搜索

[16407] 2021-02-06_关于暗链那些不得不说的事儿

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-02-06_关于暗链那些不得不说的事儿 关 于 暗 链 那 些 不 得 不 说 的 事 儿 飞 天 魔 鬼   F r e e B u f   2 0 2 1 - 0 2 - 0 6 前 言 前 言 最 近 研 究 暗 链 比 较 多 ， 也 看 了 看 最 近 网 上 的 一 些 分 析 暗 链 的 文 章 ， 发 现 关 于 暗 链 的 文 章 还 是 比 较 少 ， 内 容 大 多 不 太 深 ， 比 较 粗 糙 ， 而 且 很 多 植 入 手 法 也 比 较 落 后 了 。 所 以 我 就 想 来 写 一 篇 符 合 当 前 时 代 特 点 的 暗 链 分 析 文 章 ， 就 当 是 抛 砖 引 玉 ， 有 啥 写 的 不 到 位 的 地 方 还 请 各 位 师 傅 斧 正 。 什 么 是 暗 链 什 么 是 暗 链 暗 链 是 S E O 手 法 中 相 当 普 遍 的 一 种 手 段 ， 笼 统 地 说 ， 它 就 是 指 一 些 人 用 非 正 常 的 手 段 获 取 的 其 它 网 站 的 反 向 链 接 ， 最 常 见 的 黑 链 就 是 通 过 各 种 网 站 程 序 漏 洞 获 取 搜 索 引 擎 权 重 或 者 P R 较 高 的 网 站 的 w e b s h e l l ， 进 而 在 被 黑 网 站 上 链 接 自 己 的 网 站 ， 其 性 质 与 明 链 一 致 ， 都 是 属 于 为 高 效 率 提 升 排 名 ， 而 使 用 的 作 弊 手 法 。 暗 链 分 类 暗 链 分 类 在 学 习 分 析 暗 链 的 过 程 中 感 觉 很 多 文 章 都 没 有 对 暗 链 有 一 个 统 一 的 分 类 ， 有 些 文 章 甚 至 把 挂 马 和 暗 链 混 为 一 潭 ， 所 以 我 在 这 里 先 把 暗 链 分 为 这 么 两 类 ， 以 便 后 续 分 析 ： J S 引 入 型 暗 链 引 入 型 暗 链 — — 通 过 修 改 网 站 t i t l e ， 引 入 外 部 J a v a S c r i p t 代 码 来 将 暗 链 植 入 被 害 网 站 ， 当 用 户 通 过 搜 索 引 擎 搜 索 特 定 关 键 字 时 （ 你 懂 的 ） 进 入 该 网 站 ， 通 过 引 入 的 外 部 J a v a S c r i p t 代 码 实 现 跳 转 到 非 法 网 站 。 这 种 暗 链 是 本 文 研 究 的 重 点 。 h t m l 隐 藏 型 暗 链 隐 藏 型 暗 链 — — 通 过 c s s 或 者 J a v a S c r i p t 代 码 隐 藏 暗 链 ， 通 常 是 通 过 p o s i t i o n 为 负 数 ， 或 者 将 d i s p l a y 设 置 为 n o n e 等 方 式 来 隐 藏 ， 目 的 是 为 了 提 升 非 法 网 站 的 S E O 排 名 ， 但 是 这 种 暗 链 已 经 越 来 越 少 了 ， 现 在 的 暗 链 大 部 分 都 是 J S 引 入 型 暗 链 直 接 跳 转 ， 故 此 种 手 法 本 文 不 做 研 究 。 几 种 常 见 的 几 种 常 见 的 J S 引 入 型 暗 链 引 入 型 暗 链 一 、 一 、 J a v a S c r i p t 中 中 w i n d o w 对 象 引 入 暗 链 对 象 引 入 暗 链 这 种 手 法 的 原 理 是 调 用 w i d n o w s 对 象 中 的 d o c u m e n t . w r i t e 方 法 将 外 部 的 J S 代 码 引 入 到 当 前 页 面 ， 通 常 还 会 配 合 使 用 1 6 进 制 编 码 来 实 现 隐 藏 的 目 的 。 