搜索

[1050] 2021-03-29_常见网站劫持案例及解析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2021-03-29_常见网站劫持案例及解析 常 见 网 站 劫 持 案 例 及 解 析 原 创   B y p a s s   B y p a s s   2 0 2 1 - 0 3 - 2 9 攻 击 者 在 入 侵 网 站 后 ， 常 常 会 通 过 恶 意 劫 持 流 量 来 获 取 收 益 ， 从 而 实 现 流 量 变 现 。 有 一 些 黑 帽 劫 持 的 手 法 堪 称 防 不 胜 防 ， 正 常 的 访 问 行 为 很 难 发 现 异 常 。 今 天 给 大 家 分 享 一 下 常 见 的 网 站 劫 持 手 法 和 排 查 思 路 。 我 们 可 以 按 照 基 于 不 同 隐 藏 目 的 的 常 见 劫 持 手 法 ， 来 做 一 个 简 单 的 分 类 ： 基 于 以 上 ， 实 现 的 方 式 有 很 多 种 ， 比 如 客 户 端 j s 劫 持 、 服 务 端 代 码 劫 持 、 3 0 1 重 定 向 、 恶 意 反 向 代 理 、 I I S 模 块 劫 持 等 。 0 1 、 客 户 端 、 客 户 端 j s 劫 持 劫 持 在 网 页 中 插 入 j s 脚 本 ， 通 过 j s 进 行 u r l 跳 转 ， 一 般 情 况 下 ， 会 通 过 j s 混 淆 加 密 来 增 加 识 别 难 度 。 如 下 ： 通 过 j s 劫 持 从 搜 索 引 擎 中 来 的 流 量 。 排 查 思 路 ： 查 看 网 页 源 代 码 或 者 抓 包 分 析 h t t p 流 量 ， 找 到 源 代 码 中 插 入 的 j s 代 码 ， 删 除 j s 代 码 后 恢 复 。 0 2 、 服 务 端 代 码 劫 持 、 服 务 端 代 码 劫 持 网 站 源 码 被 篡 改 ， 在 首 页 或 配 置 文 件 中 引 入 恶 意 代 码 。 如 下 ： 通 过 判 断 U s e r - a g e n t 与 R e f e r e r ， 进 行 快 照 劫 持 。 排 查 思 路 ： 查 看 网 站 首 页 引 入 了 哪 些 文 件 ， 依 次 访 问 相 关 的 文 件 源 码 ， 确 认 可 疑 的 代 码 ， 去 除 包 含 文 件 后 恢 复 。 备 份 网 站 源 码 及 文 件 完 整 性 验 证 非 常 重 要 ， 可 以 帮 助 我 们 在 上 万 行 的 代 码 中 快 速 找 到 恶 意 代 码 。 0 3 、 、 n g i n x 反 向 代 理 劫 持 反 向 代 理 劫 持 以 前 遇 到 过 一 个 网 站 做 了 网 页 防 篡 改 ， 无 法 通 过 修 改 网 站 源 码 劫 持 ， 攻 击 者 通 过 修 改 n g i n x 的 配 置 文 件 ， 通 过 正 则 匹 配 u r l 链 接 ， 配 置 p r o x y _ p a s s 代 理 转 发 实 现 u r l 劫 持 。 排 查 思 路 ： 总 结 u r l 劫 持 规 律 ， 中 间 件 配 置 文 件 也 是 需 要 关 注 的 位 置 。 0 4 、 利 用 、 利 用 3 0 1 重 定 向 劫 持 重 定 向 劫 持 通 过 H T T P 重 定 向 实 现 3 0 1 劫 持 。 排 查 思 路 ： 可 以 检 查 网 站 根 目 录 下 的 配 置 文 件 w e b . c o n f i g ， 确 认 是 否 有 相 关 设 置 。 0 5 、 、 I I S 恶 意 模 块 劫 持 恶 意 模 块 劫 持 这 种 手 法 相 对 比 较 隐 蔽 ， 网 站 目 录 中 查 不 到 w e b s h e l l 和 挂 马 页 面 ， 但 使 用 特 定 的 路 径 、 R e f e r e r 或 者 U A 访 问 ， 页 面 会 加 载 暗 链 。 1 、 将 爬 虫 与 用 户 正 常 访 问 分 开 ， 实 现 搜 索 引 擎 快 照 劫 持 2 、 将 移 动 端 与 P C 端 的 访 问 分 开 ， 实 现 移 动 端 的 流 量 劫 持 3 、 根 据 用 户 访 问 来 源 进 行 判 断 ， 实 现 特 定 来 源 网 站 劫 持 4 、 如 果 获 取 管 理 员 的 真 实 I P 地 址 ， 实 现 特 定 区 域 的 流 量 劫 持 5 、 按 照 访 问 路 径 / 关 键 词 / 时 间 段 设 置 ， 实 现 特 定 路 径 / 关 键 词 / 时 间 段 的 流 量 劫 持 < s c r i p t > v a r   s = d o c u m e n t . r e f e r r e r ;   i f ( s . i n d e x O f ( " b a i d u " ) > 0 | | s . i n d e x O f ( " s o s o " ) > 0 | | s . i n d e x O f ( " g o o g l e " ) > 0 | | s . i n d e x O f ( " y a h o o " ) > 0 | | s . i n d e x O f ( " s o g o u " ) > 0 | | s . i n d e x O f ( " y o u d a o " ) > 0 | | s . i n d e x O f ( " b i n g " ) > 0 ) { s e l f . l o c a t i o n = ' h t t p : / / w w w . x x x x . c o m ' ;   } < / s c r i p t > < ? p h p e r r o r _ r e p o r t i n g ( 0 ) ; / / 判 断 是 否 为 百 度 蜘 蛛 ， 然 后 进 行 内 容 劫 持 i f ( s t r i p o s ( $ _ S E R V E R [ " H T T P _ U S E R _ A G E N T " ] , " b a i d u " ) > - 1 ) { $ f i l e   =   f i l e _ g e t _ c o n t e n t s ( ' h t t p : / / w w w . x x x x . c o m ' ) ; e c h o   $ f i l e ; e x i t ; } / / 判 断 是 否 来 自 百 度 搜 索 ， 然 后 进 行 u r l 跳 转 i f ( s t r i s t r   ( $ _ S E R V E R [ ' H T T P _ R E F E R E R ' ] , " b a i d u . c o m " ) )   { H e a d e r ( " L o c a t i o n :   h t t p : / / w w w . x x x x . c o m / " ) ; / / 指 定 跳 转 e x i t ;   } ? > l o c a t i o n   ~   / [ 0 - 9 a - z ] + s c   {         p r o x y _ p a s s     h t t p s : / / w w w . x x x x . c o m / ; }   < h t t p R e d i r e c t   e n a b l e d = " t r u e "   d e s t i n a t i o n = " h t t p : / / w w w . x x x x . c o m / 1 . p h p "   c h i l d O n l y = " t r u e "   h t t p R e s p o n s e S t a t u s = " P e r m a n e n t "   / >
排 查 思 路 ： 排 查 加 载 的 异 常 d l l 文 件 ， 如 没 有 签 名 、 创 建 时 间 不 匹 配 需 重 点 关 注 。 可 使 用 火 绒 剑 或 P r o c e s s   M o n i t o r 等 工 具 协 助 排 查 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理