记一次应急响应之网站暗链排查

最新推荐文章于 2024-09-03 13:37:38 发布

XError＿xiaoyu

最新推荐文章于 2024-09-03 13:37:38 发布

阅读量1.4k

点赞数 38

分类专栏：网络安全学习 # 蓝队文章标签：应急响应安全运维项目记录

本文链接：https://blog.csdn.net/weixin_72543266/article/details/141642350

版权

网络安全学习同时被 2 个专栏收录

57 篇文章 13 订阅

订阅专栏

蓝队

17 篇文章 0 订阅

订阅专栏

前言

免责声明

博文中涉及的方法可能带有危害性，仅供安全研究与教学之用，读者将其方法用作做其他用途，由读者承担全部法律及连带责任，文章作者不负任何责任.

事情的起因也是假期的某一天在小程序找洞的时候,刚好在本县教育局的小程序发现了一个暗链后,及时提交给了教育SRC,也是很快得到了回应并希望我进行应急响应,于是就有了本次应急响应的开始,并对其中遇到的事情进行做个总结.

1. 从暗链而起的开端

既然碰到了暗链,那么就简单介绍一下,也为后面分析本次网站植入的暗链做个铺垫

1.1 暗链的介绍

暗链，是指看不见但是却被搜索引擎计算权重的外链。暗链的实现方式，是通过漏洞利用、网站后台控制等方式，在网站中植入包含攻击者链接的恶意代码。在网站维护人员和访客没有察觉的情况下，通过网站一次次被加载而高效率提升排名。这些外链，常常是违法的赌钱、情色、行骗网站。因为有些暗链只想提升在百度、谷歌等的排名，为了更好地隐藏，只有使用百度、谷歌爬虫的User-agent才能发现。

1.2 暗链的分类

这里用介绍以及我自己碰到的案例来引入,方便记录后续的回顾

(1)JS引入型暗链——通过修改网站title，引入外部JavaScript代码来将暗链植入被害网站，当用户通过搜索引擎搜索特定关键字时进入该网站，通过引入的外部JavaScript代码实现跳转到非法网站。

其实下面两段脚本作用都是如果监测是如下中包含的搜索引擎进行搜索的本页面就会跳转到对应的bc站点,当然也会有将暗链绑定到一些图片上,在不经意点击时跳转到恶意站点

<script type="text/javascript">
var s=document.referrer
if(s.indexOf("baidu")>0 || s.indexOf("so")>0 || s.indexOf("sogou")>0 || s.indexOf("google")>0){
    location.href="bc站点";
}
</script>
 
<script type="text/javascript">
var regexp=/\.(sogou|soso|baidu|google|youdao|yahoo|bing|so|biso|gougou|ifeng|ivc|sooule|niuhu|biso)(\.[a-z0-9\-]+){1,2}\//ig;
var where =document.referrer;
if(regexp.test(where))
{
    window.location.href='bc站点'
}
</script>

(2)html隐藏型暗链——通过css或者JavaScript代码隐藏暗链，通常是通过position为负数，或者将display设置为none等方式来隐藏，目的是为了提升非法网站的SEO排名。

本次应急碰到的便是第二种html隐藏型,这里展示部分代码如下:

作用是检测搜索页面的是否是爬虫,如果是爬虫展示被篡改后的bc站标题,如果是用户就展示原本的界面标题,作用嘛就是为了提高SEO排名

<script>
    var userAgent = navigator.userAgent.toLocaleLowerCase();
    var searchEngines = ["spider", "bot"];
    var isSearchEngine = searchEngines.some(se => userAgent.indexOf(se) !== -1);

    if (!isSearchEngine) {
        document.title = "XX系统";
}
</script>
<script src="引入的篡改js页面代码"></script>
        <meta name="author" content="caiweiming">
        <meta name="robots" content="noindex, nofollow">
        <meta name="viewport" content="width=device-width,initial-scale=1,maximum-scale=1.0">

当然,在这次应急之后,我也进行了资产测绘和发现,存在大量站点存在被篡改的问题,其中也发现了升级版的暗链,升级版是在之前的基础上对bc信息进行了ascill进行编码,这样也是为了隐藏被篡改的信息,毕竟普通人看到了之后也不会进行解码吧.