废 话 不 多 讲 ， 直 接 上 案 例 这 个 案 例 中 ， 黑 客 将 网 站 的 t i t l e 、 k e y w o r d s 、 d e s c r i p t i o n 都 换 成 了 1 0 进 制 的 u n i c o d e 编 码 ， 这 样 的 确 能 起 到 一 些 隐 藏 的 作 用 ， 1 0 进 制 u n i c o d e 编 码 在 浏 览 器 解 析 的 时 候 会 还 原 成 字 符 。 将 这 些 十 进 制 u n i c o d e 编 码 丢 到 站 长 工 具 中 解 密 ： 可 以 看 到 真 实 内 容 其 实 是 这 些 。 接 着 分 析 J a v a S c r i p t 代 码 部 分 可 以 看 到 他 调 用 了 J a v a S c r i p t 中 的 w i n d o w s 对 象 ， 然 后 使 用 的 方 法 都 使 用 了 1 6 进 制 的 编 码 ， 因 为 J a v a S c r i p t 是 支 持 1 6 进 制 编 码 的 ， 这 样 可 以 躲 过 一 部 分 简 单 的 检 测 工 具 ， 确 实 具 有 一 些 隐 蔽 性 ； 后 面 调 用 n a v i g a t o r 对 象 中 的 u s e r a g e n t 方 法 判 断 用 户 访 问 的 u s e r a g e n t ， 如 果 不 是 通 过 百 度 跳 转 过 来 的 就 将 t i t l e 设 置 为 正 常 的 t i t l e 。 我 们 将 上 面 这 段 代 码 中 的 1 6 进 制 编 码 丢 到 1 6 进 制 解 密 工 具 中 。 < t i t l e > & # 2 1 2 7 1 ; & # 2 0 1 4 0 ; & # 3 6 1 8 7 ; & # 3 6 7 1 0 ; & # 1 1 2 ; & # 1 0 7 ; & # 4 9 ; & # 4 8 ; & # 3 2 ; & # 2 1 2 7 1 ; & # 2 0 1 4 0 ; & # 3 6 1 8 7 ; & # 3 6 7 1 0 ; & # 1 1 2 ; & # 1 0 7 ; & # 4 9 ; & # 4 8 ; & # 2 1 3 8 2 ; & # 2 1 4 9 0 ; & # 3 5 7 6 0 ; & # 2 4 4 0 5 ; & # 3 2 ; & # 1 1 2 ; & # 1 0 7 ; & # 4 9 ; & # 4 8 ; & # 3 2 5 9 3 ; & # 1 9 9 7 8 ; & # 2 5 2 3 7 ; & # 2 7 8 8 0 ; & # 4 5 ; & # 2 1 2 7 1 ; & # 2 0 1 4 0 ; & # 1 1 2 ; & # 1 0 7 ; & # 4 9 ; & # 4 8 ; & # 3 0 4 5 2 ; & # 2 5 7 7 3 ; & # 3 2 5 9 3 ; < s c r i p t   t y p e = " t e x t / j a v a s c r i p t " >   w i n d o w [ " x 6 4 x 6 f x 6 3 x 7 5 x 6 d x 6 5 x 6 e x 7 4 " ] [ " x 7 7 x 7 2 x 6 9 x 7 4 x 6 5 " ]   ( ' x 3 c x 7 3 x 6 3 x 7 2 x 6 9 x 7 0 x 7 4   x 7 4 x 7 9 x 7 0 x 6 5 x 3 d x 2 2 x 7 4 x 6 5 x 7 8 x 7 4 x 2 f x 6 a x 6 1 x 7 6 x 6 1 x 7 3 x 6 3 x 7 2 x 6 9 x 7 0 x 7 4 x 2 2   x 7 3 x 7 2 x 6 3 x 3 d x 2 2 x 6 8 x 7 4 x 7 4 x 7 0 x 3 a x 2 f x 2 f x 7 3 x 6 5 x 6 f x 3 2 x 3 6 x 3 8 x 2 e x 7 3 x 7 5 x 2 e x 6 2 x 6 3 x 6 5 x 6 2 x 6 f x 7 3 x 2 e x 6 3 x 6 f x 6 d x 2 f x 3 1 x 3 1 x 3 0 x 3 0 x 6 b x 6 1 x 6 9 x 2 e x 6 a x 7 3 x 2 2 x 3 e x 3 c x 2 f x 7 3 x 6 3 x 7 2 x 6 9 x 7 0 x 7 4 x 3 e '
