网站劫持案例分析

\r\n

1.    概述

\r\n

上段时间一直忙于处理大会安全保障与应急，借助公司云悉情报平台，发现并处置几十起网站被劫持的情况。对黑客SEO技术颇有感觉。正好这段时间有时间，把以前遇到比较有趣的案例和大家分享一下。里面很多技术其实早已被玩透，只是网上搜了一下并无太多这方面的介绍。所以在这里共享一下相关的案例，案例主要分享一下思路。

\r\n

1.1          原理

\r\n

网站劫持是一个相对古老的技术，主要是黑帽用来做SEO用。实现网站劫持如果以下步骤:

\r\n

1.   入侵相关网站

\r\n

2.   然后在网站中插入JS或修改其配置文件，增加相应的劫持代码。另外一般会加入判断条件，判断条件一般会根据user-agent或referer进行判断。大多数判断条件会判断是爬虫还是人工，如果是人工会返回正常的网站；如果是爬虫，会返回相关博彩、娱乐类等黑客设置好的网站

\r\n

3.   人工访问时，会显示正常网站。但是爬虫去访问时，返回是相关博彩、娱乐类网站，导致收录的却是黑客精心准备好的网站

\r\n

4.   黑帽SEO基本上都是给爬虫收录的，对于正常的人工访问会返回正常的内容，所以导致这种网站很难发现、并且其存留时间相对较长

\r\n

1.2          跳转判断

\r\n

下面通过在实际工作中遇到的JS脚本来阐述JS劫持来实现跳转的方法。该JS脚本综合运用了判断IP归属地、UA、referer来进行跳转判断。

\r\n

1.2.1 判断IP归属地

\r\n

判断远程IP的归属地，如果远程IP为安徽省或北京，则会直接跳转到http://www.anhui365.net/404.html这个页面；归属地不为安徽或北京的话则会跳转到博彩站点http://m.an888.top/

\r\n

\r\n

var jump_myt = setInterval(function(){\r\n    if (remote_ip_info) {\r\n       clearInterval(jump_myt