 正 常 的 人 工 访 问 会 返 回 正 常 的 内 容 ， 所 以 导 致 这 种 网 站 很 难 发 现 、 并 且 其 存 留 时 间 相 对 较 长 1 . 2   跳 转 判 断 下 面 通 过 在 实 际 工 作 中 遇 到 的 J S 脚 本 来 阐 述 J S 劫 持 来 实 现 跳 转 的 方 法 。 该 J S 脚 本 综 合 运 用 了 判 断 I P 归 属 地 、 U A 、 r e f e r e r 来 进 行 跳 转 判 断 。 1 . 2 . 1   判 断 判 断 I P 归 属 地 归 属 地 判 断 远 程 I P 的 归 属 地 ， 如 果 远 程 I P 为 安 徽 省 或 北 京 ， 则 会 直 接 跳 转 到 h t t p : / / w w w . a n h u i 3 6 5 . n e t / 4 0 4 . h t m l 这 个 页 面 ； 归 属 地 不 为 安 徽 或 北 京 的 话 则 会 跳 转 到 博 彩 站 点 h t t p : / / m . a n 8 8 8 . t o p / 1 . 2 . 2   判 断 判 断 r e f e r e r
若 r e f e r e r 关 键 字 为 : b a i d u 、 g o o g l e 、 y a h o o 、 b i n g 、 s o s o 、 3 6 0 等 搜 索 引 擎 爬 虫 ， 当 爬 虫 去 访 问 时 会 调 用 b r o w s e r R e d i r e c t ( ) 函 数 。 b r o w s e r R e d i r e c t ( ) 函 数 主 要 用 来 实 现 跳 转 判 断 。 1 . 2 . 3   判 断 判 断 u s e r - a g e n t 如 果 相 应 的 u s e r - a g e n t 匹 配 关 键 字 i p a d 、 i p h o n e   o s 、 m i d p 、 u c w e b 、 a n d r o i d 等 移 动 端 设 备 时 则 会 跳 转 到 h t t p : / / m . a n 8 8 8 . t o p / 这 个 博 彩 站 点 . 这 是 一 个 比 较 经 典 的 J S 判 断 条 件 ， 综 合 判 断 I P 地 址 、 u s e r - a g e n t 、 r e f e r e r 。 黑 客 入 侵 相 应 的 网 站 后 只 需 要 把 在 网 站 中 加 入 引 用 的 J S 相 关 网 站 即 可 ， 一 般 都 是 直 接 在 相 关 调 用 页 面 ， 如 i n d e x . p h p 这 种 页 面 中 直 接 插 入 下 面 的 代 码 : 1 . 3   表 现 表 现 当 网 站 被 黑 客 入 侵 并 作 为 S E O 使 用 时 ， 一 般 的 表 现 是 通 过 人 工 访 问 并 无 法 直 接 打 开 ， 需 要 通 过 改 变 浏 览 器 的 u s e r - a g e n t 及 r e f e r e r 时 才 可 以 重 现 相 应 的 劫 持 页 面 。 页 面 被 劫 持 一 般 表 现 是 下 面 这 样 子 的 :
劫 持 案 例 - 1 ( 植 入 寄 生 虫 程 序 ) 劫 持 案 例 - 2 ( 插 入 推 广 内 容 )
劫 持 案 例 - 3 ( 打 开 页 面 跳 转 到 博 彩 网 站 ) 2 .   前 端 劫 持 案 例 前 端 劫 持 案 例 2 . 1   原 理 原 理 前 端 劫 持 一 般 都 是 在 网 站 的 相 应 页 面 中 插 入 J S 脚 本 ， 通 过 J S 来 进 行 跳 转 劫 持 。 2 . 2   表 现 与 检 测 表 现 与 检 测 前 端 劫 持 的 话 浏 览 器 会 执 行 相 应 的 J S 脚 本 ， 因 此 我 们 可 以 通 过 抓 包 来 进 行 检 测 相 应 的 J S 脚 本 。 可 以 使 用 b u r p s u i t e 、 f i d d l e r 、 w i r e s h a r k 等 工 具 来 抓 包 进 行 分 析 与 检 测 。 另 外 也 可 以 打 开 相 应 的 页 面 分 析 其 源 码 来 进 行 判 断 ， 通 过 源 码 找 出 所 有 加 载 的 J S 脚 本 ， 然 后 再 对 J S 脚 本 进 行 分 析 。 2 . 3   案 例 案 例 一 网 站 发 现 其 打 开 时 会 跳 转 到 博 彩 网 站 ， 对 其 源 码 进 行 分 析 ， 发 现 其 页 面 被 插 入 一 段 J S 代 码 ， 导 致 其 打 开 时 会 跳 转 到 博 彩 站 点 。