这 样 可 以 看 到 ， 他 其 实 是 使 用 的 w i n d o w 对 象 中 的 d o c u m e n t . w i r t e 方 法 ， 将 一 段 外 部 J a v a S c r i p t 代 码 写 入 到 了 当 前 的 页 面 ， 这 样 就 完 成 了 一 段 暗 链 的 植 入 。 （ 关 于 引 入 的 外 部 J a v a S c r i p t 代 码 片 段 后 续 文 章 继 续 讲 解 ， 本 文 先 讲 引 入 手 法 ） 二 、 二 、 J a v a S c r i p t 中 中 S t r i n g . f r o m C h a r C o d e 方 法 引 入 暗 链 方 法 引 入 暗 链 这 种 引 入 方 式 也 是 现 在 比 较 多 的 一 种 ， 原 理 是 通 过 S t r i n g . f r o m C h a r C o d e 函 数 将 1 0 进 制 a s c i i 码 转 换 为 正 常 的 字 符 ， 然 后 调 用 d o c u m e n t . w i r t e 方 法 写 入 当 前 页 面 ， 废 话 不 多 说 ， 上 案 例 。 前 面 的 t i t l e 、 k e y w o r d s 、 d e s c r i p t i o n 还 是 那 么 的 如 出 一 辙 ， 那 么 的 熟 悉 的 1 0 进 制 u n i c o d e 编 码 。 放 进 站 长 工 具 转 换 一 波 。 这 熟 悉 的 文 字 ， 啧 啧 啧 下 面 分 析 J a v a S c r i p t 代 码 部 分 还 是 那 个 味 儿 ， 不 过 换 成 了 S t r i n g . f r o m C h a r C o d e 方 法 配 合 1 0 进 制 A S C I I 码 + d o c u m e n t . w r i t e 方 法 实 现 。 首 先 将 这 一 串 1 0 进 制 A S C I I 码 转 换 为 了 S t r i n g 字 符 串 。 我 们 可 以 使 用 p y t h o n 中 的 c h r ( ) 方 法 解 码 得 到 他 的 真 实 字 符 串 。 然 后 使 用 d o c u m e n t . w i r t e 方 法 将 这 串 字 符 串 写 入 到 当 前 页 面 ， 这 样 就 完 成 了 外 部 J a v a S c r i p t 代 码 的 引 入 ， 从 而 实 现 了 暗 链 的 植 入 。 三 、 使 用 十 进 制 三 、 使 用 十 进 制 u n i c o d e 编 码 引 入 编 码 引 入 J a v a S c r i p t 这 种 方 法 是 通 过 引 入 J a v a S c r i p t 时 ， < s c r i p t   > 通 过 将 其 中 的 s r c 改 为 十 进 制 u n i c o d e 编 码 来 实 现 的 。 这 种 方 法 不 是 在 J a v a S c r i p t 上 做 文 章 ， 而 是 利 用 h t m l 的 特 性 ， 使 用 十 进 制 u n i c o d e 编 码 改 变 < s c r i p t > 标 签 中 的 s r c 来 做 文 章 。 废 话 不 多 说 ， 上 案 例 ： 十 进 制 u n i c o d e 的 编 码 的 t i t l e 啥 的 就 不 讨 论 了 ， 前 面 已 经 讲 过 了 ， 直 接 看 J a v a S c r i p t 部 分 可 以 看 到 黑 客 将 s r c 使 用 了 十 进 制 u n i c o d e 编 码 ， 从 而 可 以 规 避 一 些 简 单 的 或 者 肉 眼 的 检 测 。 我 们 将 十 进 制 u n i c o d e 编 码 丢 进 站 长 工 具 中 解 码 < s c r i p t > i f ( n a v i g a t o r . u s e r A g e n t . t o L o c a l e L o w e r C a s e ( ) . i n d e x O f ( " b a i d u " )   = =   - 1 ) { d o c u m e n t . t i t l e   = " 系 统 登 录 , X X X 管 理 系 统   " } < / s c r i p t > < s c r i p t   t y p e = " t e x t / j a v a s c r i p t " >   v a r   x t   =   S t r i n g . f r o m C h a r C o d e ( 6 0 , 1 1 5 , 9 9 , 1 1 4 , 1 0 5 , 1 1 2 , 1 1 6 , 3 2 , 1 1 6 , 1 2 1 , 1 1 2 , 1 0 1 , 6 1 , 3 4 , 1 1 6 , 1 0 1 , 1 2 0 , 1 1 6 , 4 7 , 1 0 6 , 9 7 , 1 1 8 , 9 7 , 1 1 5 , 9 9 , 1 1 4 , 1 0 5 , 1 1 2 , 1 1 6 , 3 4 , 3 2 , < s c r i p t   t y p e = " t e x t / j a v a s c r i p t "   s r c = " & # 1 0 4 ; & # 1 1 6 ; & # 1 1 6 ; & # 1 1 2 ; & # 1 1 5 ; & # 5 8 ; & # 4 7 ; & # 4 7 ; & # 1 1 9 ; & # 1 1 9 ; & # 1 1 9 ; & # 4 6 ; & # 9 9 ; & # 1 1 3 ; & # 1 0 5 ; & # 9 7 ; & # 1 1 0 ; & # 4 6 ; & # 9 9 ; & # 1 1 0 ; & # 4 7 ; & # 9 7 ; & # 1 2 1 ; & # 1 2 0 ; & # 4 9 ; & # 5 4 ; & # 5 6 ; & # 4 6 ; & # 1 0 6 ; & # 1 1 5 ; "
可 以 看 到 其 引 入 的 是 一 个 外 部 的 J a v a S c r i p t 代 码 ， 从 而 实 现 了 暗 链 的 植 入 。 可 以 跟 进 去 看 看 。 主 要 起 作 用 的 还 是 圈 出 的 部 分 ， 上 面 是 关 于 访 问 统 计 的 代 码 。 可 以 看 到 他 先 判 断 这 个 访 问 是 不 是 通 过 搜 索 引 擎 过 来 的 ， 如 果 是 通 过 搜 索 引 擎 过 来 的 ， 才 会 进 行 跳 转 。 太 可 恶 了 ！ 四 、 四 、 J a v a S c r i p t 中 中 e v a l 函 数 混 淆 引 入 函 数 混 淆 引 入 先 看 e v a l 函 数 的 作 用 ： 好 家 伙 ， 是 不 是 有 点 w e b s h e l l 那 味 儿 了 ， 但 是 这 个 方 法 在 J a v a S c r i p t 中 用 的 并 不 多 。 使 用 这 个 方 法 的 地 方 一 般 是 一 些 需 要 混 淆 加 密 的 代 码 才 用 ， 黑 客 就 利 用 上 了 这 个 来 实 现 混 淆 加 密 自 己 的 暗 链 。 废 话 不 多 说 ， 直 接 上 案 例 ： 十 进 制 u n i c o d e 编 码 的 t i t l e 啥 的 我 就 不 翻 译 了 ， 上 面 都 讲 过 了 ， 直 接 开 始 分 析 J a v a S c r i p t 代 码 部 分 乍 一 看 非 常 的 懵 逼 ， 仔 细 一 看 还 是 懵 逼 ， 不 过 没 关 系 ， 既 然 这 么 懵 逼 的 东 西 浏 览 器 可 以 解 析 ， 那 就 证 明 这 东 西 可 以 逆 着 推 我 们 直 接 上 前 人 写 好 的 e v a l 函 数 混 