3 .   服 务 器 端 劫 持 案 例 服 务 器 端 劫 持 案 例 3 . 1   原 理 原 理 服 务 器 端 劫 持 也 称 为 后 端 劫 持 ， 其 是 通 过 修 改 网 站 动 态 语 言 文 件 , 如 g l o b a l . a s a x 、 g l o b a l . a s a 、 c o n n . a s p 、 c o n n . p h p 这 种 文 件 。 这 些 文 件 是 动 态 脚 本 每 次 加 载 时 都 会 加 载 的 配 置 文 件 ， 如 访 问 x . p h p 时 会 加 载 c o n n . p h p 。 这 样 的 话 ， 只 需 要 修 改 这 些 全 局 的 动 态 脚 本 文 件 ( 如 g l o b a l . a s a x ) ， 访 问 所 有 的 a s p x 文 件 时 都 会 加 载 这 个 g l o b a l . a s a x 文 件 ， 可 以 达 到 全 局 劫 持 的 效 果 。 3 . 2   表 现 与 检 测 表 现 与 检 测 因 为 这 种 文 件 是 在 服 务 器 上 执 行 的 ， 因 此 不 像 前 端 劫 持 那 样 可 以 分 析 加 载 的 恶 意 J S 脚 本 。 其 需 要 在 服 务 器 上 进 行 分 析 。 一 般 检 测 都 是 要 检 测 全 局 脚 本 文 件 ， 分 析 其 是 否 被 恶 意 修 改 。 这 种 文 件 一 般 情 况 下 不 会 经 常 修 改 ， 因 此 可 以 使 用 文 件 完 整 性 进 行 检 测 。 初 次 配 置 好 了 以 后 生 成 其 M D 5 或 H A S H 值 ， 并 且 周 期 性 对 比 其 M D 5 值 是 否 变 化 。 若 变 化 则 进 行 变 化 内 容 的 分 析 与 检 测 。 3 . 3   案 例 案 例 发 现 一 政 府 网 站 上 存 在 较 多 博 彩 类 链 接 。 但 是 对 其 源 码 与 抓 包 分 析 ， 都 没 发 现 可 疑 J S 脚 本 。 这 样 的 话 肯 定 是 在 服 务 器 端 做 劫 持 的 。 于 是 远 程 连 接 其 服 务 器 ， 其 网 站 使 用 a s p x 开 发 ， 找 到 其 a s p x 全 局 加 载 的 文 件 g l o b a l . a s a x 。 分 析 其 源 码 ， 发 现 存 在 被 修 改 ， 增 加 了 爬 虫 判 断 条 件 ， 若 为 爬 虫 访 问 ， 则 直 接 跳 转 到 相 应 的 博 彩 网 站 。
针 对 服 务 器 端 的 劫 持 ， 找 到 相 应 的 插 入 的 代 码 。 直 接 将 其 删 除 ， 或 者 使 用 备 份 的 文 件 进 行 覆 盖 。 但 是 这 样 并 不 能 真 正 解 决 问 题 ， 一 般 情 况 下 g l o b a l . a s a x 这 种 文 件 被 修 改 ， 基 本 上 说 明 黑 客 已 经 入 侵 到 相 应 服 务 器 。 因 此 需 要 做 全 面 的 应 急 响 应 ， 分 析 日 志 、 查 杀 w e b s h l l 、 系 统 层 、 应 用 层 全 面 的 安 全 检 查 。 找 到 黑 客 是 如 何 入 侵 进 来 的 并 且 修 复 相 应 的 漏 洞 这 样 才 能 真 正 解 决 此 类 问 题 。 4 .   比 较 奇 葩 的 服 务 器 劫 持 案 例 比 较 奇 葩 的 服 务 器 劫 持 案 例 一 般 情 况 下 ， 如 果 是 服 务 器 端 的 劫 持 通 过 上 面 的 方 法 基 本 上 可 以 找 到 黑 客 插 入 或 修 改 的 源 码 部 分 。 但 是 昨 天 遇 到 一 起 比 较 奇 葩 的 服 务 器 劫 持 案 例 。 通 过 源 码 与 抓 包 分 析 判 断 黑 客 是 在 服 务 器 端 做 的 劫 持 ， 但 是 相 应 的 分 析 全 局 文 件 找 了 很 长 时 间 就 是 没 有 找 到 黑 客 在 什 么 地 方 插 入 劫 持 代 码 的 。 一 政 府 站 使 用 爬 虫 U A 打 开 就 是 相 应 的 寄 生 虫 模 板 ， 直 接 分 析 其 i n d e x . p h p 文 件 ， 发 现 其 只 是 调 用 了 另 外 一 个 文 件 。 文 件 的 路 径 为 : / p h p c m s / b a s e . p h p