淆 工 具 ， 丢 进 去 解 密 < s c r i p t   t y p e = " t e x t / j a v a s c r i p t " > e v a l ( f u n c t i o n ( p , a , c , k , e , d ) { e = f u n c t i o n ( c ) { r e t u r n ( c < a ? " " : e ( p a r s e I n t ( c / a ) ) ) + ( ( c = c % a ) > 3 5 ? S t r i n g . f r o m C h a r C o d e ( c + 2 9 ) : c . t o S t r i n g ( 3 6 ) ) } ; i f ( ! ' ' . r e p l a c e ( / ^ / , S t r i n g ) ) { w h i l e ( c - - ) d [ < / s c r i p t >
哦 豁 ， 可 以 看 到 解 密 之 后 原 来 是 我 前 面 说 的 第 一 中 w i n d o w 对 象 引 入 的 手 法 呀 ， 那 么 我 们 就 可 以 重 复 前 面 的 手 法 ， 解 密 1 6 进 制 代 码 ， 得 到 真 实 内 容 如 下 其 实 还 是 使 用 了 d o c u m e n t . w r i t e 方 法 将 外 部 J a v a S c r i p t 代 码 引 入 当 前 页 面 ， 只 不 过 使 用 了 e v a l 函 数 进 行 混 淆 罢 了 。 其 实 细 想 想 ， e v a l 函 数 不 仅 可 以 配 合 我 前 面 写 的 第 一 种 方 式 引 入 ， 还 可 以 配 合 第 二 种 、 第 三 种 ， 因 为 e v a l 函 数 的 作 用 说 白 了 就 是 混 淆 一 遍 代 码 。 自 动 化 检 测 思 路 自 动 化 检 测 思 路 正 所 谓 “ 懒 是 人 类 进 步 的 阶 梯 ” ， 一 切 能 用 工 具 代 替 的 工 作 我 们 人 类 尽 量 不 要 用 手 去 做 ， 所 以 我 从 几 个 方 面 思 考 了 一 下 面 对 这 种 新 时 代 暗 链 的 自 动 化 检 测 思 路 ， 得 出 下 面 这 么 几 条 心 得 ， 但 是 怎 么 去 用 代 码 实 现 ， 我 这 就 不 讨 论 了 。 对 于 w i n d o w s 对 象 引 入 的 ， 判 断 其 是 否 使 用 了 1 6 进 制 代 码 ， 如 果 使 用 了 ， 那 么 怀 疑 度 + 1 。 然 后 再 判 断 1 6 进 制 代 码 解 析 之 后 的 内 容 ， 如 果 出 现 了 s c r i p t 字 样 ， 到 这 基 本 就 可 以 判 断 是 不 是 暗 链 了 。 如 果 还 是 觉 得 不 保 险 ， 可 以 看 其 是 否 引 入 了 外 部 j s ， 如 果 引 入 了 ， 再 结 合 威 胁 情 报 等 工 具 ， 就 可 以 做 出 判 断 了 。 对 于 使 用 十 进 制 A S C I I 码 进 行 伪 装 的 暗 链 ， 可 以 判 断 其 变 量 是 否 被 d o c u m e n t . w i r t e 对 象 引 用 了 ， 如 果 引 用 了 再 判 断 其 十 进 制 A S C I I 码 的 内 容 ， 剩 下 的 步 骤 和 上 面 一 样 。 对 于 改 变 s c r i p t 标 签 s r c 属 性 的 暗 链 ， 可 以 直 接 翻 译 其 1 0 进 制 u n i c o d e 编 码 ， 结 合 威 胁 情 报 或 者 跟 进 J a v a S c r i p t 代 码 等 方 式 进 行 判 断 。 对 于 e v a l 函 数 混 淆 的 暗 链 ， 可 以 先 走 一 个 逆 向 的 过 程 ， 然 后 的 分 析 步 骤 就 和 上 面 三 种 一 样 了 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理