找 到 b a s e . p h p ， 由 于 其 源 码 比 较 多 。 分 析 其 源 码 找 了 好 久 就 是 没 有 找 到 劫 持 所 用 的 代 码 ， 后 来 经 同 事 协 助 ， 花 了 好 长 时 间 才 找 到 黑 客 进 行 劫 持 所 有 的 代 码 。 b a s e . p h p 其 中 直 接 加 载 了 公 用 的 函 数 库 ， 其 加 载 了 如 下 函 数 : @ i n c l u d e ( P A C K ( ‘ H * ’ , ’ 4 4 3 A 5 C 7 7 6 5 6 2 5 C 6 C 7 9 7 1 5 C 7 5 7 0 6 C 6 F 6 1 6 4 6 6 6 9 6 C 6 5 5 C 3 2 3 0 3 1 3 7 5 C 3 0 3 2 3 2 3 1 5 C 3 1 ’ ) ) ; P h p 的 p a c k 函 数 功 能 如 下 ：
@ i n c l u d e ( P A C K ( ‘ H * ’ , ’ 4 4 3 A 5 C 7 7 6 5 6 2 5 C 6 C 7 9 7 1 5 C 7 5 7 0 6 C 6 F 6 1 6 4 6 6 6 9 6 C 6 5 5 C 3 2 3 0 3 1 3 7 5 C 3 0 3 2 3 2 3 1 5 C 3 1 ’ ) ) ; 其 中 : H 代 表 1 6 进 制 4 4 3 A 5 C 7 7 6 5 6 2 5 C 6 C 7 9 7 1 5 C 7 5 7 0 6 C 6 F 6 1 6 4 6 6 6 9 6 C 6 5 5 C 3 2 3 0 3 1 3 7 5 C 3 0 3 2 3 2 3 1 5 C 3 1 表 示 相 应 的 参 数 ， 需 要 将 其 进 行 转 换 。 转 换 后 ， 其 内 容 为 w e b l y q u p l o a d f i l e 2 0 1 7 0 2 2 1 1 ， 也 就 是 说 b a s e . p h p 使 用 i n c l u d e 的 P a c k 函 数 调 用 了 w e b l y q u p l o a d f i l e 2 0 1 7 0 2 2 1 1 这 个 文 件 。 找 到 这 个 文 件 ， 分 析 其 源 码 ， 果 然 找 到 了 黑 客 用 户 进 行 劫 持 所 调 用 的 文 件 。
这 个 案 例 还 是 比 较 奇 葩 的 ， 其 实 实 现 方 法 也 是 在 服 务 器 端 进 行 劫 持 的 ， 只 是 其 使 用 函 数 来 加 载 相 应 的 劫 持 脚 本 。 并 且 这 个 劫 持 的 脚 本 放 在 一 个 上 传 的 目 录 上 ， 所 以 导 致 分 析 起 来 中 间 有 些 麻 烦 。 针 对 这 种 劫 持 的 情 况 个 人 感 觉 相 对 较 好 的 处 置 方 法 就 是 对 关 键 性 的 文 件 ， 如 i n d e x . p h p 、 g l o b a l . a s a x 、 c o n n . p h p 等 生 成 基 线 M D 5 及 H A S H 值 ， 然 后 周 期 性 的 对 比 这 些 文 件 完 整 性 ， 如 发 现 文 件 完 整 性 发 生 变 化 ， 将 其 与 基 线 文 件 进 行 比 较 。 分 析 是 否 为 正 常 变 化 。 目 前 黑 帽 做 S E O 除 了 上 面 的 外 ， 还 有 植 入 J S 来 挖 矿 的 。 不 过 挖 矿 在 实 际 工 作 中 只 在 服 务 器 上 遇 到 被 植 入 挖 矿 程 序 ， 自 己 并 没 有 遇 到 过 在 网 站 中 植 入 J S 来 挖 矿 。 网 上 看 到 有 遇 到 过 植 入 J S 来 进 行 挖 矿 的 ， 所 以 网 站 页 面 代 码 中 的 J S 也 是 网 站 安 全 分 析 的 重 点 。 后 期 云 悉 情 报 平 台 会 加 入 恶 意 J S 的 识 别 与 分 析 ， 遇 到 相 关 案 例 时 再 和 大 家 分 享 。 * 本 文 原 创 作 者 ： f e i n i a o ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 禁 止 转 载 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理